nLPD (Suisse) vs. RGPD (UE)
La nouvelle Loi fédérale sur la protection des données (nLPD) est entrée en vigueur le 1er septembre. Bien qu'elle s'inspire du Règlement général sur la protection des données de l'UE (RGPD), elle s'en distingue également.
Quand ces différences sont-elles importantes ?
Avec sa nouvelle loi sur la protection des données, la Suisse adopte une approche plus libérale. Les entreprises n'ont généralement pas besoin du consentement des utilisateurs et utilisatrices, mais doivent respecter une obligation d'information étendue.
Protection optimale pour les PME :
Bien que les deux lois semblent très similaires, elles divergent sur des aspects importants. Notre comparaison permet aux PME de rester conformes à la loi et d'éviter d'éventuelles sanctions.
Veuillez noter : Ceci est une aide, mais ne constitue pas un conseil juridique. Nous déclinons toute responsabilité.
Vous avez peu de temps ?
Du RGPD au nLPD
Le nLPD améliore non seulement la protection des données, mais préserve également la libre circulation des données avec l'UE. Pour toute PME qui satisfait déjà aux exigences du RGPD, il est maintenant urgent d'agir. Notre comparaison aide les entreprises à se préparer en fonction de leurs besoins et à maintenir leur compétitivité.
Veuillez noter : Notre liste de contrôle prépare les PME en 7 étapes aux changements les plus importants.
Les 11 principales différences en un coup d'œil :
| RGPD | nLPD | |
|---|---|---|
| 1. Sanctions | Amendes infligées à l'entreprise responsable, pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'entreprise. | En cas de violation des réglementations, amendes pénales allant jusqu'à deux cent cinquante mille CHF. La sanction est, à quelques exceptions près, liée à la personne physique responsable. |
| 2. Déclaration des violations de données | Obligation de notifier les violations de données présentant des risques pour les personnes concernées à l'autorité de protection des données dans les septante-deux heures. S'il existe un risque élevé pour la personnalité, la personne doit être informée. | Obligation, pour autant que cela soit nécessaire à la protection des personnes concernées. Le PFPDT ne doit être informé par le responsable du traitement qu'en cas de risque élevé, c'est-à-dire lorsque cela est requis pour la protection de la personne concernée. Il n'y a pas de délai de 72 heures, mais il faut agir “dans les meilleurs délais”. |
| 3. Transferts de données | La Commission européenne décide de l'admissibilité. Les clauses contractuelles types de l'UE et les règles d'entreprise contraignantes sont applicables. | Le même concept. Le Conseil fédéral décide de l'admissibilité des exportations de données. Les mêmes clauses contractuelles types et règles d'entreprise contraignantes que dans l'UE sont applicables. |
| 4. Désignation d'un délégué à la protection des données | Obligation si l'entreprise procède à une surveillance régulière et systématique à grande échelle ou traite des catégories particulières de données à grande échelle, conformément à l'art. 37. | Pas d'obligation, mais fortement recommandé. La désignation facilite le traitement des données présentant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. |
| 5. Analyse d'impact relative à la protection des données | Si, malgré les mesures prises, un risque élevé subsiste, une consultation avec les autorités de contrôle est obligatoire. | S'il existe un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, une analyse d'impact relative à la protection des données (AIPD) doit être réalisée. Si, malgré les mesures, le risque persiste, une consultation avec un délégué à la protection des données ou le PFPDT est possible. |
| 6. Représentant en matière de protection des données | Les entreprises ayant leur siège en dehors d'un pays de l'UE/EEE, qui proposent leurs services à des clients dans les pays de l'UE/EEE, traitent des données ou observent le comportement, doivent désigner un représentant officiel dans l'UE/EEE. | Lors du traitement de données par un responsable ayant son siège à l'étranger, une représentation en Suisse doit être désignée. De même, si le traitement des données présente un risque élevé, est étendu ou régulier. |
| 7. Profilage | Obligation générale d'obtenir le consentement. | Obligation générale d'obtenir le consentement uniquement en cas de profilage à haut risque. |
| 8. Obligation d'informer | Obligation d'informer la personne concernée lors de la collecte de données personnelles. | Le responsable du traitement doit informer la personne concernée de l'obtention de données personnelles, même si les données ne sont pas collectées directement auprès d'elle (conformément à l'Art. 18a). |
| 9. Traitement des données personnelles | Le traitement des données personnelles est en principe interdit, à moins qu'il n'existe une base légale (par exemple, consentement, contrat, obligation légale). | Ici, le traitement des données personnelles est généralement autorisé, sauf en cas d'atteinte illicite aux droits de la personnalité. |
| 10. Droit d'accès | Les personnes concernées ont le droit d'obtenir des informations concernant leurs données personnelles traitées. Cela inclut, entre autres, les finalités du traitement et l'origine des données. | Similaire au RGPD, mais avec plus d'exceptions. L'accès peut par exemple être refusé si la vie privée de tiers ou des intérêts prépondérants sont concernés. |
| 11. Registre des activités de traitement | Les entreprises doivent tenir un registre de leurs activités de traitement, conformément à l'Art. 37. | Les responsables du traitement ou les sous-traitants tiennent un registre des activités de traitement avec un contenu minimal requis. Une exception s'applique aux entreprises de moins de 250 employés et aux traitements de données présentant de faibles risques d'atteinte à la personnalité. Cependant, il n'y a pas d'exception en cas de profilage à risque élevé ou de traitement de données particulièrement sensibles à grande échelle. |
Bannières de cookies pour les sites web suisses ?
Selon la nouvelle loi sur la protection des données, les bannières de cookies ne sont pas obligatoires en Suisse (Source : PFPDT). Les réglementations de l'UE, en revanche, exigent des bannières de cookies qui recueillent le consentement des utilisateurs et utilisatrices.
Lorsque les sites web suisses utilisent des cookies, les opérateurs doivent fournir des informations sur la collecte de données de manière transparente, compréhensible et facilement accessible. Le traitement de données personnelles particulièrement sensibles continue d'exiger un consentement en Suisse.
À quoi ressemble une bannière de cookies conforme à la loi ?
Les bannières de consentement ne doivent pas activer les cookies par défaut, forcer les utilisateurs et utilisatrices à donner leur consentement, ni interpréter la navigation sur le site comme un consentement.
Il n'est pas permis de subordonner l'accès au site web au consentement. Il est important que les bannières de cookies permettent un consentement volontaire et offrent la possibilité d'accepter ou de refuser des cookies individuels.
Quelles sont les directives applicables aux bannières de cookies ?
Selon le PFPDT, lors de l'utilisation de cookies à des fins de suivi web, les opérateurs doivent tenir compte des exigences de la directive ePrivacy du Parlement européen et du Conseil concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques.
Quand les sites web suisses doivent-ils être conformes au RGPD ?
La législation applicable dépend de la localisation des utilisateur·rice·s. Ainsi, pour les visiteur·rice·s de l'UE, les sites web suisses doivent également remplir les exigences du RGPD, telles que les bannières de cookies.
Les organisations suisses doivent décider individuellement si les bannières de cookies sont nécessaires pour leur site web. Nous sommes à votre disposition pour vous accompagner dans cette évaluation et la mise en œuvre technique qui en découle.
Conclusion
La nouvelle LPD arrive et fixera de nouvelles normes en matière de protection des données en Suisse. À première vue, elle améliore principalement la protection des citoyen·ne·s suisses et s'inspire du RGPD de l'UE.
Cependant, en y regardant de plus près, on constate des différences importantes que les PME devraient prendre en compte. En s'adaptant aux nouvelles directives, les entreprises et associations suisses se préparent au mieux pour le 1er septembre. Ainsi, elles renforcent non seulement la confiance de leurs client·e·s et leur position sur le marché, mais elles résistent également à la pression de la digitalisation.
Ne perdez pas de temps et commencez dès aujourd'hui la préparation !
Nous maîtrisons le marketing digital encore mieux que la protection des données.🙂 En tant qu' agence de marketing digital innovante, nous sommes votre interlocuteur idéal lorsqu'il s'agit d'une stratégie marketing individuelle et réussie.
