Révision de la loi suisse sur la protection des données (LPD) : nouveautés et perspectives.

Essayons donc de faire une brève digression sur les principales innovations approuvées par les chambres fédérales, sur lesquelles le débat reste ouvert et utile. Nous nous concentrerons sur celles particulièrement pertinentes et d’impact plus sensible:

1. La nouvelle catégorisation des données personnelles, notamment celles identifiées comme sensibles. Ce sont des données qui nécessitent une protection particulière; la catégorie a été étendue aux données sur l’ethnicité, la génétique et les données biométriques qui permettent d’identifier clairement une personne physique;
2. L’introduction du concept de « profilage à haut risque« . Prenons un exemple: il s’agit de profilage quand on nous propose de la publicité comportementale, comme par exemple lorsque nous visualisons une affiche publicitaire sur un site internet relative à un service que nous avions préalablement recherché: il s’agit donc d’un traitement automatisé de données personnelles. D’autre part, le profilage à haut risque, c’est quand il y a une analyse visant un sujet spécifique. Ce profilage est donc mis en évidence, souligné sur le plan juridique et donc individualisé: « tout traitement de données ou de données personnelles visant à analyser ou à prédire les caractéristiques personnelles essentielles d’une personne, notamment les performances professionnelles, la situation économique, la santé, la vie intime ou les voyages». Dans ce cas, la notion retenue correspond à la définition légale faite dans le RGPD européen. Par ailleurs, la perspective du consentement des intéressés était initialement une porte ouverte. Nous avons essayé de comprendre si le consentement pouvait ou non discriminer l’utilisation du profilage dans ce sens: apparemment non et le profilage (pour l’instant) devrait être autorisé sans consentement;
3. le droit des organisations de nommer un consultant pour la protection des données personnelles, qui agira en tant qu’interlocuteur tant vis-à-vis des intéressés que des autorités (dont le PFPDT – Préposé fédéral à la protection des données et à la transparence);
4. obligation de notifier toute « violation de données » au PFPDT et plus encore précisément lorsque la violation comporte un risque élevé pour les droits et libertés fondamentaux des parties intéressées et, dans certains cas, l’obligation de communiquer la violation aux parties intéressées a également été incluse;
5. L’importance de réaliser une analyse d’impact sur la protection des données, si le traitement présente un risque élevé pour les droits et libertés des personnes concernées. Il s’agit d’un aspect particulièrement délicat qui nécessite une réflexion approfondie de la part des entreprises concernées. En particulier, de nouvelles obligations en matière de transparence et de documentation seront imposées, ainsi que des activités de traitement spécifiques liées aux risques.
   Quelques exemples:
   • établir un inventaire des activités de traitement, sauf si l’exception des petites et moyennes entreprises (article 12) s’applique;
   • rédiger ou mettre à jour les informations relatives à la vie privée des personnes concernées afin de remplir l’obligation de fournir des informations lors de la collecte de données personnelles (article 19 et suivants);
   • examiner les contrats avec les sous-traitants, les responsables conjoints du traitement et les tiers (par exemple, articles 9 et 16 et suivants);
   • évaluer l’impact sur la protection des données lorsque le traitement risque d’entraîner un risque élevé pour les droits et libertés de la personne concernée, incluant potentiellement tout « profilage à haut risque » (article 22) (voir point 2 de cette liste);
     Comme on peut le voir, les entreprises sont incitées à mettre à profit le temps d’entrée en vigueur de la LPD pour mettre à jour leurs dispositifs et évaluer l’impact sur leurs activités, commencer à mettre en œuvre ou à développer des processus qui seront conformes aux développements en cours sur la Protection des données & Vie privée.
6. Un autre aspect fondamental, mais pas le dernier à considérer, est l’attribution au PFPDT de pouvoirs d’inspection, d’accès aux lieux et documents appartenant à l’entreprise pour effectuer les investigations nécessaires. En cas de violation de la loi, l’accent est mis sur l’utilisation éventuelle de l’instrument des amendes jusqu’à CHF 250’000.00-. Nous soulignons que la révision de la loi sur la Vie privée en Suisse renforce les dispositions pénales sur la protection des données, d’autant plus que, contrairement à ses homologues européens, le Préposé à la protection des données et à la transparence ne peut imposer de sanctions administratives. En outre, au cours du processus législatif, il a été exprimé que les sanctions pénales visent principalement les dirigeants et non les employés qui, dans l’exercice de leur travail, sont en contact avec des données soumises à protection. Dans le même temps, cependant, il n’a pas été complètement exclu qu’il puisse y avoir des cas dans lesquels la sanction puisse également être infligée à des employés sans fonctions de direction. Toutefois, en cas d’infractions pour lesquelles une amende de CHF 50’000.00 est envisagée, mais que l’effort d’identification de l’auteur au sein de l’entreprise serait disproportionné, l’entreprise peut être condamnée à payer l’amende à la place de la personne physique qui a commis l’infraction. Ce point reste ouvert aux évolutions législatives.