Une nouvelle loi fédérale suisse sur la protection des données (FADP-nLPD) est entrée en vigueur le 1er septembre, sans aucune période transitoire. Êtes-vous prêt ? Votre entreprise est-elle prête ? Comment cela vous affectera-t-il exactement ?
Nous examinons ici de plus près les implications du FADP-nLPD (parfois aussi appelé « le nouveau FADP » et « nFADP ») pour vous, pour vos données et pour votre entreprise.
Les lois actuelles sur la protection des données remontent à 1992, à une époque où le monde était très différent, beaucoup moins avancé sur le plan technologique (et sans doute beaucoup plus sûr).
Cependant, le FADP-nLPD va permettre d’aligner la Suisse avec la législation mise en place par l’Union européenne à travers le règlement général sur la protection des données (RGPD), l’idée étant de renforcer considérablement la sécurité des données personnelles des citoyens suisses dans un monde actuel de plus en plus numérique.
Il est important de noter ici que si une entreprise se conforme aux règles du RGPD, elle aura très peu de changements à mettre en place pour être en conformité avec le nLPD. Mais il existe quelques différences.
Essentiellement, cela signifie que les responsables du traitement et les sous-traitants sont tenus de garantir un niveau « adéquat » de protection des données. C’est-à-dire qu’ils doivent protéger l’intégrité, la confidentialité et la disponibilité des données personnelles au moyen de mesures de sécurité techniques et organisationnelles « adéquates ».
– Jonathan Da Dalto, Compliance and Delivery Manager chez Penta
Toutes les conditions suivantes sont applicables :
La nLPD définit les données à caractère personnel de la manière suivante : « toute information se rapportant à une personne physique identifiée ou identifiable ».
Cela comprend, par exemple, une adresse e-mail, une adresse postale, un numéro de téléphone, un historique de commande, des données médicales, etc. ou n’importe quel élément permettant d’identifier une personne.
Ce qui signifie que tous les fichiers clients et dossiers de ressources humaines relèvent du champ d’application de la loi. Il est cependant intéressant de noter que les données relatives aux « personnes morales » (c’est-à-dire toute personne ou « entité », par exemple une entreprise, qui peut accomplir ce qu’un être humain a généralement le droit d’accomplir sous le regard de la loi – par exemple conclure des contrats, poursuivre et être poursuivi en justice, ou posséder des biens) ne sont pas concernées.
À partir du moment où il existe un plan de traitement des données personnelles, ce qui est généralement le cas bien avant que les données ne soient effectivement obtenues.
S’il existe un risque pour la personne dont les données vont être utilisées (si cela affecte ses droits ou l’affecte personnellement), il est impératif d’effectuer d’abord une analyse d’impact.
Si une entreprise est victime d’une cyberattaque ou d’une faille de sécurité, elle doit la signaler rapidement à tous les utilisateurs et parties prenantes potentiellement concernées, ainsi qu’au préposé fédéral à la protection des données et à la transparence (PFPDT).
Vous (en tant qu’individu) pouvez être condamné à une amende de 250 000 francs suisses. Une amende pouvant atteindre 50 000 francs suisses peut également être infligée à une entreprise dans les cas où l’identification de la personne responsable entraînerait un effort disproportionné.
Bien que cela soit nettement moins sévère que les amendes prévues par le RGPD (qui peuvent atteindre vingt millions d’euros ou 4 % du chiffre d’affaires mondial), le véritable danger est celui de l’atteinte à la réputation.
Toutes les règles de la nLPD s’appliquent exactement de la même manière pour les PME (petites et moyennes entreprises), mise à part le registre obligatoire du traitement des données.
En vertu des règles de la nLPD, toutes les entreprises doivent tenir un registre de leurs activités de traitement des données, à l’exception des PME dont le traitement des données présente un risque limité de préjudice pour la personne concernée.
Les premières étapes pour se conformer aux règles de la nLPD consistent à faire passer la protection des données en priorité et à effectuer une analyse des écarts en matière de protection des données.
Cela vous permettra :
En outre, il est conseillé de :
Cela peut également être une bonne idée de nommer un délégué à la protection des données (DPD). Le rôle d’un DPD est de veiller au respect de la loi et de fournir des conseils et des directives sur la protection des données.
Si vous avez des questions sur cette nouvelle loi, ou si vous souhaitez obtenir plus d’informations pour rester conforme à la nLPD, contactez-nous.