La nouvelle loi fédérale suisse sur la protection des données (nLPD) est entrée en vigueur le 1^er septembre 2023. Elle constitue une étape importante vers l’harmonisation des législations européenne et suisse en matière de protection des données. Les deux réglementations ne sont toutefois pas identiques : elles diffèrent sensiblement sur certains points.

Ce que le RGPD et la nLPD ont en commun

• La définition des « données personnelles » est pour l’essentiel la même dans les deux lois. Seules les données relatives aux personnes physiques sont concernées.
• Une entreprise doit informer l’utilisateur du traitement de ses données dans une déclaration de confidentialité et, lorsque cela est requis, ne les traiter qu’avec son consentement explicite (les conditions du RGPD sont toutefois bien plus strictes).
• À l’instar du droit d’accès prévu par le RGPD, la nLPD donne à l’utilisateur le droit d’obtenir de l’entreprise, dans un délai de 30 jours après sa demande, l’accès aux données personnelles qui le concernent et qu’elle traite. En outre, le droit d’opposition de la nLPD englobe les droits d’opposition, d’effacement et de limitation qui, dans le RGPD, restreignent le traitement des données.
• L’entreprise doit tenir un registre des activités de traitement, qui contient également la liste des pays ou des tiers auxquels les données des utilisateurs sont communiquées.
• Les deux lois obligent l’entreprise à prendre des mesures techniques et organisationnelles appropriées pour garantir un niveau adéquat de sécurité des données.
• Les données des utilisateurs ne devraient être transférées que vers des pays offrant un niveau de protection adéquat (elles peuvent néanmoins être transférées si des garanties suffisantes ont été prises pour compenser l’écart de protection).
• Les responsables du traitement et les sous-traitants sont tenus de signaler les violations de données (la loi suisse ne fixe toutefois pas de délai précis et emploie la formule « dans les meilleurs délais »).

Comme on le voit, les règles générales sont assez proches. Et bonne nouvelle : si votre entreprise traite déjà des données d’utilisateurs de l’Union européenne, elle doit de toute façon respecter le RGPD. Dans ce cas, votre système informatique ne nécessite pas d’adaptations majeures.

Les principales différences entre la nLPD et le RGPD

• Le RGPD énumère 9 catégories de données personnelles sensibles et la nLPD en ajoute 2 : les données sur les poursuites et sanctions administratives ou pénales, et les données relatives aux mesures d’aide sociale.
• La nLPD repose sur le principe qu’une personne privée peut traiter des données personnelles, alors que le RGPD ne lui accorde ce droit qu’en présence d’une justification particulière.
• En conséquence de ce principe, les amendes prévues par la nLPD visent les personnes physiques (et non les entreprises comme dans le RGPD) et peuvent atteindre 250 000 CHF. S’il n’est pas possible d’identifier la personne responsable, l’entreprise peut se voir infliger une amende allant jusqu’à 50 000 CHF. Reste à voir comment cette approche sera appliquée dans la pratique.
• Le champ d’application territorial diffère : celui de la loi suisse est plus large et repose sur le « principe des effets », selon lequel tout traitement de données produisant des effets en Suisse est concerné, quel que soit le lieu où il a eu lieu.
• Le RGPD exige une justification pour tout traitement de données personnelles et oblige le responsable du traitement à obtenir le consentement de l’utilisateur, tandis que la nLPD exige le consentement libre et explicite de l’utilisateur pour le traitement de données sensibles et le profilage.
• La nLPD n’impose pas la désignation d’un délégué à la protection des données : ce poste est facultatif et porte le nom de « conseiller à la protection des données ».
• Enfin, le RGPD est un règlement supranational appliqué dans toute l’UE, des autorités indépendantes étant chargées de contrôler son application dans chaque État membre. La nLPD est une loi fédérale qui s’impose aux autorités fédérales et aux entreprises du secteur privé, mais pas aux autorités cantonales. La coopération entre les autorités fédérales et cantonales de protection des données est cependant bien établie et efficace.

Les différences sont donc bien réelles. Même si le RGPD a servi de base à la nLPD, les différences entre les systèmes suisse et européen ont rendu la mise en œuvre de nombreux points unique. L’entrée en vigueur de la loi ouvre une période d’ajustement, à l’issue de laquelle il sera possible d’en évaluer les avantages et les inconvénients.

Notre entreprise s’engage à respecter au mieux les lois sur la protection des données dans ses activités et ses produits. Nous disposons déjà d’une solide expérience dans la mise en œuvre de ces pratiques en interne, ainsi que dans l’accompagnement d’autres entreprises pour évaluer et reconfigurer leurs systèmes informatiques conformément à la loi.

Pour un conseil en informatique et en protection des données, contactez-nous via le formulaire du site. Nos experts se feront un plaisir de vous aider.

Sources :

https://www.netzwoche.ch/news/2023-06-21/das-sagt-der-edoeb-zum-neuen-datenschutzgesetz

https://www.netzwoche.ch/news/2023-06-07/neues-datenschutzgesetz-sind-sie-bereit

https://www.rosenthal.ch/downloads/VISCHER-revDPA-GDPR-Comparison.pdf

https://www.fedlex.admin.ch/eli/cc/2022/491/de

https://gdpr-info.eu/