nDSG (Suisse) vs RGPD (UE)
La nouvelle loi suisse sur la protection des données (nDSG) est entrée en vigueur le 1er septembre. Elle s'inspire certes de la loi européenne sur la protection des données (RGPD), mais s'en distingue également.
Quand ces différences jouent-elles un rôle ?
Avec la nouvelle loi sur la protection des données, la Suisse adopte une approche plus libérale. En règle générale, les entreprises n'ont pas besoin du consentement des utilisateurs, mais doivent respecter une obligation d'information élargie.
Protection optimale pour les PME :
Ces deux lois semblent très similaires, mais elles diffèrent sur des aspects importants. Grâce à notre comparaison, les PME restent en conformité avec la loi et échappent à d'éventuelles sanctions.
Remarque : ceci est une aide, mais pas un conseil juridique. Nous déclinons toute responsabilité.
Vous avez peu de temps ?
RGPD et nLPD
La nDSG améliore non seulement la protection des données, mais préserve également la libre circulation des données avec l'UE. Toute PME qui satisfait déjà aux exigences du RGPD doit désormais agir. Notre comparatif aide les entreprises à se préparer en fonction de leurs besoins et à préserver leur compétitivité.
Remarque: notre liste de contrôle prépare les PME aux changements les plus importants en 7 étapes.
Les 11 différences principales en un coup d'œil :
| RGPD | nDSG | |
|---|---|---|
| 1. Sanctions | Amendes infligées à l'entreprise responsable pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'entreprise. | En cas d'infraction aux dispositions, des amendes pénales pouvant aller jusqu'à 250 000 CHF peuvent être infligées. À quelques exceptions près, la sanction est liée à la personne physique responsable. |
| 2. Signalement des violations de la protection des données | Obligation de signaler à l'autorité chargée de la protection des données, dans un délai de 72 heures, toute violation de la protection des données présentant des risques pour les personnes concernées. Si le risque pour la personnalité est élevé, la personne doit en être informée. | Obligation, dans la mesure où cela est nécessaire pour protéger les personnes concernées. Le PFPDT ne doit être informé par le responsable du traitement qu'en cas de risque élevé, c'est-à-dire lorsque cela est nécessaire pour protéger la personne concernée. Il n'y a pas de délai de 72 heures, mais « dès que possible ». |
| 3. Exportation des données | La Commission européenne statue sur la recevabilité. Les clauses contractuelles types de l'UE et les règles d'entreprise contraignantes sont applicables. | Même concept. Le Conseil fédéral décide de l'admissibilité des exportations de données. Les mêmes clauses contractuelles types et les mêmes règles internes contraignantes que celles en vigueur dans l'UE sont applicables. |
| 4. Nomination d'un délégué à la protection des données | Obligation lorsque l'entreprise effectue un suivi régulier et systématique à grande échelle ou traite à grande échelle des catégories particulières de données, conformément à l'art. 37. | Ce n'est pas obligatoire, mais fortement recommandé. La désignation facilite le traitement des données présentant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. |
| 5. Évaluation de l'impact sur la protection des données | Si, malgré les mesures prises, le risque reste élevé, il est obligatoire de consulter les autorités de surveillance. | Si un risque élevé pèse sur la personnalité ou les droits fondamentaux des personnes concernées, il convient de procéder à une analyse d'impact relative à la protection des données (AIPD). Si, malgré les mesures prises, le risque persiste, il est possible de consulter un préposé à la protection des données ou le PFPDT. |
| 6. Représentation en matière de protection des données | Les entreprises dont le siège social est situé en dehors d'un pays de l'UE/EEE et qui proposent leurs services à des clients dans des pays de l'UE/EEE, traitent des données ou observent le comportement de ces clients doivent désigner un représentant officiel dans l'UE/EEE. | Lorsque le traitement des données est effectué par un responsable dont le siège se trouve à l'étranger, un représentant doit être désigné en Suisse. Il en va de même lorsque le traitement des données comporte un risque élevé, est de grande envergure ou est effectué régulièrement. |
| 7. Profilage | Obligation générale d'obtenir le consentement. | Obligation générale d'obtenir le consentement uniquement dans les cas suivants profilage à haut risque. |
| 8. Obligation d'information | Obligation d'informer la personne concernée lors de la collecte de données à caractère personnel. | Le responsable doit informer la personne concernée de la collecte de données à caractère personnel, même si ces données ne sont pas collectées auprès de la personne concernée (conformément à l' art. 18a). |
| 9. Traitement des données personnelles | Le traitement des données personnelles est en principe interdit, sauf s'il existe une base juridique (par exemple, consentement, contrat, obligation légale). | Dans ce cas, le traitement des données personnelles est généralement autorisé, sauf en cas d'atteinte illicite aux droits de la personnalité. |
| 10. Droit d'accès | Les personnes concernées ont le droit d'obtenir des informations sur leurs données à caractère personnel traitées. Cela comprend, entre autres, les finalités du traitement et l'origine des données. | Similaire au RGPD, mais avec davantage d'exceptions. L'accès aux informations peut par exemple être refusé si la vie privée de tiers ou des intérêts prépondérants sont concernés. |
| 11. Registre des activités de traitement | Les entreprises doivent tenir un registre de leurs activités de traitement, conformément à l' l'art. 37. | Les responsables ou les personnes chargées du traitement tiennent un registre des activités de traitement dont le contenu doit respecter certaines exigences minimales. Une exception est prévue pour les entreprises de moins de 250 collaborateurs et les traitements de données présentant un faible risque d'atteinte à la personnalité. Il n'y a toutefois aucune exception en cas de profilage à haut risque ou de traitement à grande échelle de données sensibles. |
Bannière relative aux cookies pour les sites web suisses ?
Selon la nouvelle loi sur la protection des données, les bannières de cookies ne sont pas obligatoires en Suisse (source : PFPDT). Les réglementations de l'UE exigent quant à elles des bannières de cookies qui demandent le consentement des utilisateurs.
Lorsque des sites web suisses utilisent des cookies, les exploitants doivent fournir des informations transparentes, compréhensibles et facilement accessibles sur la collecte des données. Le traitement de données personnelles particulièrement sensibles continue de nécessiter un consentement en Suisse.
À quoi ressemble une bannière de cookies conforme à la loi ?
Les bannières de consentement ne doivent pas activer les cookies par défaut, contraindre les utilisateurs à donner leur consentement ou interpréter la navigation sur le site comme un consentement.
Il n'est pas permis de subordonner l'accès au site web à l'obtention d'un consentement. Il est important que les bannières de cookies permettent un consentement volontaire et offrent la possibilité d'accepter ou de refuser des cookies individuels.
Quelles sont les directives applicables aux bannières de cookies ?
Selon le PFPDT, les exploitants doivent, lorsqu'ils utilisent des cookies à des fins de suivi sur Internet, tenir compte des exigences de la directive « vie privée et communications électroniques » du Parlement européen et du Conseil relative au traitement des données à caractère personnel et à la protection de la vie privée dans le secteur des communications électroniques.
Quand les sites web suisses devront-ils être conformes au RGPD ?
La législation applicable dépend du lieu où se trouvent les utilisateurs. Pour les visiteurs provenant de l'UE, les sites web suisses doivent donc également respecter les exigences du RGPD, telles que les bannières de cookies.
Les organisations suisses doivent décider individuellement si des bannières de cookies sont nécessaires pour leur site web. Nous vous aidons volontiers dans votre évaluation et la mise en œuvre technique nécessaire.
Conclusion
La nDSG arrive et va établir de nouvelles normes en matière de protection des données en Suisse. À première vue, elle améliore surtout la protection des citoyens suisses et s'inspire du RGPD de l'UE.
En y regardant de plus près, on constate toutefois quelques différences importantes dont les PME doivent tenir compte. En s'adaptant aux nouvelles directives, les entreprises et associations suisses se préparent au mieux pour le 1er septembre. Elles renforcent ainsi non seulement la confiance de leurs clients et leur position sur le marché, mais résistent également à la pression de la numérisation.
Ne perdez pas de temps et commencez dès aujourd'hui à vous préparer !
Nous maîtrisons encore mieux le marketing numérique que la protection des données. 🙂 En tant qu'agence de marketing en ligne innovante agence de marketing en ligne innovante , nous sommes le partenaire idéal pour élaborer une stratégie marketing personnalisée et efficace.
