Loi sur la protection des données

Protection des données dans le commerce de détail - outils concrets et modèles pour les membres de l’ASMAS

La loi suisse sur la protection des données (LPD), également appelée LPD révisée, protège les droits de la personnalité des personnes physiques lors du traitement de données à caractère personnel par des entreprises privées et des organes fédéraux. Elle est entrée en vigueur le 1er septembre 2023 et s’inspire fortement du RGPD de l’UE, tout en mettant l’accent sur des aspects qui lui sont propres, tels qu’un traitement des données en principe autorisé dans le respect de la légalité, de la bonne foi, de la proportionnalité et de la limitation des finalités.

Notions clés et principes
Les données personnelles comprennent toutes les informations relatives à des personnes physiques identifiables, y compris les identifiants en ligne tels que les cookies. Le traitement est autorisé tant qu’il ne porte pas atteinte aux droits de la personnalité ; contrairement au RGPD, il n’est pas nécessaire d’obtenir un consentement explicite par défaut, mais des obligations de transparence strictes s’appliquent. Les données sensibles (par exemple, les données de santé) nécessitent une plus grande prudence.

Obligations des entreprises
Les entreprises doivent tenir un registre des activités de traitement, fournir des informations complètes aux personnes concernées (identité du responsable du traitement, finalité, destinataires, droits) et effectuer une analyse d’impact sur la protection des données (AIPD) en cas de risque élevé. Les violations de données à haut risque doivent être immédiatement notifiées au Préposé fédéral à la protection des données et à la transparence (PFPDT) et, le cas échéant, aux personnes concernées. Le respect de la vie privée dès la conception et par défaut est obligatoire.

Droits des personnes concernées
Les personnes concernées ont le droit d’accéder aux données, de les rectifier, de les effacer, de s’y opposer et de les transférer sous format électronique. Les décisions individuelles automatisées doivent être divulguées. L’obligation d’information s’applique à la collecte directe et indirecte.

Modèles vérifiés sur le plan juridique