La loi suisse sur la protection des données en bref

Depuis le 1er septembre 2023, la loi fédérale révisée sur la protection des données (LPD) est en vigueur en Suisse. Elle règle la manière dont les entreprises, les associations, les particuliers et les autorités fédérales peuvent utiliser les informations concernant des personnes.

Qui la loi protège

La LPD protège la personnalité et les droits fondamentaux des personnes physiques (art. 1). Les données concernant des entreprises, des associations ou des fondations n’en font pas partie. Les données personnelles sont toutes les informations concernant une personne physique identifiée ou identifiable (art. 5, let. a) – par exemple le nom, l’adresse, le numéro de téléphone, le numéro de client ou le comportement d’achat.

Les données personnelles sensibles bénéficient d’une protection accrue, par exemple les données sur la santé, les opinions religieuses ou politiques, les données génétiques et biométriques ou les poursuites pénales (art. 5, let. c).

À qui la loi s’applique

La LPD s’applique aux personnes privées – c’est-à-dire aux entreprises, aux associations et aux particuliers – ainsi qu’aux organes fédéraux (art. 2). N’est pas visé ce que vous traitez exclusivement pour un usage personnel, par exemple votre carnet d’adresses privé. Les autorités cantonales et communales, par exemple les écoles publiques ou les hôpitaux cantonaux, sont soumises à la loi sur la protection des données du canton concerné. Les entreprises à l’étranger doivent elles aussi respecter la LPD lorsque leur traitement de données produit des effets en Suisse (art. 3).

Des principes plutôt qu’une obligation générale de consentement

Contrairement à une idée répandue, le traitement de données personnelles ne requiert pas, en principe, votre consentement. Un traitement est licite s’il respecte les principes de l’art. 6 :

• licite, conforme à la bonne foi et proportionné,
• uniquement dans un but déterminé et reconnaissable pour vous,
• destruction ou anonymisation dès que les données ne sont plus nécessaires,
• exactitude des données.

Quiconque ne respecte pas ces principes porte atteinte à votre personnalité, à moins que le traitement ne soit justifié par un consentement, un intérêt prépondérant ou la loi (art. 30 et 31). Le consentement n’est donc qu’un motif justificatif parmi d’autres. Si une entreprise se fonde sur votre consentement pour traiter des données sensibles ou pour un profilage à risque élevé, celui-ci doit être exprès (art. 6, al. 7).

Surveillance et sanctions

La surveillance incombe au Préposé fédéral à la protection des données et à la transparence (PFPDT). Certaines violations intentionnelles, par exemple un renseignement inexact, sont punies d’une amende pouvant atteindre 250 000 francs – le plus souvent uniquement sur plainte et, en principe, à l’encontre des personnes physiques responsables, et non de l’entreprise (art. 60 à 66). La poursuite pénale relève des cantons.

Différences avec le RGPD

Le règlement général sur la protection des données de l’UE poursuit des objectifs similaires. Mais la LPD n’exige pas des particuliers une base légale pour chaque traitement, prévoit des amendes contre des personnes plutôt que des amendes contre les entreprises calculées en fonction du chiffre d’affaires, et ne connaît pas de délai fixe en heures pour l’annonce des violations de la sécurité des données.

Vers le texte de loi : art. 6 LPD – Principes.