Évolutions actuelles de la protection des données

La protection des données évolue en permanence. Cette partie se limite aux évolutions déjà établies.

La LPD révisée fait partie du quotidien

La LPD révisée est en vigueur depuis le 1er septembre 2023 et a remplacé la loi sur la protection des données de 1992. Les principales nouveautés :

• Seules les personnes physiques sont encore protégées, et non plus les entreprises.
• Le devoir d’informer s’applique à toute collecte de données personnelles (art. 19).
• Sont notamment nouveaux l’obligation d’annoncer les violations de la sécurité des données (art. 24), l’analyse d’impact relative à la protection des données (art. 22) et le droit à la remise des données (art. 28).
• Le montant maximal de l’amende pour les violations intentionnelles s’élève à 250 000 francs (art. 60 à 63).

L’intelligence artificielle relève de la LPD

Le PFPDT a précisé que la LPD en vigueur est directement applicable aux traitements de données reposant sur l’IA. Les fournisseurs et les utilisateurs d’applications d’IA doivent donc dès aujourd’hui respecter les principes, le devoir d’informer et les règles relatives aux décisions individuelles automatisées (art. 21). Le Conseil fédéral a en outre décidé de ratifier la convention du Conseil de l’Europe sur l’IA et d’adapter le droit suisse là où c’est nécessaire.

Le règlement de l’UE sur l’IA concerne aussi les entreprises suisses

Le règlement de l’UE sur l’intelligence artificielle (« AI Act ») ne s’applique pas uniquement aux entreprises établies dans l’UE. Il vise aussi les fournisseurs suisses qui proposent des systèmes d’IA dans l’UE ou dont les résultats sont utilisés dans l’UE. Ses obligations deviennent applicables par étapes.

Transferts de données vers les États-Unis

Le Conseil fédéral a inscrit les États-Unis, pour les entreprises certifiées selon le Swiss-US Data Privacy Framework, sur la liste des États offrant une protection adéquate des données (annexe 1 OPDo). Pour les entreprises américaines non certifiées, des garanties telles que des clauses types de protection des données restent nécessaires (art. 16, al. 2).

Cybersécurité et protection des données se rapprochent

Les exploitants d’infrastructures critiques doivent signaler les cyberattaques à l’Office fédéral de la cybersécurité (OFCS) ; c’est la loi sur la sécurité de l’information qui le prévoit. La LPD prévoit en outre que le PFPDT peut, avec l’accord du responsable du traitement, transmettre à l’OFCS une annonce de violation de la sécurité des données (art. 24, al. 5bis).

Ce que cela signifie pour vous

Vos droits en tant que personne concernée restent inchangés : l’accès, la remise, la rectification et l’opposition s’appliquent aussi à l’égard des fournisseurs d’IA et des entreprises dont les serveurs se trouvent à l’étranger. Les nouvelles technologies ne changent rien au fait qu’une entreprise doit vous expliquer ce qu’elle fait de vos données.

Vers le texte de loi : art. 16 LPD – informations pour les entreprises : Pour les entreprises.