Protection des données en Suisse : les lois que toute entreprise doit connaître
LPD, OPDo, RGPD, LSI, LTC et SCSE : panorama des lois suisses sur la protection des données et la sécurité informatique, et des différences avec le RGPD.
Toute entreprise qui traite des données personnelles en Suisse, ou des données de personnes résidant en Suisse, doit connaître un ensemble précis de lois. Le cadre suisse en matière de protection des données et de sécurité informatique est complet et largement aligné sur les standards internationaux, en particulier sur le Règlement général sur la protection des données de l’UE (RGPD). Ce guide présente les textes essentiels et les principales différences avec le RGPD.
Cybersécurité en Suisse : qui fait quoi ?
- Office fédéral de la cybersécurité (OFCS) : l’ancien Centre national pour la cybersécurité (NCSC) coordonne les efforts nationaux, publie des recommandations et apporte son soutien en cas de cyberattaque.
- Code pénal suisse : il réprime la cybercriminalité, notamment l’accès indu à un système informatique (piratage), la soustraction de données et la fraude informatique.
Protection des données et conformité IT
- Transferts de données à l’étranger : ils sont autorisés vers les pays offrant un niveau de protection adéquat. Pour les autres pays, des garanties supplémentaires sont nécessaires.
- Conformité IT : les entreprises doivent pouvoir démontrer leur conformité, par exemple par des audits réguliers, la formation des collaborateurs et des directives internes sur la protection des données.
Loi fédérale sur la protection des données (LPD / nLPD)
Le texte central est la loi fédérale sur la protection des données (LPD). Elle garantit que les données personnelles sont traitées dans le respect de la personnalité et des droits fondamentaux des personnes concernées.
- La notion de « données personnelles » est large : elle couvre toute information concernant une personne physique identifiée ou identifiable.
- Le traitement doit être licite, conforme au principe de la bonne foi et proportionné.
- Les personnes concernées disposent d’un droit d’accès, de rectification et d’effacement.
- Les entreprises doivent prendre des mesures techniques et organisationnelles appropriées pour protéger les données.
- La loi s’applique à tous les traitements effectués en Suisse et aux traitements à l’étranger qui déploient des effets en Suisse.
- La communication de données vers un pays sans protection adéquate exige des garanties spécifiques.
La LPD révisée (nLPD), en vigueur depuis le 1er septembre 2023, a rapproché le droit suisse du RGPD : obligations renforcées pour les entreprises, plus de transparence et des moyens d’exécution plus efficaces.
Ordonnance sur la protection des données (OPDo)
L’OPDo contient les dispositions d’exécution de la LPD et précise comment appliquer ses principes dans la pratique. Elle règle notamment les exigences minimales de sécurité des données, le registre des activités de traitement, l’annonce des violations et les tâches du Préposé fédéral à la protection des données et à la transparence (PFPDT).
En résumé : la LPD fixe le cadre juridique et les principes, l’OPDo fournit les règles concrètes pour les respecter.
nLPD vs RGPD : les principales différences
La Suisse n’est pas membre de l’UE, mais la nLPD est étroitement alignée sur le RGPD. Cela facilite les transferts de données et les activités internationales des entreprises suisses. Certaines différences importantes subsistent toutefois :
| nLPD (Suisse) | RGPD (UE) |
|---|---|
Champ d’application | |
S’applique aux personnes privées et aux organes fédéraux qui traitent des données personnelles en Suisse, ainsi qu’aux traitements à l’étranger qui déploient des effets en Suisse. | S’applique à toute organisation qui traite des données de personnes se trouvant dans l’UE, quel que soit son lieu d’établissement. |
Délégué à la protection des données (DPO) | |
Pas obligatoire, mais recommandé comme bonne pratique. | Obligatoire dans certains cas, par exemple pour les autorités publiques ou en cas de surveillance régulière et systématique à grande échelle. |
Base légale du traitement | |
Les données doivent être traitées de manière licite, de bonne foi et de façon proportionnée ; une base légale n’est pas exigée pour chaque traitement. | Six bases légales : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public et intérêt légitime. |
Notification des violations de données | |
Les violations entraînant un risque élevé doivent être annoncées au PFPDT « dans les meilleurs délais », sans délai fixe. | Notification à l’autorité de contrôle dans les 72 heures, sauf si la violation ne présente pas de risque pour les droits des personnes. |
Droits des personnes concernées | |
Droits similaires : accès, rectification, effacement et, depuis la révision, portabilité des données. | Accès, rectification, effacement (droit à l’oubli), limitation, portabilité et opposition. |
Sanctions | |
Amendes jusqu’à CHF 250 000, infligées aux personnes physiques responsables et non à l’entreprise. | Amendes administratives jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. |
Décisions automatisées et profilage | |
Devoir d’informer en cas de décision individuelle automatisée et droit de faire valoir son point de vue. | Droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques importants. |
Transferts à l’étranger | |
Autorisés vers les États figurant sur la liste du Conseil fédéral ; sinon, garanties nécessaires (p. ex. clauses contractuelles types). | Autorisés vers les pays bénéficiant d’une décision d’adéquation ou avec des garanties appropriées (clauses contractuelles types, BCR). |
Autorité de surveillance | |
Préposé fédéral à la protection des données et à la transparence (PFPDT). | Autorités de contrôle nationales, coordonnées par le Comité européen de la protection des données (CEPD). |
Les deux textes poursuivent les mêmes objectifs, mais une entreprise active en Suisse et dans l’UE doit tenir compte des deux.
Loi sur la sécurité de l’information (LSI)
Entrée en vigueur le 1er janvier 2024, la LSI vise à garantir la confidentialité, l’intégrité et la disponibilité des informations traitées par la Confédération et par les exploitants d’infrastructures critiques, par exemple dans l’énergie, l’eau potable, l’élimination des déchets, la finance, la santé, l’information et la communication, l’alimentation, les transports et la sécurité.
- Gestion de la sécurité de l’information : elle exige des systèmes de management (ISMS) fondés sur des normes reconnues.
- Obligation de signaler : depuis le 1er avril 2025, les exploitants d’infrastructures critiques doivent signaler les cyberattaques à l’OFCS dans les 24 heures.
Autres lois sur les communications électroniques et l’infrastructure IT
- Loi sur les télécommunications (LTC) : elle régit les services de télécommunication, notamment la concurrence, la protection des consommateurs et la sécurité des données.
- Loi sur la signature électronique (SCSE) : elle assimile la signature électronique qualifiée à la signature manuscrite.
Conclusion
La législation suisse sur la protection des données et la sécurité informatique est solide et moderne. Son alignement sur le RGPD permet aux entreprises suisses d’opérer sans obstacle à l’international tout en maintenant un haut niveau de protection des données et de cybersécurité.
PassSecurium héberge ses propres données et celles de ses clients exclusivement en Suisse, où elles sont protégées tant physiquement que juridiquement.
Sources :
Ce site web utilise des cookies. Ceux-ci ont deux fonctions: d'une part, ils fournissent des fonctionnalités de base pour le site web. D'un autre côté, ils nous permettent d'améliorer notre contenu en enregistrant et en analysant les données anonymes des utilisateurs. Vous pouvez à tout moment reconsidérer votre consentement à l'utilisation des cookies. Trouvez plus d'informations sur les cookies sur notre Déclaration relative aux cookies et sur notre Politique de confidentialité.