Les 8 modifications les plus importantes dans la nouvelle LPD, que vous devez respecter.

Modification numéro 1

Nouveau domaine d’application :la LPD révisée ne concerne plus que les données des personnes physiques – les personnes morales ne seront plus protégées par la LPD à l’avenir. La nouvelle LPD doit être appliquée par toutes les entreprises suisses, ainsi que par les organisations internationales qui traitent des données personnelles de personnes domiciliées en Suisse et qui effectuent des opérations transfrontalières. La LPD tient compte du Règlement général sur la protection des données de l’UE (RGPD).

Modification numéro 2

Les données génétiques et biométriques entrent dans la définition des données sensibles. Les données génétiques qui peuvent être obtenues, entre autres, au moyen d’échantillons biologiques fournissent des informations sur les qualités génétiques d’une personne, telles que sa physiologie ou sa santé. Il s’agit, par exemple, d’analyses de l’ADN et de tests similaires. Les données biométriques permettent l’identification claire de personnes, par exemple à l’aide de la reconnaissance faciale ou des empreintes digitales.

Modification numéro 3

Les principes de « Privacy by Design » et de « Privacy by Default » sont introduits. Cela implique, pour les développeurs, d’intégrer la protection et le respect de la vie privé des utilisateurs dans la structure même des produits ou des services. Tous les logiciels, le matériel et les services doivent être configurés de manière à protéger les données et à respecter la vie privée des utilisateurs.

Modification numéro 4

Des analyses d’impact doivent être effectuées lorsqu’il existe un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Une analyse d’impact relative à la protection des données est une évaluation des risques du traitement de données à caractère personnel dans l’entreprise. Il s’agit d’évaluer les dommages potentiels qui pourraient être causés par un manque de sécurité des données.

Modification numéro 5

Le devoir d’informer est considérablement étendu : toute collecte de données personnelles doit donner lieu à une information préalable de la personne concernée.  L’ancienne loi ne prévoit ce devoir d’informer que lors de la saisie de données personnelles sensibles. L’étendue du devoir d’informer a également été consolidée dans la nouvelle LPD. Désormais, l’identité et les coordonnées du responsable du traitement devront être communiquées, de même que la finalité du traitement et les destinataires des données personnelles. Lorsque des données sont transmises à l’étranger, des devoirs d’informer supplémentaires et d’autres dispositions doivent être respectées.

Modification numéro 6

La tenue d’un registre de toutes les activités de traitement devient obligatoire – sauf pour les PME. Un tel registre est un inventaire de tous les traitements de données. Il contribue à la transparence et aide à déterminer si un traitement de données est légal. Le registre contiendra non seulement les méthodes de traitement utilisées, mais également les personnes responsables. En plus de cela, la nature et l’étendue des données à caractère personnel traitées, ainsi que leurs destinataires, doivent également être indiquées. L’ordonnance relative à la loi révisée prévoit une exception pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d’atteinte à la personnalité des personnes concernées.

Modification numéro 7

Une annonce rapide est requise en cas de violation de la sécurité des données, à adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT). Le devoir d’annoncer s’applique à toute perte de données et exige non seulement la notification au délégué à la protection des données, mais également aux personnes concernées dont les données ne sont plus sécurisées. Toutefois, les personnes concernées ne doivent être informées que si la violation de la sécurité des données met en danger leur personnalité et leurs droits fondamentaux.

Modification numéro 8

La notion de profilage (traitement automatisé de données personnelles) fait son entrée dans la loi. Par profilage, on entend : « … toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique. » Lorsqu’un profil permet d’identifier des caractéristiques essentielles de la personnalité d’une personne physique, il s’agit d’un « profilage à risque élevé». Celui-ci requiert toujours le consentement exprès préalable de la personne concernée.