Cet article retrace l’arrivée de la nLPD et ses principes. Les points à vérifier sur votre site figurent dans nLPD et site web : ce que votre entreprise doit savoir.
Ce que change la nLPD
La loi fédérale sur la protection des données (nLPD) est en vigueur en Suisse depuis le 1er septembre 2023. Elle s’applique aux personnes privées, dont les entreprises, et aux organes fédéraux qui traitent des données de personnes physiques.
Les raisons de la révision
La loi précédente datait de 1992 et les technologies ont changé depuis. Le RGPD de l’Union européenne, adopté en 2016, s’applique depuis 2018. La Suisse devait s’aligner pour maintenir la libre circulation des données avec ses voisins et préserver la compétitivité de ses entreprises. La nLPD s’inspire largement du RGPD.
Principales nouveautés
Les données génétiques et les données biométriques qui identifient une personne de manière univoque sont désormais des données sensibles, au même titre que les données de santé. La protection des données dès la conception et par défaut (privacy by design et privacy by default) devient un principe légal. Elle se prévoit au moment de concevoir un projet.
La notification des violations de données est obligatoire : en cas d’incident qui présente vraisemblablement un risque élevé pour les personnes concernées, vous informez le Préposé fédéral à la protection des données (PFPDT) dans les meilleurs délais (art. 24 LPD). Les entreprises doivent aussi tenir un registre des activités de traitement. Une exception existe pour les PME à risque limité. Dans le doute, documentez.
Responsabilité personnelle
Contrairement au RGPD, qui sanctionne l’entreprise, la nLPD peut viser directement les personnes physiques responsables. Les amendes peuvent atteindre 250'000 CHF.
Cookies et consentement
Le PFPDT a publié des lignes directrices sur les cookies et le consentement. Pour les cookies non essentiels, le droit suisse n’exige en principe pas de consentement : il faut informer les visiteurs et leur offrir une possibilité de refus bien visible (art. 45c LTC). Un consentement exprès est requis pour les données sensibles ou le profilage à risque élevé. Lorsqu’un consentement est demandé, les utilisateurs doivent pouvoir choisir par finalité, comprendre à quoi ils consentent et le retirer facilement : une bannière qui ne propose qu’un accord global ne remplit pas ces conditions. Sur les sites que nous développons, nous intégrons un module de gestion du consentement hébergé en Suisse et adapté à l’identité de chaque client. Pour comparer les options, voir notre comparatif Cookiebot, OneTrust ou solution maison.
Outils tiers et transferts de données
Avec Google Analytics, Mailchimp ou un hébergement AWS, les données de vos visiteurs transitent par des serveurs étrangers. Cela entraîne des obligations supplémentaires : informer les personnes concernées et encadrer les transferts de données hors de Suisse.
Chez Anorac, nous avons choisi une infrastructure en Suisse : sites hébergés chez Infomaniak à Genève, analytics sans cookies tiers, emails transactionnels sur notre propre infrastructure. Les données de ces trois services restent en Suisse, sans transfert à l’étranger.
Démarche de mise en conformité
La mise en conformité d’une PME passe par quatre étapes : cartographier ses données, réviser sa politique de confidentialité, former ses équipes et choisir des outils conformes. Nous intégrons ces exigences dès la conception de votre site web. Notre démarche est présentée sur la page souveraineté numérique.
À lire aussi : nLPD et site web, Checklist nLPD : 10 points, Un site conforme nLPD dès le départ, Cloud souverain suisse pour votre PME
Sources
Confédération suisse, PME.admin.ch : Nouvelle loi sur la protection des données (nLPD)
PFPDT : Préposé fédéral à la protection des données et à la transparence
