Les obligations des entreprises selon la LPD

Selon la LPD, celui qui détermine les finalités et les moyens d’un traitement de données est le responsable du traitement (art. 5, let. j). Celui qui traite des données uniquement pour le compte de ce dernier, par exemple un prestataire informatique, est un sous-traitant (art. 5, let. k). Si vous connaissez ces obligations, vous savez aussi ce que vous êtes en droit d’attendre d’une entreprise.

Protection des données dès la conception (art. 7)

Les entreprises doivent concevoir leurs systèmes dès le départ de manière à respecter les principes de l’art. 6 (« Privacy by Design »). Les paramètres par défaut doivent limiter le traitement au strict nécessaire (« Privacy by Default ») – un profil client ne devrait donc par exemple pas être public par défaut.

Devoir d’informer (art. 19)

Quiconque collecte des données personnelles doit vous informer de manière appropriée, au minimum sur :

l’identité et les coordonnées du responsable du traitement,
la finalité du traitement,
les destinataires ou les catégories de destinataires,
en cas de communication à l’étranger, l’État et les garanties.

Cela se fait le plus souvent dans une déclaration de protection des données. Si les données ne sont pas collectées auprès de vous, l’information doit avoir lieu au plus tard un mois après leur obtention.

Registre des activités de traitement (art. 12)

Le registre décrit notamment les finalités, les catégories de données, les destinataires et la durée de conservation. Les entreprises de moins de 250 collaborateurs en sont dispensées, pour autant qu’elles ne traitent pas de données sensibles à grande échelle et n’effectuent pas de profilage à risque élevé (art. 24 OPDo).

Sécurité des données et obligation d’annoncer

Les données doivent être protégées de manière appropriée par des mesures techniques et organisationnelles (art. 8). Les violations de la sécurité des données entraînant vraisemblablement un risque élevé doivent être annoncées au PFPDT (art. 24). Pour en savoir plus, voir la partie 4.

Analyse d’impact relative à la protection des données (art. 22)

Si un traitement envisagé est susceptible d’entraîner un risque élevé pour les personnes concernées – par exemple en cas de traitement à grande échelle de données sur la santé ou de surveillance systématique de lieux publics –, une analyse d’impact doit être effectuée au préalable. Si un risque élevé subsiste malgré les mesures prises, le PFPDT doit être consulté (art. 23).

Sous-traitants (art. 9)

Une entreprise peut confier le traitement de données à des prestataires si ceux-ci ne traitent les données que de la manière dont l’entreprise elle-même serait en droit de le faire et s’ils garantissent la sécurité des données. Le recours à d’autres sous-traitants n’est possible qu’avec une autorisation préalable.

Autres points

Pour les personnes privées, la désignation d’un conseiller à la protection des données est facultative (art. 10).
Certaines entreprises étrangères doivent désigner un représentant en Suisse (art. 14).
Les demandes des personnes concernées doivent recevoir une réponse dans les délais (art. 25 à 29).

Vous trouverez de plus amples informations dans la rubrique Pour les entreprises et dans le texte de loi de l’art. 19 LPD.