La nouvelle loi suisse sur la protection des données est entrée en vigueur le 1er septembre. Quels sont les enjeux?  

Thomas Letsch: La nouvelle loi sur la protection des données protège la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles font l’objet d’un traitement. Les données personnelles comprennent toutes les informations concernant une personne physique identifiée ou identifiable. Il s’agit généralement du nom, de l’adresse, du numéro de téléphone, de la date de naissance, mais dans certaines circonstances également de données génétiques et même d’adresses IP. La nouvelle loi suisse est largement harmonisée avec les nouvelles règles européennes de protection des données. Elle définit en priorité les obligations des responsables du traitement dans la protection et le traitement des données personnelles. Cela signifie en particulier que tout traitement des données personnelles doit être licite et conforme aux principes de la bonne foi et de la proportionnalité. En outre, les données personnelles ne peuvent être collectées qu’à des fins précises que la personne concernée peut identifier et comprendre.

La loi sur la protection des données règle également la transmission de données personnelles à des tiers: aussi bien les sous-traitants que les responsables du traitement doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité des données personnelles proportionnée au risque encouru. En pratique, cela se fait en général par le biais de contrats de sous-traitance des données. Lorsque par exemple une entreprise utilise une application pour l’envoi de newsletters, elle doit régler la question générale de l’accessibilité à cette application ainsi que celle du cercle des personnes autorisées. Et elle doit aussi veiller à ce que cet instrument soit tenu à jour.

Cette loi a été élaborée en tenant compte des développements techniques en général et différentes dispositions ont été adaptées en conséquence. 

Qu'y a-t-il de nouveau et qui est concerné par ces nouveautés? 

La nouvelle loi améliore les droits des personnes sur leurs données parce qu’elles doivent être informées chaque fois que des données personnelles sont collectées – et non plus «seulement» pour les données sensibles. En outre, les entreprises sont tenues de communiquer aux personnes concernées l’identité du responsable du traitement des données ainsi que la finalité du traitement, ce qui généralement est fait dans la déclaration de protection des données.

La nouvelle loi introduit aussi les principes de «Privacy by Design» et de «Privacy by Default». Cela signifie que les responsables doivent dès la conception des applications mettre en œuvre les principes de traitement des données prévus par la loi et que, dans le cas où ils offrent aux personnes concernées la possibilité de choisir les données traitées, leur consentement défini dans les préréglages ne porte que sur ce qui est absolument nécessaire. Si un tel choix est présenté, il faut que les personnes concernées ne puissent assouplir la protection des données qu’en modifiant activement les préréglages. Concrètement, sur les sites internet, cela signifie que la case prévoyant le consentement à l’utilisation des données personnelles à des fins publicitaires ne doit pas être déjà remplie par une croix.

Si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour les personnes concernées, la nouvelle loi impose au responsable du traitement d’annoncer aussi rapidement que possible l’incident au préposé fédéral à la protection des données. En cas de violation, le responsable du traitement encourt une amende personnelle pouvant aller jusqu’à 250'000 francs.

Quels conseils donneriez-vous aux professionnel-le-s en matière de protection des données et pour bien gérer leurs données personnelles dans le monde numérique?

Les données personnelles ne devraient être transmises à des tiers qu’avec circonspection – en particulier quand le destinataire les envoie pour traitement dans un pays tiers peu sûr. Les indications à ce sujet se trouvent dans la déclaration de protection des données.

Si une personne souhaite savoir quelles données une organisation a collectées sur elle, elle peut le requérir par le biais d’un formulaire de «droit d’accès». S’il s’avère que les données ne sont pas exactes, la personne concernée à la possibilité d’exiger leur rectification ou, en dernier recours, leur effacement.

Les employé-e-s devraient savoir quelles sont les directives de protections des données en vigueur dans leur entreprise et comment gérer les données personnelles. Les collaborateurs et collaboratrices devraient aussi connaître le règlement de protection des données de l’entreprise qui détermine le cadre du traitement et de la protection des données personnelles au sein de l’entreprise.