La nouvelle loi suisse sur la protection des données et notre offre

La loi fédérale révisée sur la protection des données (LPD) a remplacé la loi de 1992. Elle s’applique, avec l’ordonnance sur la protection des données (OPDo), à partir du 1er septembre 2023, sans délai transitoire et quelle que soit la taille de l’entreprise. Quiconque exploite un site web, une boutique ou une plateforme traite des données personnelles et est donc concerné.

Ce qu’exige la LPD révisée

La révision a rapproché la loi du règlement général européen sur la protection des données (RGPD), sans pour autant la rendre identique. Les points qui ont le plus d’effet sur les services numériques :

• Seules les personnes physiques sont protégées. Les données concernant une SA ou une Sàrl ne relèvent plus de la LPD. Les personnes morales ne peuvent plus s’en prévaloir.
• Protection des données dès la conception et par défaut (art. 7) : les systèmes doivent être conçus sur le plan technique et organisationnel de manière à respecter les principes. Le paramètre par défaut est la variante la plus économe en données, pas la collecte maximale.
• Consentement exprès seulement là où il est nécessaire (art. 6, al. 7) : il est exigé pour les données personnelles sensibles et pour le profilage à risque élevé. Tout traitement ne requiert pas une case à cocher. Il doit toutefois être reconnaissable, proportionné et lié à une finalité.
• Registre des activités de traitement (art. 12) : les responsables du traitement et les sous-traitants tiennent chacun un registre. Le Conseil fédéral prévoit des exceptions pour les entreprises de moins de 250 collaboratrices et collaborateurs présentant un risque faible.
• Obligation d’annoncer les violations de la sécurité des données (art. 24) : « dans les meilleurs délais » au PFPDT, dès qu’il existe un risque élevé pour les personnes concernées.
• Droit d’accès (art. 25) : toute personne peut savoir quelles données la concernant sont traitées. Les renseignements sont gratuits et fournis en règle générale dans les 30 jours.
• Le conseil en protection des données reste facultatif (art. 10) : les responsables du traitement privés peuvent nommer une conseillère ou un conseiller à la protection des données, mais n’y sont pas tenus. Une représentation en Suisse est en revanche obligatoire pour les responsables du traitement ayant leur siège à l’étranger, s’ils remplissent les conditions de l’art. 14.

Le texte intégral de la loi est disponible sous RS 235.1 sur Fedlex.

Ce que l’on risque en cas d’infraction

Les amendes peuvent atteindre CHF 250'000 (art. 60 ss), et elles frappent des personnes privées, c’est-à-dire les personnes responsables, et non en premier lieu l’entreprise. La poursuite a lieu sur plainte. Si une amende de CHF 50'000 au plus entre en ligne de compte et que l’identification de la personne punissable exigerait des mesures d’instruction disproportionnées, l’autorité peut condamner l’entreprise au paiement de l’amende (art. 64, al. 2).

Au droit pénal s’ajoute le droit administratif : le PFPDT peut ordonner qu’un traitement soit adapté, suspendu ou cessé, ainsi que l’effacement ou la destruction de données personnelles (art. 51). Pour une activité en cours, c’est en général plus lourd de conséquences que l’amende.

Comment procéder au mieux

Un bon point de départ est un état des lieux : quels systèmes traitent des données personnelles, de quelles données il s’agit, d’où elles proviennent, qui y a accès, combien de temps elles sont conservées. Il en découle une analyse des écarts, puis la liste des mesures. Cela vaut la peine même si une analyse relative au RGPD existe déjà : la LPD s’en écarte sur plusieurs points, notamment le rapport entre consentement et motif justificatif, les sanctions et le traitement des données des personnes morales.

Ces points font partie de la liste :

• Déclaration de protection des données et devoir d’informer lors de la collecte
• une procédure pour les demandes d’accès et d’effacement qui respecte les 30 jours
• contrats avec les sous-traitants, y compris leurs propres sous-traitants
• registre des activités de traitement
• processus d’annonce des violations de la sécurité des données
• communication à l’étranger : documenter l’État de destination et les garanties
• formation du personnel : la plupart des incidents surviennent au quotidien, pas dans le code

Le site web est concerné dans tous les cas. Les personnes qui le visitent y laissent des données, et les cookies non nécessaires ainsi que le tracking exigent un consentement documenté ou au moins une possibilité d’opposition qui fonctionne.

Ce que nous prenons en charge pour le site web

Nous mettons en œuvre les exigences là où elles deviennent visibles sur le plan technique : dans le front-end, dans le tracking et dans l’exploitation. Le périmètre :

• soutien pour la déclaration de protection des données et les mentions légales
• intégration de Cookiebot, adaptée à l’identité visuelle
• contrôle quotidien automatisé des fonctions de protection des données avec Ghostinspector
• analyse régulière des données de Cookiebot
• révision annuelle de la situation en matière de protection des données, avec réunion de revue

Cookiebot : recueillir le consentement et en apporter la preuve

Cookiebot analyse le site web à la recherche de cookies et de traceurs, les classe par catégories et affiche la bannière par laquelle les personnes qui visitent le site font leur choix. Plus important que la bannière est le journal qui se trouve derrière : il consigne qui a consenti à quoi et quand. Sans cette preuve, un consentement ne vaut pas grand-chose en cas de litige.

Ghostinspector : un test quotidien plutôt que des sondages

Une bannière de consentement n’est pas un état, mais un logiciel : un déploiement, une nouvelle balise dans le Tag Manager ou une vidéo intégrée peuvent faire que des éléments se chargent soudain avant le consentement. Ghostinspector parcourt automatiquement les processus concernés et signale lorsqu’une fonction de protection des données ne fonctionne plus. Au passage, les mêmes tests détectent aussi des erreurs tout à fait ordinaires dans le processus de commande ou dans un formulaire.

Un seul grand ménage ne suffit pas

La LPD ne se règle pas une fois pour toutes. Les outils, les intégrations et la jurisprudence évoluent, et chacun de ces changements peut faire basculer un site web d’un état conforme à un état non conforme. C’est précisément pourquoi notre offre comprend un test continu et une revue annuelle, et pas seulement un projet.

Si vous voulez savoir où en est votre site web aujourd’hui : prenez contact avec nous, nous examinons la situation actuelle et vous disons ce qu’il faut faire.