La nouvelle loi sur la protection des données personnelles (LPD)

La protection des données personnelles est devenue un sujet central, pour les grandes entreprises comme pour les PME. Avec l’usage croissant d’outils numériques, de logiciels de gestion de la clientèle, d’e-mail marketing et de systèmes cloud, chaque entreprise, grande ou petite, traite chaque jour des données sensibles : noms, adresses e-mail, numéros de téléphone, informations sur les fournisseurs et les clients. C’est pourquoi la Suisse dispose d’une loi spécifique qui fixe la manière dont ces données doivent être collectées, traitées, protégées et conservées : la loi fédérale sur la protection des données (LPD).

Même si la législation suisse en la matière remonte aux années 1990, il reste essentiel en 2020, pour qui travaille dans le numérique, de comprendre ce que signifie protéger les données de ses clients et de ses collaborateurs, pour être en règle avec la loi, mais aussi pour inspirer confiance et faire preuve de professionnalisme à l’ère numérique.

Qu’est-ce que la LPD (loi fédérale sur la protection des données)

La LPD est la loi suisse qui régit le traitement des données personnelles. Son but principal est de protéger la personnalité et les droits fondamentaux des personnes physiques lorsque leurs données sont collectées, traitées ou utilisées par des entreprises ou des organisations.

Concrètement, la LPD fixe les règles de base sur :

• ce que l’on entend par données personnelles ;
• quand et comment il est licite de les traiter ;
• les droits des personnes concernées (par ex. accès, rectification, effacement) ;
• les obligations de ceux qui gèrent les données (entreprises, prestataires de services, etc.) ;
• les sanctions en cas de violation.

Qui doit respecter la LPD ?

La loi s’applique à toute personne qui traite des données personnelles en Suisse, c’est-à-dire :

• les entreprises et les PME qui gèrent des données de clients ou de collaborateurs ;
• les prestataires de services numériques ;
• les organismes publics qui collectent et traitent des données au sein de la Confédération.

Il faut souligner qu’il n’existe pas de taille minimale d’entreprise pour être soumis à la LPD : même une petite entreprise ou un indépendant qui collecte des données de clients doit suivre les règles de base.

Que sont les « données personnelles » ?

Les données personnelles sont toutes les informations qui se rapportent à une personne physique identifiée ou identifiable. Par exemple :

• le nom et le prénom
• l’adresse postale ou e-mail
• le numéro de téléphone
• les données de paiement
• les informations sur les clients, les fournisseurs ou les collaborateurs

Dans certains cas, des données comme l’adresse IP ou les identités numériques peuvent aussi être considérées comme des données personnelles si elles permettent de remonter jusqu’à une personne.

Les principes de base de la protection des données

La LPD repose sur quelques principes clés que chaque entreprise doit respecter :

Licéité

Le traitement des données doit être licite. Il faut des motifs objectifs (comme l’exécution d’un contrat ou un consentement exprès) pour collecter et utiliser les données.

Transparence

Les personnes doivent savoir pourquoi leurs données sont collectées, comment elles seront utilisées et combien de temps elles seront conservées.

Sécurité

Les entreprises doivent prendre des mesures techniques et organisationnelles pour protéger les données contre les accès non autorisés, les pertes ou les abus.

Les droits des personnes concernées

La LPD reconnaît aux utilisateurs certains droits sur leurs données. Notamment :

• le droit d’accès : savoir quelles données sont traitées ;
• le droit de rectification : corriger des données erronées ;
• dans certains cas, la demande d’effacement ou de limitation du traitement.

Les utilisateurs doivent pouvoir exercer leurs droits simplement, et les entreprises doivent disposer de procédures internes pour traiter ces demandes.

Les obligations des entreprises

Les PME aussi doivent tenir compte de quelques responsabilités clés :

Les obligations des entreprises

Chaque entreprise devrait savoir où et comment elle collecte les données, qui y a accès et pourquoi elles sont traitées.

Disposer de mesures de sécurité adéquates

Collecter des données ne suffit pas : il faut protéger les informations sensibles avec des outils adaptés, comme les sauvegardes, les accès protégés et des règles internes.

Permettre aux personnes concernées d’exercer leurs droits

Un client ou un collaborateur doit pouvoir demander facilement l’accès à ses données ou leur effacement.

Que se passe-t-il si l’on ne respecte pas la LPD

Même si la LPD de 1992 ne prévoyait pas de sanctions aussi lourdes que le RGPD européen, ne pas respecter la loi peut tout de même entraîner des risques juridiques, une atteinte à la réputation et des contestations de la part des utilisateurs.

C’est pourquoi il est important de prendre des mesures préventives et d’aborder la protection des données de façon structurée.

Conseils pratiques pour les PME suisses

Pour être en phase avec la LPD, les PME peuvent :

• rédiger une politique interne de traitement des données ;
• mettre à jour les consentements sur les pages web et dans les formulaires ;
• mettre en place des outils numériques sûrs pour archiver les données des clients et des collaborateurs ;
• former les collaborateurs aux risques liés à la protection des données.

Au-delà de l’obligation légale, c’est aussi une question de sérieux et de confiance envers les clients et les partenaires.

Comment easy4you peut vous aider

easy4you accompagne les PME suisses dans la mise en place de processus conformes à la LPD :

• analyse des données traitées dans l’entreprise ;
• définition de règles et de procédures ;
• aide à la rédaction des déclarations de protection des données et des consentements ;
• formation pratique du personnel.

Avec notre aide, la protection des données devient un avantage concurrentiel plutôt qu’un problème à gérer seul.

Conclusion

En Suisse, la protection des données est une réalité juridique très concrète, qui concerne toutes les entreprises traitant des informations personnelles. En 2020 aussi, avant l’entrée en vigueur de la nouvelle LPD, il est essentiel que les PME connaissent leurs obligations et prennent des mesures concrètes.

Vous voulez savoir si votre entreprise respecte la loi sur la protection des données ?
Contactez-nous pour un conseil gratuit.