En coulisse
Consentement sans contrôle : pourquoi les bannières de cookies échouent-elles ?
par Florian Bodoky
La nouvelle loi suisse sur la protection des données
29/8/2023
Traduction : Stéphanie Klebetsanis
La nouvelle loi sur la protection des données entrera en vigueur en Suisse le 1er septembre pour mieux protéger vos données. Je vous explique ce que vous pouvez en attendre, et ce qu’elle vous impose.
Dans notre société actuelle, vous produisez des données en continu, ou presque. Lorsque vous présentez votre Swisspass dans les transports publics, vous payez votre repas de midi à la cantine, et même la nuit, si vous suivez votre sommeil sur votre montre connectée.
Un grand nombre de vos données sont traitées par des entreprises, à des fins très diverses. Ce n’est pas interdit en tant que tel, mais il existe des règles claires concernant les données traitables, dans quel but, et les données auxquelles on ne peut pas toucher. Ces règles sont stipulées dans la loi sur la protection des données. Le problème, c’est que la dernière version datait de 1992, avant même que le CERN n’ouvre le World Wide Web au public.
Le 25 septembre 2020, le Parlement a donc adopté une révision complète de la loi fédérale sur la protection des données (LPD). Le 31 août 2022, il a décidé que la loi entrerait en vigueur le 1er septembre 2023. Cette longue période de transition devait permettre aux entreprises d’appliquer les nouvelles directives.
Que contient la révision de la loi ?
Trois composantes principales : 1. Vos droits lorsque quelqu’un traite vos données personnelles. 2. Les obligations d’autrui lorsqu’il ou elle traite vos données personnelles. 3. Les conséquences si la personne ne respecte pas ses obligations, volontairement ou involontairement.
La LPD « protège la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles font l’objet d’un traitement ».
Quelle est son utilité ?
En Suisse, nous avons ce qu’on appelle « l’autodétermination informationnelle ». Nous pouvons en principe décider nous-mêmes de l’utilisation de nos données, du moins de celles qui se rapportent concrètement à nous. C’est inscrit dans la Constitution, à l’art. 13, paragr. 2.
Ce droit s’applique aux données que l’État ou des entreprises collectent et traitent à notre sujet. C’est le devoir de l’État de le garantir. La nouvelle loi sur la protection des données est l’instrument par lequel l’État s’acquitte de ce devoir et veille à ce que nos droits soient respectés.
Quel est l’objectif de la révision ?
La loi prescrit aussi comment les services qui collectent des données doivent les traiter, ce qu’ils sont autorisés à en faire, et comment procéder si un événement contraire à la LPD s’est produit. Les sanctions possibles sont également définies dans le texte.
Et qu’en est-il du rôle du Préposé fédéral à la protection des données et à la transparence (PFPDT) ? Ses compétences sont élargies, et il possède une plus grande autonomie.
D’une manière générale, la nouvelle loi rend la protection des données beaucoup plus stricte, et les manquements sont plus sévèrement sanctionnés. Deux raisons principales expliquent cette décision : premièrement, l’ancienne LPD était obsolète. Les questions de protection des données sur Internet actuelles n’y étaient pas ou pas suffisamment réglementées.
Deuxièmement, la coopération avec l’UE nécessitait une révision. En effet, la révision complète maintient le statut de la Suisse en tant que « pays tiers offrant un niveau adéquat de protection des données ». Elle garantit ainsi que les deux parties puissent poursuivre leur collaboration sans être soumises à des contraintes.
La révision complète maintient le statut de la Suisse en tant que « pays tiers offrant un niveau adéquat de protection des données ».
Cela renforce la protection de vos données personnelles à l’étranger, et vice versa. C’est ce que prévoit la Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (Convention 108), que la Suisse a cosignée.
Quelles sont les différences entre la nouvelle LPD et le RGPD ?
Le RGPD est le règlement général sur la protection des données de l’Union européenne. C’est le pendant de notre LPD.
Quelles données sont protégées, et comment le sont-elles ?
Les données dites personnelles, c’est-à-dire votre nom, votre adresse postale, votre adresse e-mail, votre numéro de téléphone ou d’autres informations qui se rapportent concrètement à vous (LPD, art. 5).
La protection est assurée par les règles inscrites dans la LPD. On peut les classer en deux grandes catégories : les règles qu’une entreprise doit suivre lors de la collecte et du traitement de vos données, et les conditions techniques et organisationnelles qu’elle doit remplir à cet égard.
Quelles sont les mesures de protection déjà en vigueur ?
Une partie des règles qui concernent la collecte et le traitement des données, comme la proportionnalité et la finalité lors de la collecte de données, figurait déjà dans l’ancienne version de la LPD. Je vous donne un exemple concret :
Quelles sont les nouvelles mesures de protection ?
Quelques mesures ont été rajoutées pour refléter l’époque actuelle. Je vous résume les points clefs. Si vous voulez connaître tous les détails, allez consulter la FAQ du PFPDT.
Des amendes plus élevées sont censées contribuer au meilleur respect de la loi.
Que sont les « données sensibles » ?
Les « données sensibles » (LPD, art. 5c) sont des données vous concernant qui sont particulièrement sensibles, comme des informations sur votre santé, vos allocations sociales et vos antécédents judiciaires, mais aussi votre appartenance religieuse ou ethnique, et vos opinions politiques.
Si une entreprise prévoit de collecter et de traiter de telles données à votre sujet, elle doit vous demander formellement votre autorisation au préalable. Vous en informer, comme c’est le cas des autres types de données, ne suffit pas.
Qu’en est-il des sites web d’associations ?
La nouvelle LPD ne vous impose pratiquement rien en tant que particulier. Vous bénéficiez simplement de mesures modernes de protection des données. La situation est différente si vous êtes resonsable du site web d’une association, par exemple. En effet, une association a des devoirs en matière de protection des données, par exemple en ce qui concerne les données personnelles de ses membres. Vous avez maintenant deux obligations essentielles supplémentaires.
Le formulaire d’inscription à la soirée barbecue du club de bowling est lui aussi soumis à la protection des données.
Deuxièmement, vos membres doivent vous autoriser explicitement à transmettre leurs données à des tiers externes. Par exemple, la FIFA demande toujours à recevoir une liste complète de visiteurs lorsqu’un club souhaite se rendre à son musée à Zurich. Chaque membre doit vous y autoriser clairement.
D’autres détails sont prévus, selon le contexte, sur une base optionnelle. Le PFPDT donne un bon aperçu de ces informations ici.
Photo d’en-tête : Shutterstock
Depuis que j'ai découvert comment activer les deux canaux téléphoniques de la carte RNIS pour obtenir une plus grande bande passante, je bricole des réseaux numériques. Depuis que je sais parler, je travaille sur des réseaux analogiques. Un Winterthourois d'adoption au cœur rouge et bleu.
Sécurité
Suivez les thèmes et restez informé dans les domaines qui vous intéressent.
En coulisse
Des informations intéressantes sur le monde des produits, un aperçu des coulisses des fabricants et des portraits de personnalités intéressantes.
Tout afficher
