“RGPD” signifie “règlement général sur la protection des données”. Il s’agit d’un règlement qui régit le traitement des données personnelles et qui est applicable dans toute l’UE et dans le reste de l’EEE, donc également au Liechtenstein, en Islande et en Norvège.
La plupart du temps, le RGPD est plus strict que la LPD suisse et parfois très soucieux des détails et formaliste.
Elle peut également s’appliquer aux entreprises en Suisse. Pour savoir si cela s’applique à vous, vous pouvez découvrir ici.
Le site LPD révisée et le règlement (DSV) sont entrées en vigueur le 1er septembre 2023.
Oui, parce qu’elle rend la législation sur la protection des données plus formaliste dans une certaine mesure, parce qu’elle renforce la législation sur la protection des données en général et parce qu’elle introduit de nouvelles sanctions.
Mais ce n’est pas la seule raison de son importance. Les attentes des clients, des investisseurs, des autorités, des partenaires et du public évoluent également – si la protection des données n’a longtemps pas été un sujet important pour les parties prenantes, en dehors des secteurs réglementés, elle suscite désormais une grande attention.
Les entreprises ne peuvent donc pas faire l’économie d’une réflexion sur la protection des données et d’une mise en œuvre adéquate des nouvelles exigences.
Nos contributions à la révision se trouvent ici.
Oui, la LPD révisée prévoit des mesures et des processus dont de nombreuses entreprises ne disposent pas ou pas suffisamment. Les grandes entreprises non réglementées, actives uniquement ou principalement en Suisse, sont particulièrement mises au défi. Là où le RGPD a déjà été mis en œuvre – pour autant que cela soit possible -, la mise en œuvre est plus simple, mais certains travaux seront également nécessaires.
Vous trouverez des indications sur la mise en œuvre ici.
Vous pouvez consulter notre S’abonner à la newsletter. Vous trouverez également des informations utiles dans le message du Conseil fédéral relatif au projet de LPD, par exemple ici ou ici. Et vous trouverez une présentation complète de David Rosenthal.
Le droit de la protection des données est l’ensemble des normes juridiques qui régissent le traitement des données personnelles et les droits et obligations qui y sont liés.
On peut tout d’abord distinguer le droit formel et le droit matériel de la protection des données : Le droit formel de la protection des données est constitué par les lois sur la protection des données de la Confédération, des cantons et des communes, ainsi que par les dispositions d’exécution correspondantes. Le droit matériel de la protection des données est constitué de ces dispositions et de toutes les autres dispositions qui régissent les données personnelles. Elles sont dispersées dans divers actes législatifs, par exemple dans le droit des assurances sociales, le droit des marchés financiers, le droit de l’énergie, le droit des télécommunications, etc. Les dispositions sur le secret (p. ex. art. 33 LPGA, art. 86 LPP, art. 47 LB, art. 69 LFIN, art. 321 CP, art. 43 LTC, etc.) et, pour les organes fédéraux, les bases légales pour le traitement des données personnelles et leur communication (p. ex. art. 84 s. LAMal, art. 4 LSCPT, art. 112a LIFD, etc.) sont des objets de réglementation fréquents.
On peut également distinguer le droit de la protection des données au sens strict et au sens large. Le droit de la protection des données au sens strict régit spécifiquement le traitement des données personnelles, tandis que le droit de la protection des données au sens large régit le traitement de certaines données qui peuvent être personnelles ou qui le sont généralement (par exemple les dispositions relatives au secret).
Enfin, le droit de la protection des données peut être considéré comme une partie du droit des données. Le droit des données comprend toutes les dispositions qui régissent le traitement des données, même si elles ne sont pas personnelles (“données” entendues comme informations qui reçoivent une certaine matérialisation, ne serait-ce que sonore – le droit ne saisit les informations que lorsqu’elles sont matérialisées, il ne peut pas saisir la pure information).
On peut distinguer plusieurs niveaux au sein du droit de la protection des données, que l’on pourrait décrire comme un modèle en oignon. Le noyau est constitué par les prescriptions matérielles relatives au traitement des données personnelles, en particulier les principes de traitement. S’y ajoutent, en tant que couche supplémentaire, les obligations du responsable qui ne concernent pas directement le traitement des données personnelles, mais qui doivent le sécuriser. Il s’agit par exemple de l’obligation de tenir un registre des traitements, de réaliser une analyse d’impact sur la protection des données ou de notifier une violation de la sécurité. Une troisième couche est constituée par les droits des personnes concernées, qui doivent permettre à ces dernières d’influer sur le traitement des données. Enfin, la quatrième couche est constituée par les pouvoirs de contrôle du PFPDT et les sanctions.
En Suisse :
En Europe :
Le droit de la protection des secrets protège les secrets. En font partie les secrets professionnels, par exemple des médecins, des psychologues, des avocats, des employés de banque, des collaborateurs d’établissements financiers, etc. Des secrets professionnels peuvent également s’appliquer en vertu du droit cantonal, ainsi que du droit professionnel et déontologique. Le secret de fonction est également apparenté au secret professionnel.
S’y ajoutent les secrets d’affaires, protégés par exemple par le droit pénal et le droit de la concurrence déloyale.
Il n’existe cependant pas de droit général de la protection du secret. Il existe des structures de base, notamment des points communs concernant la notion de secret et l’élément constitutif de la révélation. Il faut cependant tenir compte de nuances selon le secret. Par exemple, la volonté de garder le secret, qui détermine l’étendue de la protection du secret pour la plupart des secrets, peut varier en fonction de la nature du secret.
Oui, beaucoup, et de plus en plus. Les deux domaines sont en train de converger dans une certaine mesure. Cela s’explique principalement par le fait que les deux domaines ont fortement gagné en importance dans le cadre de la numérisation et sont par conséquent discutés de manière plus détaillée. Ces analyses approfondies mettent davantage en évidence des points communs, comme l’importance des attentes des personnes protégées, c’est-à-dire des personnes concernées et des maîtres du secret.
cela s’ajoute un renforcement de l’encadrement du droit de la protection des données par des sanctions pénales. Le droit pénal de la protection des données s’en trouve renforcé, et ce particulièrement dans les situations où des données sont communiquées à des tiers. Ce n’est pas un hasard si la LPD révisée prévoit des sanctions dans de telles situations, par exemple en cas de traitement de commandes, de communication à l’étranger et de communication de données personnelles secrètes (même si ce n’est pas exclusivement dans ces cas). Cette sanction de la communication rapproche le droit de la protection des données du droit de la protection des secrets, même si des différences fondamentales subsistent entre les deux.
Les données personnelles sont toutes les informations qui se rapportent à une personne identifiée ou identifiable (sachant que la LPD actuelle couvre également les informations qui se rapportent à une personne morale, contrairement au RGPD et également à la LPD révisée).
Une personne est déterminée lorsque son identité ressort de l’ensemble de données lui-même (p. ex. “mardi, Mme Müller est allée au restaurant X avec M. Peters”). La question de savoir quand et par qui une personne est identifiable donne lieu à bien plus de discussions. C’est en tout cas le cas lorsque quelqu’un qui a accès à une donnée peut l’attribuer à une personne parce qu’il dispose des informations complémentaires nécessaires (“collaborateur 123452” est une donnée personnelle pour le service RH, mais pas forcément pour une personne extérieure.
Le débat porte principalement sur la question de savoir s’il faut considérer que la personne est identifiable uniquement lorsqu’une personne ayant accès à la donnée peut en déduire l’identité d’une personne (“approche relative”) ou déjà lorsqu’un tiers quelconque peut le faire (“approche absolue”). En Suisse, selon le Arrêt Logistep du Tribunal fédéral l’approche relative. En Europe, selon la Décision Breyer de la CJCE la même chose, mais les exigences de déterminabilité sont fixées assez bas.
La question de savoir si l’identification nécessite la connaissance du nom ou d’un autre identifiant courant, ou s’il suffit qu’une personne – même inconnue – puisse être distinguée de toutes les autres, est également discutée (“Singularisation”). Les autorités européennes semblent se tourner davantage vers le concept de singularisationEn effet, l’article 2 de la directive sur la protection des données prévoit que les États membres doivent prendre les mesures nécessaires pour protéger les données personnelles de leurs citoyens, et ce pour des raisons de protection et donc plus politiques que juridiques.
Ne sont pas des données personnelles les données qui ont été rendues anonymes.
La LPD et – avec certaines modifications – la révision de la LPD considèrent certains types de données personnelles comme particulièrement sensibles. Ces données bénéficient d’une protection particulière à certains égards. Par exemple, la LPD actuelle prévoit déjà que la collecte de telles données doit faire l’objet d’une information explicite. Et la communication de données personnelles sensibles à des tiers doit être justifiée, c’est-à-dire qu’elle est en principe considérée comme une violation. Il y a d’autres conséquences à la qualification de données personnelles sensibles – si de telles données sont traitées sur la base d’un consentement, celui-ci ne peut être donné que de manière explicite ; si le traitement est important, une analyse d’impact sur la protection des données doit être effectuée et si de telles données sont traitées à des fins non personnelles, par exemple statistiques, des exigences particulières s’appliquent. Pour les organes fédéraux, le traitement de données sensibles requiert en outre une base juridique dans une loi au sens formel, sauf exception.
Les données personnelles sensibles sont les données relatives aux opinions ou activités religieuses, philosophiques, politiques ou syndicales (p. ex. paiements à une communauté religieuse, indications sur la participation à une manifestation syndicale), à la santé, à la sphère intime (p. ex. orientation sexuelle), à l’appartenance raciale (p. ex. indication sur l’ethnie), aux données biométriques (p. ex. un scan du visage pour les accès), et aux données relatives aux mesures d’aide sociale ou aux poursuites et sanctions administratives ou pénales.
Le fait que certaines catégories de données soient généralement considérées comme sensibles est toutefois contraire à l’approche fondée sur les risques, qui se réfère au risque concret et non à un risque abstrait. Il ne serait pas non plus praticable de considérer comme sensibles toutes les données dont le contenu est supprimé ou potentiellement protégé. Ainsi, une photo d’un porteur de lunettes n’est pas considérée comme une donnée relative à la santé, et un nom pouvant être attribué à une région n’est pas considéré comme une donnée relative à l’ethnie.
Non, en tout cas pas selon le droit suisse – c’est ce qu’a précisé la décision Logistep du Tribunal fédéral, toujours en vigueur. Il existe néanmoins une tendance à considérer les adresses IP et autres identifiants uniques, comme par exemple un identifiant de cookie, comme des données personnelles sans véritable justification. Le PFPDT s’est lui aussi déjà exprimé dans ce sens. Et en Europe, cette tendance est claire, les adresses IP sont en principe considérées comme des données personnelles.
Que signifie “traiter” ?
Qu’est-ce qu’un “responsable” ?
Que sont les “responsables conjoints” ?
Les responsables communs doivent-ils conclure un contrat ?
Qu’est-ce qu’un sous-traitant ?
Il convient de partir de la notion de données personnelles. Une information est personnelle lorsqu’elle se rapporte à une personne déterminée ou déterminable. Une donnée est “anonyme” lorsqu’elle n’a aucun lien avec une personne, parce qu’elle n’a jamais été liée à une personne ou parce que le lien avec une personne a disparu par la suite. “Anonyme” est une donnée qui avait une référence personnelle, mais dont la référence personnelle a été délibérément supprimée.
Cela signifie que les exigences en matière d’anonymisation ne sont pas plus élevées qu’à l’inverse les exigences en matière de référence aux personnes.
Lorsqu’une donnée est anonymisée, elle n’est plus une donnée personnelle. La législation sur la protection des données ne s’applique donc plus à cette date. Le traitement de cette donnée n’est donc plus limité par le droit de la protection des données.
Il s’ensuit également que, du point de vue de la protection des données, l’anonymisation a le même effet que l’effacement. En effet, si le droit de la protection des données ne s’applique pas aux données anonymes, il ne peut pas non plus exiger leur effacement.
La pseudonymisation signifie que la référence à la personne est indirecte pour une donnée personnelle – elle existe, mais la référence à la personne ne résulte pas de la donnée elle-même (donc pas “Mme Meyerhans”), mais uniquement d’informations complémentaires (donc “Collaboratrice 68796”, un tableau séparé attribuant le numéro 68796 à Mme Meyerhans).
La pseudonymisation est réalisée lorsque cette attribution est conservée séparément de la donnée pseudonymisée elle-même, c’est-à-dire, plus précisément, lorsque le service, la personne ou le département qui travaille avec la donnée pseudonymisée n’a pas accès à l’attribution correspondante. Une certaine séparation organisationnelle et informationnelle est donc nécessaire.
La pseudonymisation est tout d’abord une mesure de sécurité. Elle n’a pas pour effet que le responsable qui a procédé à une pseudonymisation dans son organisation ne traite plus de données personnelles – la donnée est pseudonymisée, pas anonymisée. Mais elle renforce la protection des données concernées. Elle peut donc conduire à ce que le principe de la sécurité des données soit respecté, mais aussi à ce que l’on puisse plutôt affirmer un intérêt prépondérant au traitement.
Lors de la communication d’une donnée pseudonyme, il convient de garder à l’esprit l’approche relative de la détermination du lien avec la personne. Le caractère personnel d’une donnée se détermine du point de vue de la personne qui a accès à cette donnée ou qui est responsable de son traitement. Cela a l’effet suivant : si une personne A communique une donnée pseudonymisée qui a pour elle un lien avec une personne à une personne B, qui ne peut pas mettre cette donnée en relation avec une personne (parce qu’il lui manque l’attribution dont dispose la personne A, mais qu’elle ne communique pas à la personne B), cela ne constitue pas la communication d’une donnée personnelle. La personne A n’est pas soumise à la législation sur la protection des données pour cette communication, pas plus que la personne B pour son utilisation des données pseudonymes, mais anonymes pour elle. Il doit en être ainsi – si la personne B était soumise au droit de la protection des données, ce n’est plus l’approche relative qui s’appliquerait, mais l’approche absolue.
Cela signifie par exemple qu’un médecin en Suisse peut transmettre un échantillon de sang individualisé uniquement par un code-barres à un laboratoire aux Etats-Unis, sans que les restrictions de la communication à l’étranger ne s’appliquent. S’il reçoit en retour le résultat de l’analyse, il s’agit pour lui d’une collecte de données.
Il va de soi que des mesures de sécurité doivent néanmoins être prises, entre autres un accord avec le destinataire pour qu’il ne traite les données reçues que dans un but précis et qu’il les traite de manière confidentielle.
Le Tribunal fédéral a été Arrêt Logistep plus stricte – le droit de la protection des données s’applique dans un tel cas non seulement au destinataire, mais aussi à l’organisme qui transmet les données, pour lequel les données transmises n’ont aucun lien avec la personne. Nous considérons que cet arrêt est, sur ce point, orienté vers le résultat et n’est pas pertinent.
Le “traitement” est une notion extrêmement large. Tout traitement de données personnelles est un traitement, même leur anonymisation ou leur effacement. La seule question qui reste ouverte est de savoir si le simple fait de voir des données personnelles constitue déjà un traitement.
Le droit de la protection des données reconnaît différents rôles en fonction de leur influence sur un traitement de données donné. La détermination des rôles des personnes concernées constitue à chaque fois le point de départ d’un examen au regard de la législation sur la protection des données.
Le “responsable” est l’entreprise (en général une entreprise ; il peut également s’agir d’une personne individuelle) qui détermine de manière déterminante le traitement des données. Cela est déterminé par deux critères : Le responsable est à l’origine du traitement des données, c’est-à-dire qu’il détermine la raison pour laquelle le traitement a lieu sous sa forme concrète et, par conséquent, la finalité de celui-ci. Et il détermine les conditions-cadres essentielles du traitement, c’est-à-dire quelles données sont traitées par quelles personnes et pendant combien de temps, et à qui elles sont éventuellement communiquées.
Un responsable est par exemple une entreprise pour le traitement des données personnelles de ses employés, ou une entreprise pour son propre marketing direct, mais aussi un organe fédéral auquel est attribuée une tâche légale.
Un responsable reste responsable même s’il sous-traite le traitement des données à un prestataire de services. Il peut même arriver qu’il ne possède ni ne connaisse lui-même les données traitées – même dans ce cas, une entreprise peut être responsable dans la mesure où elle exerce une influence déterminante sur le traitement des données d’un tiers.
Plusieurs entreprises peuvent se partager le rôle de responsable – dans ce cas, elles sont “responsables conjoints”. C’est le cas lorsqu’elles déterminent ensemble les finalités d’un traitement, mais aussi son cadre essentiel. Les critères exacts sont toutefois difficiles à cerner. Cela est dû, d’une part, à des prises de position peu claires de la part des autorités européennes et, d’autre part, à trois arrêts de la CJCE dans lesquels une responsabilité commune a été acceptée au cas par cas, mais où il est difficile d’identifier un fil conducteur.
On peut toutefois distinguer essentiellement deux constellations de responsabilité partagée :
Il y a souvent responsabilité commune lorsque plusieurs entreprises utilisent le même système pour des traitements similaires et font donc appel ensemble à un prestataire de services. C’est particulièrement évident dans le cadre d’un groupe, lorsque les services du groupe sont utilisés en commun, par exemple dans le cas d’une gestion commune des données des collaborateurs ou d’une base de données CRM commune.
Il peut également y avoir responsabilité conjointe lorsqu’un responsable traite des données et les transmet à un autre responsable, ceci dans son propre intérêt et en sachant à quelles fins et comment il utilisera ces données.
Dans la pratique, on admet de plus en plus souvent des responsabilités communes lorsque plusieurs entreprises travaillent en partenariat et que les deux exercent une influence déterminante sur le traitement.
Le droit suisse de la protection des données n’exige pas expressément que les responsables conjoints concluent un contrat, contrairement à ce qu’exige le RGPD dans la plupart des cas. Une responsabilité commune qui passe inaperçue ne constitue donc pas nécessairement une infraction. Il est toutefois judicieux, en cas de mélange de traitements effectués par plusieurs entreprises, de définir qui remplit quelles obligations en matière de protection des données, par exemple qui informe les personnes concernées du traitement, qui garantit la sécurité des systèmes informatiques utilisés en commun et qui s’occupe des demandes des personnes concernées.
De telles dispositions ne sont d’ailleurs pas seulement utiles dans le cas de responsables communs, mais souvent aussi lorsque plusieurs responsables travaillent ensemble de manière indépendante.
Un sous-traitant est une entreprise (ou une personne) qui traite certes des données, mais qui ne décide pas du traitement concret. Cela s’applique en particulier – mais pas uniquement – aux fournisseurs de services informatiques. Par exemple, un fournisseur de services d’hébergement est un sous-traitant, de même qu’un fournisseur de cloud ou l’exploitant d’une solution SaaS. Plus la finalité de la solution SaaS est étroite, plus l’exploitant a d’influence sur le type de traitement des données. Il le fait toutefois de manière générique par la conception du système et non par rapport à des données concrètes et individuelles ; c’est l’utilisateur de la solution qui décide de celles-ci. C’est pourquoi le fournisseur de SaaS reste un sous-traitant.
Toutefois, tous les prestataires de services ne sont pas des sous-traitants. Certains prestataires de services traitent certes des données personnelles pour l’exécution du mandat, mais ils en décident en grande partie librement. C’est par exemple le cas d’un cabinet d’avocats qui mène une procédure pour un client. Il est certes un prestataire de services, mais il détermine lui-même les données dont il a besoin à cet effet. Règle générale : un prestataire de services est un sous-traitant si l’objet de la prestation est avant tout le traitement de données personnelles. Il est un responsable du traitement si sa prestation est d’une autre nature et s’il ne traite des données personnelles qu’en tant qu’effet secondaire de cette prestation.
On trouve des exemples entre autres dans une Liste de l’Office bavarois pour la protection des données.
Vous trouverez d’autres indications sur le traitement des commandes sous la rubrique correspondante.
Tant la LPD – et la LPD révisée – que le RGPD exigent le respect de certains principes lors de tout traitement de données personnelles. Il s’agit des principes de transparence, de finalité, de proportionnalité, d’exactitude et de sécurité des données. Selon la LPD révisée, la sécurité des données n’est toutefois plus un principe de traitement ou en tout cas pas un principe typique, étant donné que la disposition relative aux atteintes à la personnalité ne fait plus référence à la sécurité des données. A cela s’ajoute le principe de la bonne foi.
La relation entre les principes est peu claire. Le principe de bonne foi est plutôt un principe subsidiaire. Ce sont les trois principes interdépendants de transparence, de finalité et de proportionnalité qui sont décisifs :
Le point de référence du traitement est toujours sa finalité. La proportionnalité se mesure à cette finalité, car sont proportionnés au sens large les traitements qui sont appropriés et nécessaires à la finalité du traitement. La limitation de la finalité se réfère également – manifestement – à la finalité.
Le responsable fixe librement cette finalité dans le cadre de l’ordre juridique élargi. Il n’est pas limité par la LPD – la liberté économique s’applique, sous réserve de la violation d’une norme de comportement, par exemple du droit pénal (le PFPDT l’oublie parfois lorsqu’il estime qu’un traitement de données ne devrait pas avoir lieu – il le qualifie alors rapidement de disproportionné, sans tenir compte du fait que le responsable a peut-être fixé une finalité large).
Le responsable fixe donc la finalité, et il le fait par transparence : la finalité du traitement est celle que le responsable communique ou qui est évidente (c’est-à-dire qui ressort des circonstances). En fin de compte, c’est donc le responsable qui fixe la finalité, qui doit s’y tenir et qui ne peut traiter les données que dans la mesure où cela est nécessaire à la finalité. C’est en soi le cœur du droit matériel de la protection des données.
Si l’on veut, on peut considérer d’autres règles comme des principes de traitement, comme l’interdiction de communiquer à des tiers des données personnelles sensibles et aujourd’hui des profils de la personnalité ou l’interdiction de traiter des données personnelles contre la volonté exprimée par la personne concernée. La liberté fondamentale de traitement des données publiées peut également être qualifiée de principe de traitement.
La transparence signifie en fin de compte que la personne concernée a au moins la possibilité de connaître un traitement de données et sa finalité. Cela peut exiger une information, mais il suffit que le traitement ressorte des circonstances, c’est-à-dire qu’il soit évident. Il est étonnant que la LPD révisée ne mentionne plus expressément ce principe, mais il reste valable.
La question de savoir ce qui doit être concrètement transparent, c’est-à-dire quelles sont les circonstances du traitement – par exemple aussi une communication à des tiers – est toutefois ouverte ; la réponse ne peut être donnée qu’au cas par cas. Un devoir d’information spécifique peut alors s’ajouter à la transparence (voir là-bas).
La limitation de la finalité est en soi une émanation du principe de transparence. Il exige que les données ne soient traitées que dans la mesure où elles sont nécessaires à la finalité (transparente). Un détournement de finalité est donc interdit, en tout cas sans que la nouvelle finalité soit elle-même et à temps transparente. Il existe toutefois des finalités secondaires qui n’atteignent pas encore le seuil du détournement de finalité. La LPD révisée le précise en mentionnant, outre la finalité initiale, des finalités compatibles avec celle-ci.
La LPD, tout comme la LPD révisée, ne connaît pas d’interdiction de principe du traitement des données, contrairement au RGPD. Un traitement de données ne doit donc en principe pas être justifié. Cela vaut également pour le traitement de données personnelles sensibles, aujourd’hui pour le traitement de profils de la personnalité et, selon la LPD révisée, pour un profilage, même un profilage à haut risque. Il est donc erroné de la part du PFPDT de vouloir autoriser un traitement de données personnelles sensibles uniquement avec un consentement. Mais si un principe de traitement est violé, le traitement correspondant n’est autorisé que si cette violation est justifiée.
On ne doit ni ne peut justifier un traitement, mais seulement une violation d’un principe de traitement. La LPD, tout comme la LPD révisée, prévoit trois motifs de justification :
Rien de nouveau en soi. Le principe de Privacy by Design signifie seulement que le respect de la législation sur la protection des données doit être assuré de manière proactive, c’est-à-dire dès qu’un traitement est planifié. Par conséquent, une application doit être en mesure, par exemple, de supprimer des données ou d’attribuer des droits d’accès en fonction des rôles.
Le RGPD et la LPrD révisée prévoient désormais explicitement ce principe. Selon la loi révisée sur la protection des données, il n’a toutefois qu’un seul effet : si un responsable enfreint le droit de la protection des données, il ne peut pas le justifier par des contraintes matérielles (p. ex. le coût trop élevé de la réécriture d’une application pour qu’elle puisse être effacée), dans la mesure où il aurait pu faire face à cette contrainte par une planification en temps utile. Une réglementation transitoire s’applique tout de même aux traitements existants sous certaines conditions.
Vous trouverez des informations à ce sujet sous “Définitions”.
Cela dépend :
Oui et non. La LPD et le RGPD privilégient le traitement des commandes, mais de manière différente. Le RGPD exige une base juridique pour chaque traitement, car tout traitement est en principe interdit. Dans ce contexte, “privilégier” signifie avant tout que la communication au sous-traitant ne nécessite pas de base juridique propre. Il en va autrement selon la LPD – le traitement est autorisé dans la mesure où il respecte les principes de traitement. En ce sens, le privilège est moins important. Dans le cas de données personnelles sensibles, elle a pour conséquence que la communication au sous-traitant est autorisée sans motif justificatif.
Ce privilège découle du fait que le sous-traitant est en quelque sorte le bras armé du responsable et qu’il fait partie de sa sphère d’influence en matière de protection des données. Cela présuppose toutefois que le responsable et le sous-traitant concluent un contrat répondant à certaines exigences.
Les sous-traitants ont souvent intérêt à utiliser certaines données de leurs clients, les responsables du traitement, à leurs propres fins – par exemple parce qu’ils utilisent une forme d’apprentissage automatique et utilisent des données de commande comme données de formation ou parce qu’ils souhaitent stocker des données de commande à leurs propres fins de conservation (même si les règles de conservation s’appliquent rarement aux données de commande).
Il n’est pas rare d’autoriser des sous-traitants à effectuer un certain traitement à des fins personnelles, souvent sans analyse juridique précise. Au sens strict, certaines questions se posent toutefois. Dans une telle constellation, le sous-traitant est un responsable. Dans la mesure correspondante, le privilège tombe donc et la communication au sous-traitant en tant que responsable peut, selon les cas, être soumise à une obligation de transparence. Dans la mesure où le RGPD s’applique, cette communication présuppose en outre une base juridique, qui doit être vérifiée et mentionnée dans une déclaration de protection des données. Le traitement ultérieur par le sous-traitant – désormais en tant que responsable – exige également une base juridique et une information dont le sous-traitant doit s’occuper, ce qui peut être exigeant dans la mise en œuvre pratique.
En revanche, il n’y a pas d’utilisation de données de commande lorsque le sous-traitant utilise des données relatives aux personnes de contact du responsable du traitement pour sa propre gestion des contrats, son CRM ou sa facturation. Dans ce cas, le responsable est un responsable. On peut donc se demander si, dans le cas d’un sous-traitant établi dans un État ne disposant pas d’un niveau de protection adéquat, les clauses contractuelles types pour les responsables du traitement (c’est-à-dire aujourd’hui le module 1) ne devraient pas toujours être appliquées, ce qui est toutefois rarement le cas dans la pratique.
Le droit de la protection des données exige certes du responsable le respect de diverses obligations. Il part néanmoins du principe que les personnes concernées ont une grande part de responsabilité dans le traitement de leurs données. Pour ce faire, le droit de la protection des données met à leur disposition une série d’instruments leur permettant d’influer sur ce traitement – ce sont les droits des personnes concernées.
Les personnes concernées ont tout d’abord le droit d’être informées du traitement de leurs données, car si elles ne sont pas au courant de ce traitement, elles ne peuvent pas non plus exercer d’autres droits.
Le droit le plus important des personnes concernées, outre l’information, est le droit d’accès. Cela leur permet de demander au responsable de leur fournir des informations supplémentaires sur le traitement de leurs données. En vertu de la loi révisée sur la protection des données et du RGPD, ils peuvent également demander une copie lisible par machine de certaines données – l’idée est que cela leur permette de changer plus facilement de fournisseur, même s’il est peu probable que cela fasse ses preuves.
Les personnes concernées peuvent ensuite exercer une influence sur ce traitement. Elles peuvent s’y opposer partiellement ou totalement (bien que la LPD révisée et le RGPD diffèrent fortement sur ce point), et elles peuvent également exiger que les données inexactes soient rectifiées.
Enfin, ils peuvent révoquer les consentements et déposer une plainte auprès de l’autorité compétente.
Selon le RGPD, les personnes concernées doivent être informées de ces droits. Selon la loi révisée sur la protection des données, ce n’est pas obligatoire, mais c’est l’usage.
Pas nécessairement selon la LPD actuelle. Actuellement, une information n’est nécessaire que dans la mesure où un traitement ne va pas de soi ou lorsque des données personnelles sensibles ou des profils de la personnalité sont collectés (et bien sûr dans la mesure où une réglementation de la loi spéciale, comme l’art. 3 LCA, exige une information sur les traitements de données).
Il en va autrement selon la loi révisée sur la protection des données et le RGPD. Dans ce cas, il existe en principe une obligation d’information sur tous les traitements de données, sauf si une exception est applicable.
Il existe des exceptions à l’obligation générale d’information. Les exceptions suivantes sont particulièrement pertinentes, conformément à la loi révisée sur la protection des données :
Le RGPD laisse en grande partie aux États membres le soin de réglementer les exceptions, raison pour laquelle le droit local applicable doit être consulté.
La loi révisée sur la protection des données exige une information sur les points suivants :
Le RGPD est un peu plus strict – il faut en outre informer sur les points suivants :
Pour ce faire, le RGPD n’exige pas que tous les pays soient mentionnés, mais seulement les pays situés en dehors de l’EEE.
Selon les cas, d’autres obligations d’information peuvent s’appliquer :
La législation sur la protection des données ne précise pas la manière dont les informations doivent être fournies. Les déclarations de protection des données sont courantes, mais une information peut également être contenue dans les conditions générales, à condition qu’il soit clair ce qui fait partie du contrat et ce qui constitue une information (sur la protection des données), même si cela n’est souvent pas utile.
On peut aussi informer dans le cadre d’un formulaire de consentement, ou par une mention sur un site web qui collecte des données, ou par une lettre séparée, etc. Il est également possible d’informer oralement, par exemple dans un message téléphonique.
Ce qui est déterminant, c’est que la personne concernée puisse prendre connaissance de l’information en temps utile et la comprendre.
Il est également possible d’être informé par quelqu’un d’autre. C’est souvent nécessaire. Si un client de la banque communique par exemple des informations sur un mandataire ou un ayant droit économique de valeurs patrimoniales, c’est souvent lui seul – et non la banque – qui peut informer. Dans ce cas, la banque peut convenir avec le client qu’il informe les autres personnes. Le client doit même le faire, car il est lui aussi une personne responsable de la communication de ces données à la banque.
Cela dépend de l’activité et, surtout, de l’interaction avec les personnes concernées. Les entreprises essaient généralement de ne pas avoir trop de déclarations de confidentialité, car elles doivent toutes être gérées et mises à jour. Voici ce qui est le plus courant :
En outre, d’autres déclarations de protection des données peuvent s’avérer utiles, notamment lorsque certains traitements ne sont pas anodins, mais ne concernent qu’un groupe restreint et délimité de personnes. Dans ce cas, les informations correspondantes sont souvent mieux couvertes par une déclaration de protection des données spécialisée et plus petite plutôt que par une déclaration générale de protection des données très complète.
Non. Une déclaration de protection des données n’est pas un élément contractuel, mais une information. Le consentement à la déclaration de protection des données n’est pas nécessaire et devrait être évité. Dans le cas contraire, le traitement des données risque de se fonder sur un consentement – s’il est révoqué, le traitement correspondant pourrait donc devenir illicite.
Il n’est pas non plus obligatoire que la personne concernée confirme avoir lu la déclaration de confidentialité. Il suffit que le responsable puisse démontrer que la personne concernée a pu raisonnablement prendre connaissance de la déclaration de confidentialité.
Ce point n’est pas tout à fait clair. En Suisse, la pratique générale est qu’il est possible de s’informer sur Internet, car on peut raisonnablement exiger de la personne concernée qu’elle se rende sur un site Internet. Enfin, les lois fédérales sont également contraignantes dans leur version publiée sur Internet – même le législateur part donc du principe que l’Internet est utilisé. Il est clair que cela ne vaut pas pour toutes les personnes, mais ce n’est pas un contre-argument, il y a toujours des groupes de personnes qui ne peuvent pas utiliser un certain format (par exemple les malvoyants).
Mais cela n’existe que si les personnes concernées sont ou devraient être au courant, que un responsable traite des données personnelles vous concernant, par exemple parce que vous avez un contrat avec le responsable – sinon, vous ne savez pas que vous pouvez consulter les informations relatives à la protection des données sur son site web. En cas de traitement non reconnaissable, il convient donc d’indiquer activement l’emplacement de la (des) déclaration(s) de protection des données, par exemple sur Internet (p. ex. sur une communication, dans une signature d’e-mail, dans une facture, etc.
En Suisse, on part généralement du principe qu’une simple mention de la déclaration de protection des données suffit, avec indication du lien. Un code QR ou certaines données minimales pour le traitement ne sont pas nécessaires. Il suffit par exemple d’indiquer “Vous trouverez des informations sur notre traitement des données personnelles sur www.xyz.ch”.
Dans le cadre du RGPD, la pratique est plus stricte. Ici, certaines informations de base sont au moins exigées, là où il est fait référence à la déclaration de protection des données sur Internet.
Ce point n’est pas tout à fait clair. En Suisse, la pratique générale est qu’il est possible de s’informer sur Internet, car on peut raisonnablement exiger de la personne concernée qu’elle se rende sur un site Internet. Enfin, les lois fédérales sont également contraignantes dans leur version publiée sur Internet – même le législateur part donc du principe que l’Internet est utilisé. Il est clair que cela ne vaut pas pour toutes les personnes, mais ce n’est pas un contre-argument, il y a toujours des groupes de personnes qui ne peuvent pas utiliser un certain format (par exemple les malvoyants).
Mais cela n’existe que si les personnes concernées sont ou devraient être au courant, que un responsable traite des données personnelles vous concernant, par exemple parce que vous avez un contrat avec le responsable – sinon, vous ne savez pas que vous pouvez consulter les informations relatives à la protection des données sur son site web. En cas de traitement non reconnaissable, il convient donc d’indiquer activement l’emplacement de la (des) déclaration(s) de protection des données, par exemple sur Internet (p. ex. sur une communication, dans une signature d’e-mail, dans une facture, etc.
En Suisse, on part généralement du principe qu’une simple mention de la déclaration de protection des données suffit, avec indication du lien. Un code QR ou certaines données minimales pour le traitement ne sont pas nécessaires. Il suffit par exemple d’indiquer “Vous trouverez des informations sur notre traitement des données personnelles sur www.xyz.ch”.
Dans le cadre du RGPD, la pratique est plus stricte. Ici, certaines informations de base sont au moins exigées, là où il est fait référence à la déclaration de protection des données sur Internet.
Afin de contrôler le respect du RGPD et d’aider le responsable du traitement ou le sous-traitant, le RGPD prévoit le rôle du “délégué à la protection des données” (souvent abrégé en DPO, d’après le terme anglais “Data Protection Officer”). La loi révisée sur la protection des données reprend cette idée et connaît le “conseiller à la protection des données” (CPD).
Les DPO et les DPD sont censés être indépendants au sein de l’organisation de l’entreprise. En tant qu’employés, ils sont certes soumis aux instructions de l’entreprise, mais pas en ce qui concerne leur fonction de DPO et de DPD. L’entreprise ne peut donc pas leur dicter les traitements qu’ils doivent contrôler ou la manière dont ils doivent évaluer le respect de la législation sur la protection des données.
Afin de ne pas compromettre leur indépendance, ils ne doivent pas avoir de rôles ou de tâches qui les amèneraient à décider eux-mêmes des traitements de données. Ils peuvent donc être rattachés au service juridique ou à la conformité, ou constituer un poste à part entière, ou encore travailler dans l’informatique, mais pas comme responsables de telles fonctions, ni comme responsables du marketing.
En outre, le DPO et le DPD sont des personnes de contact pour les personnes concernées et les autorités. Leurs coordonnées doivent donc être publiées, par exemple dans une déclaration de protection des données.
Afin de contrôler le respect du RGPD et d’aider le responsable du traitement ou le sous-traitant, le RGPD prévoit le rôle du “délégué à la protection des données” (souvent abrégé en DPO, d’après le terme anglais “Data Protection Officer”). La loi révisée sur la protection des données reprend cette idée et connaît le “conseiller à la protection des données” (CPD).
Les DPO et les DPD sont censés être indépendants au sein de l’organisation de l’entreprise. En tant qu’employés, ils sont certes soumis aux instructions de l’entreprise, mais pas en ce qui concerne leur fonction de DPO et de DPD. L’entreprise ne peut donc pas leur dicter les traitements qu’ils doivent contrôler ou la manière dont ils doivent évaluer le respect de la législation sur la protection des données.
Afin de ne pas compromettre leur indépendance, ils ne doivent pas avoir de rôles ou de tâches qui les amèneraient à décider eux-mêmes des traitements de données. Ils peuvent donc être rattachés au service juridique ou à la conformité, ou constituer un poste à part entière, ou encore travailler dans l’informatique, mais pas comme responsables de telles fonctions, ni comme responsables du marketing.
En outre, le DPO et le DPD sont des personnes de contact pour les personnes concernées et les autorités. Leurs coordonnées doivent donc être publiées, par exemple dans une déclaration de protection des données.
Un répertoire de traitement est un inventaire des différentes activités de traitement.
Les responsables doivent enregistrer leurs activités de traitement conformément à la LPD révisée et au RGPD, en indiquant à chaque fois
Les sous-traitants doivent également tenir un registre des traitements, mais avec moins d’exigences en termes de contenu.
Les répertoires de traitement doivent être tenus à jour, ce qui nécessite en général des directives ou des processus internes.
Chaque responsable et chaque sous-traitant doit tenir un registre des traitements.
Il existe toutefois une “exception PME”. La révision de la LPD demande au Conseil fédéral de créer une exception pour les entreprises de moins de 250 employés, sous réserve d’un risque élevé. Le projet d’OLPD prévoit donc que les responsables et les sous-traitants ne doivent pas tenir de registre des traitements, à condition que
Pour ces risques, les traitements correspondants – mais seulement ceux-ci – doivent être enregistrés dans un registre.
Les organes fédéraux – c’est-à-dire aussi, par exemple, les caisses de pension et les organisations de droit privé qui accomplissent une tâche de la Confédération – doivent tenir un registre des traitements. Ils doivent en outre l’annoncer au PFPDT et lui fournir une liste de contrôle. Ouvrir un compte d’utilisateur. Mais on peut aussi envoyer le répertoire au PFPDT de cette manière. Les répertoires des organes fédéraux sont publié.
Le droit de la protection des données suit généralement une approche basée sur les risques. Cela signifie que le responsable du traitement et le sous-traitant doivent orienter leurs mesures de respect du droit de la protection des données en fonction des risques encourus par les personnes concernées – plus ces risques sont élevés, plus les exigences en matière de protection des personnes concernées sont importantes, par exemple par le biais de mesures de sécurité renforcées.
Cela exige de manière générale que les entreprises évaluent les risques de leurs traitements de données et qu’elles garantissent de manière proactive le respect de la législation sur la protection des données (c’est ce que signifie le principe de “privacy by design”).
S’ils constatent à cette occasion que certains traitements de données sont susceptibles d’être particulièrement risqués, ils doivent procéder à une analyse d’impact relative à la protection des données (AIPD). Cela s’applique aussi bien à la loi révisée sur la protection des données qu’au RGPD.
Une DSFA n’est donc rien d’autre qu’une évaluation des risques. Il faut évaluer les risques tels qu’ils se présentent ex ante, ce que l’on appelle les risques bruts. Il faut ensuite prendre en compte les mesures de réduction des risques et, à la fin, le risque restant, le risque net. Tout cela doit être documenté et, si un délégué à la protection des données ou un conseiller à la protection des données a été désigné, il doit être impliqué.
Si, exceptionnellement, il devait s’avérer que les risques nets restent élevés, l’autorité compétente en matière de protection des données doit en être informée. En Suisse, il s’agit du PFPDT. Toutefois, cette obligation de notification ne s’applique pas si un conseiller indépendant en matière de protection des données a été désigné et a participé à l’AIPD.
Le droit de la protection des données aborde le thème de la sécurité des données sous différents points de départ :
La législation sur la protection des données ne précise pas le niveau de protection à atteindre. Il dit seulement que celui-ci doit être adapté aux risques encourus par les personnes concernées. L’OLPD actuelle et le projet de révision de l’OLPD prévoient tout de même que le type et les circonstances du traitement des données, les risques pour les personnes concernées, l’état de la technique et les coûts de mise en œuvre doivent être pris en compte. Selon le secteur d’activité, des exigences particulières peuvent toutefois s’appliquer, de même que pour les organes publics.
On peut concrétiser les exigences en matière de sécurité des données en s’interrogeant sur certains risques ou, plus précisément, sur des scénarios de menace typiques. Les mesures de sécurité doivent être adaptées à ces scénarios. Il en résulte à nouveau ce que l’on appelle des objectifs de protection. Ils ne constituent pas une représentation exhaustive de la sécurité des données, mais ils aident, en tant qu’orientation typique, à examiner et à évaluer les mesures de sécurité.
Le projet de révision de l’OLPD prévoit les objectifs de protection suivants :
On peut aussi considérer la sécurité des données d’une autre manière, plus du point de vue du résultat et moins du point de vue des risques. Dans ce contexte, la sécurité des données doit garantir principalement trois points :
Après l’anglais “Confidentiality, Integrity” et “Availabilty”, on parle donc aussi de “CIA”.
Le droit de la protection des données décrit les mesures de sécurité comme des “mesures techniques et organisationnelles”, souvent abrégées en “TOM”.
Les mesures techniques sont des mesures qui sont implémentées techniquement, par exemple une protection par mot de passe ou un cryptage de transport. Les mesures organisationnelles s’appliquent aux personnes, par exemple par le biais d’un principe de double contrôle, d’une directive de clean desk, de contrats, de contrôles ou de formations. Les mesures techniques ont tendance à être considérées comme plus fortes.
La question de savoir quelles mesures de sécurité sont nécessaires dans chaque cas dépend des circonstances, par exemple du système de traitement des données, des risques et des mesures qui entrent effectivement en ligne de compte. Le RGPD énumère de manière non exhaustive les mesures suivantes, qui constituent toutefois en partie davantage des objectifs de protection que des mesures :
Le PFPDT a publié, dans son rapport quelque peu daté Guide des mesures techniques et organisationnelles exemples (nécessaires ou non, selon les circonstances).
Des mesures de sécurité concrètes sont également prescrites dans des réglementations sectorielles spécifiques, par exemple – bien entendu de manière non exhaustive – pour le secteur des cartes de crédit dans le Payment Card Industry Data Security Standard (PCI DSS), pour les banques et les maisons de titres dans la circulaire Risques opérationnels, dans les lignes directrices de l’Association suisse des banquiers pour la prévention des fuites de données et les recommandations pour la gestion de la continuité des activités, et pour la Confédération dans la prochaine loi sur la sécurité de l’information.
La LPD actuelle comprend le principe de sécurité des données de manière plus large et le considère en conséquence comme violé par tout traitement non autorisé. La LPD révisée et le RGPD sont plus restrictifs : le principe de sécurité des données ne concerne que la sécurité proprement dite.
Une violation de la sécurité est définie en conséquence, dans la loi révisée sur la protection des données comme dans le RGPD. Elle consiste à chaque fois en ce que
Ne constitue pas une violation de la sécurité un traitement non autorisé par le responsable du traitement, par exemple une omission de suppression ou un changement de finalité non autorisé.
La LPD actuelle ne prévoit pas expressément l’obligation de signaler les violations de la sécurité au PFPDT ou aux personnes concernées. Dans des cas exceptionnels, une telle obligation peut toutefois découler de principes généraux.
Le RGPD prévoit toutefois des obligations de notification, et la loi révisée sur la protection des données introduit également de telles obligations.
Des obligations de notification peuvent également résulter de réglementations spécifiques à certains secteurs. Celles-ci ne se fondent toutefois pas tant sur la violation de la protection des données personnelles que sur des incidents pertinents pour la branche concernée en général. L’obligation d’annoncer à la FINMA les incidents relevant de la surveillance, conformément à l’art. 29 LFINMA, en est un exemple.
Selon la LPrD révisée, les responsables doivent notifier au PFPDT une violation de la sécurité si celle-ci “est susceptible d’engendrer un risque élevé” pour les personnes concernées. C’est ici que la LPrD révisée se distingue du RGPD – selon le RGPD, toutes les violations de la sécurité qui entraînent un risque doivent être notifiées.
Il est également possible de signaler volontairement des violations de la sécurité au PFPDT. En règle générale, il est déconseillé de le faire.
Selon la loi révisée sur la protection des données, le responsable doit informer les personnes concernées d’une violation de la sécurité – concernant leurs données – si cela est nécessaire pour protéger la personne concernée. Cela peut être le cas, par exemple, lorsque des données d’accès à un compte ont été dérobées et que la personne concernée utilise éventuellement ces mêmes données d’accès ailleurs ou ne peut bloquer le compte concerné que par elle-même.
De même, les violations de la sécurité doivent être communiquées si le PFPDT le demande (mais pas nécessairement de la manière dont il le demande).