La nouvelle LPD suisse vs le RGPD de l'UE
Nouvelles règles en matière de protection des données en Suisse – Ce que les entreprises et les associations doivent savoir dès maintenant
La nouvelle loi suisse sur la protection des données (nDSG) entrera en vigueur le 1er septembre 2023.
La nDSG (ou revDSG) vise à harmoniser la législation avec le règlement général sur la protection des données (RGPD) de l'UE et à mieux protéger les données des citoyens suisses en s'adaptant aux évolutions technologiques.
À une époque où la technologie évolue rapidement et où les applications d'IA telles que ChatGPT jouent un rôle de plus en plus important dans nos vies, il est plus important que jamais de garantir la confidentialité et la protection des données. Avec la nDSG, une version moderne de la protection des données est en perspective. 🔭
Une 🧭 orientation de la nDSG sur le RGPD est perceptible, même si la nDSG ne correspond pas dans tous les cas au RGPD. La plupart du temps, la nouvelle loi suisse est moins stricte et seulement plus restrictive que la loi européenne à certains endroits.
La législation européenne sur la protection des données s'applique également à de nombreuses organisations suisses.
Vous pouvez consulter la liste de contrôle RGPD Suisse pour savoir quand et comment le RGPD s'applique également aux entreprises et associations suisses. 🧾
Il en résulte que certaines organisations doivent se conformer à la fois à la législation européenne et à la législation suisse en matière de protection des données. C'est pourquoi les organisations qui satisfont déjà aux exigences du RGPD doivent également prendre des mesures. 🎬
Tu découvriras ici les principales différences entre les deux lois sur la protection des données :
nDSG vs RGPD: 11 différences essentielles
| RGPD | nDSG | |
|---|---|---|
| sanctions | Amendes infligées à l'entreprise responsable pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'entreprise. | En cas d'infraction aux dispositions, des amendes pénales pouvant aller jusqu'à 250 000 CHF peuvent être infligées. À quelques exceptions près, la sanction est liée à la personne physique responsable. |
| Signalement des violations de la protection des données | Obligation de signaler à l'autorité chargée de la protection des données, dans un délai de 72 heures, toute violation de la protection des données présentant des risques pour les personnes concernées. Si le risque pour la personnalité est élevé, la personne doit en être informée. | Obligation, dans la mesure où cela est nécessaire pour protéger les personnes concernées. Le PFPDT ne doit être informé par le responsable du traitement qu'en cas de risque élevé, c'est-à-dire lorsque cela est nécessaire pour protéger la personne concernée. Il n'y a pas de délai de 72 heures, mais « dès que possible ». |
| Exportations de données | La Commission européenne statue sur la recevabilité. Les clauses contractuelles types de l'UE et les règles d'entreprise contraignantes sont applicables. | Même concept. Le Conseil fédéral décide de l'admissibilité des exportations de données. Les mêmes clauses contractuelles types et les mêmes règles internes contraignantes que celles en vigueur dans l'UE sont applicables. |
| Désignation d'un délégué à la protection des données | Obligation lorsque l'entreprise effectue un suivi régulier et systématique à grande échelle ou traite à grande échelle des catégories particulières de données, conformément à l'art. 37. | Ce n'est pas obligatoire, mais fortement recommandé. La désignation facilite le traitement des données présentant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. |
| Évaluation de l'impact sur la protection des données | Si, malgré les mesures prises, le risque reste élevé, il est obligatoire de consulter les autorités de surveillance. | Si un risque élevé pèse sur la personnalité ou les droits fondamentaux des personnes concernées, il convient de procéder à une analyse d'impact relative à la protection des données (AIPD). Si, malgré les mesures prises, le risque persiste, il est possible de consulter un préposé à la protection des données ou le PFPDT. |
| délégué à la protection des données | Les entreprises dont le siège social est situé en dehors d'un pays de l'UE/EEE et qui proposent leurs services à des clients dans des pays de l'UE/EEE, traitent des données ou observent le comportement de ces clients doivent désigner un représentant officiel dans l'UE/EEE. | Lorsque le traitement des données est effectué par un responsable dont le siège se trouve à l'étranger, un représentant doit être désigné en Suisse. Il en va de même lorsque le traitement des données comporte un risque élevé, est de grande envergure ou est effectué régulièrement. |
| profilage | Obligation générale d'obtenir le consentement. | Obligation générale d'obtenir le consentement uniquement dans les cas suivants profilage à haut risque. |
| obligation de divulgation | Obligation d'informer la personne concernée lors de la collecte de données à caractère personnel. | Le responsable doit informer la personne concernée de la collecte de données à caractère personnel, même si ces données ne sont pas collectées auprès de la personne concernée (conformément à l' art. 18a). |
| Traitement des données personnelles | Le traitement des données personnelles est en principe interdit, sauf s'il existe une base juridique (par exemple, consentement, contrat, obligation légale). | Dans ce cas, le traitement des données personnelles est généralement autorisé, sauf en cas d'atteinte illicite aux droits de la personnalité. |
| droit d'accès | Les personnes concernées ont le droit d'obtenir des informations sur leurs données à caractère personnel traitées. Cela comprend, entre autres, les finalités du traitement et l'origine des données. | Similaire au RGPD, mais avec davantage d'exceptions. L'accès aux informations peut par exemple être refusé si la vie privée de tiers ou des intérêts prépondérants sont concernés. |
| Registre des activités de traitement | Les entreprises doivent tenir un registre de leurs activités de traitement, conformément à l' l'art. 37. | Les responsables/chargés de traitement tiennent un registre des activités de traitement avec un contenu minimum. Une exception est prévue pour les entreprises de moins de 250 employés et les traitements de données présentant un faible risque d'atteinte à la personnalité. Il n'y a toutefois aucune exception en cas de profilage à haut risque ou de traitement à grande échelle de données particulièrement sensibles. |
La nouvelle loi suisse sur la protection des données garantit le maintien de la libre circulation des données avec l'UE et assure la compétitivité des entreprises suisses. Il est important de respecter ces dispositions afin d'éviter des amendes élevées et des atteintes à la réputation, et de préserver la confiance des clients. 🤝
Et les cookies ?🍪
«Non, la nouvelle loi sur la protection des données en Suisse n'impose pas l'obligation d'utiliser des bannières de cookies. La Suisse ne reprend pas la directive européenne sur les cookies.»
Selon Martin Steiger, la nouvelle loi sur la protection des données en Suisse n'impose pas l'obligation d'utiliser des bannières de cookies. La Suisse n'a donc pas adopté la directive européenne sur les cookies.
Au lieu d'un consentement explicite, la loi suisse mise sur l'information et la possibilité pour les utilisateurs de refuser. Les responsables doivent simplement s'assurer que le traitement des données est limité au strict minimum nécessaire.
Les paramètres de confidentialité optionnels ne nécessitent des restrictions prédéfinies que s'il existe réellement des choix possibles. 💡
Malgré la nouvelle loi, l'utilisation des bannières de cookies reste donc facultative en Suisse. 💪
✅ En bref :
Pour les sites web hébergés en Suisse, il suffit d'indiquer dans la déclaration de confidentialité que des cookies sont utilisés.
Les visiteurs provenant de l'UE continuent d'être protégés par leurs propres lois sur la protection des données et doivent donc donner leur consentement explicite à l'utilisation de cookies.
Conclusion
La nDSG fait son entrée en scène, prête à redéfinir les règles du jeu en matière de protection des données en Suisse. Elle renforce considérablement la protection des données des citoyens suisses et se rapproche du RGPD.
Mais comme dans tout jeu passionnant, il y a des différences à prendre en compte : la nDSG et le RGPD ne sont pas identiques et nécessitent donc une adaptation de nos pratiques en matière de protection des données.
En se préparant correctement, les entreprises et associations suisses renforcent leur position sur le marché et leur fiabilité vis-à-vis de leurs clients. C'est parti ! 💾
Ne perds pas de temps, prépare-toi à la nouvelle loi ! ⏰
Avertissement
Cet article est fourni à titre informatif uniquement et ne constitue pas un avis juridique contraignant. Veuillez noter que l'interprétation des lois peut varier en fonction du contexte et de la situation. Nous ne sommes pas des avocats et vous recommandons de vous familiariser avec la nouvelle loi et de vous préparer de manière appropriée aux changements à venir. Nous restons à votre disposition pour toute question.
Vous recherchez une agence de marketingalliant professionnalisme et créativité? 🧑💻🌈
Alors contacte-nous ! 😊👇