La loi fédérale sur la protection des données révisée (nLPD) est en vigueur depuis le 1er septembre 2023. Elle concerne toute entreprise qui traite des données personnelles, qu'il s'agisse de clients, de salariés ou de prospects, et peut aussi s'appliquer à une entreprise étrangère qui traite des données de personnes en Suisse.
Les obligations de base
- Informer les personnes concernées de la collecte et de l'usage de leurs données, par une déclaration de confidentialité.
- Tenir un registre des activités de traitement, avec des dérogations possibles pour les petites entreprises dont les traitements présentent peu de risques.
- Limiter la collecte à ce qui est nécessaire et fixer des durées de conservation.
- Prévoir des mesures de sécurité adaptées au risque.
- Encadrer par contrat les sous-traitants qui accèdent aux données.
Documenter et prouver sa conformité
Une conformité qui n'est pas documentée est difficile à défendre. Conservez une cartographie des traitements, les contrats avec les sous-traitants, les procédures pour répondre aux demandes d'accès et les analyses d'impact lorsqu'un traitement présente un risque élevé. Désigner une personne responsable en interne, même sans obligation formelle, facilite le suivi.
Les sanctions pénales visent les personnes physiques responsables, avec des amendes pouvant atteindre CHF 250 000.
Anticiper les incidents
En cas de violation de la sécurité des données qui présente un risque élevé, le responsable doit l'annoncer dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT). Il faut donc préparer une procédure à l'avance : qui décide, qui contacte, quels éléments conserver comme preuve.
Un exercice simple avec les équipes vaut mieux qu'un plan que personne n'a jamais testé.