Le 1er septembre 2023, la nouvelle loi sur la protection des données est entrée en vigueur en Suisse.

La loi révisée sur la protection des données et le règlement correspondant sont entrés en vigueur en Suisse le 1er septembre 2023 et sont applicables sans période de transition. La nouvelle législation concerne toutes les entreprises dans tous les secteurs, mais tout particulièrement celles qui gèrent des données sensibles et personnelles sur leurs clients, par exemple les sociétés fiduciaires et informatiques, les cabinets médicaux ou les régies immobilières.

Concrètement, qu'est-ce qui a changé depuis le 1er septembre ?
Les principales mesures en bref : Depuis le 1er septembre 2023, l'entreprise ou l'organisation doit garantir la sécurité des données personnelles, introduire l'authentification multifactorielle, définir des super-administrateurs lors du traitement des données et appliquer des directives et des formations internes.

Peine : Jusqu'à présent, les violations de la protection des données étaient considérées comme des peccadilles, alors que désormais, seul un manquement à l'obligation d'information est considéré comme pénalement répréhensible.

La déclaration de protection des données doit être mise en ligne sur le site web. Ceci de manière centrale. Le libellé doit être précis, transparent, compréhensible et facilement accessible. Les personnes concernées doivent en principe être informées de l'utilisation des données AVANT leur traitement. En outre, les demandes des personnes concernées concernant le traitement des données doivent être traitées gratuitement et dans un délai de 30 jours ("obligation d'information"). Les données doivent en outre être transmises dans un format électronique courant.

À qui s'applique la nouvelle loi sur la protection des données ?
La nouvelle loi sur la protection des données protège exclusivement les personnes physiques (mais plus les personnes morales) contre les abus, mais toutes les entreprises et tous les individus qui traitent des données sont tenus de le faire. La loi est en outre applicable dans le monde entier pour tous les faits ayant un impact sur la Suisse. L'applicabilité mondiale permet de lutter contre l'appétit de données des grandes entreprises tech comme Alpha (Google), Meta (Facebook), Amazon, etc.

Quelles sont les obligations des responsables du traitement et des sous-traitants ?
Vous êtes tenu d'informer les clients, les personnes intéressées, les partenaires commerciaux, les collaborateurs et les visiteurs du site web - en bref, tous ceux qui vous confient des données personnelles (= personnes concernées) - que vous collectez et traitez leurs données et à quel moment. Dans votre déclaration de protection des données, vous devez informer sur la collecte, le but et le type de traitement des données personnelles (par exemple le profilage).

Ils sont en outre tenus d'informer les personnes concernées de leurs droits. Il s'agit par exemple du droit de demander des informations sur les données personnelles collectées ou du droit de faire rectifier ou effacer ses propres données personnelles. Ils doivent en outre indiquer aux personnes concernées comment elles peuvent exercer leurs droits et qui elles doivent contacter pour cela.

Que doit contenir ma déclaration de confidentialité ?
Les exigences en matière de déclaration de protection des données augmentent énormément : cela devrait conduire à ce qu'elles soient plutôt trop longues que trop courtes afin de se prémunir contre toute éventualité.

Les questions suivantes devront à l'avenir faire l'objet d'une réponse dans la déclaration de confidentialité :

Quelles données personnelles sont collectées et dans quel but ? Comment l'utilisateur est-il informé ? Comment son consentement est-il recueilli ?
Utilisez-vous les données collectées pour des mesures de marketing - éventuellement par le biais de fournisseurs de tracking tiers, notamment Google Analytics ?
Pendant combien de temps les données sont-elles stockées et où ? Comment protégez-vous les données lors de leur stockage ?
Les données sont-elles transmises ? Si oui, à qui ?
Où s'adresser pour une demande d'accès, d'effacement, de correction ou de restitution des données ? Quelles sont les données nécessaires (en particulier la preuve de l'identité) ?
Utilisez-vous des procédures automatisées pour identifier les utilisateurs (profilage) ou pour déduire des informations juridiquement pertinentes à partir des données (par exemple, credit score) ?
Utilisez-vous des modèles de Google sur votre site ou avez-vous intégré des polices Google auxquelles Google a accès (les polices téléchargées ne posent pas de problème) ?

En quoi la nouvelle loi suisse diffère-t-elle du RGPD de l'UE ?
Si vous avez déjà aligné vos activités sur le RGPD de l'UE, c'est déjà très bien. Il est important de noter que le traitement des données de commande ainsi que les clauses contractuelles standard sont soumis à la loi suisse sur la protection des données depuis le 1er septembre 2023. En Suisse, il existe désormais une obligation légale de conserver pendant deux ans la documentation relative aux déclarations faites au PFPDT.

Enfin, un conseil pratique :
Attirez l'attention de vos collaborateurs sur le secret de la protection des données. Toute personne qui traite des données est soumise à la nouvelle loi et doit pouvoir, sur demande, faire preuve de transparence sur l'utilisation des données dans un délai de 30 jours et en principe gratuitement.

Source : Gryps.ch - 20.05.2023