# Principes de traitement de la LPD révisée Droit du numérique & propriété intellectuelle · Bachelor 2 > Licéité, bonne foi, proportionnalité, finalité, exactitude et sécurité des données selon la LPD. ## Introduction La loi fédérale sur la protection des données (LPD), entièrement révisée et entrée en vigueur le 1er septembre 2023, protège la personnalité et les droits fondamentaux des personnes physiques dont les données sont traitées. Elle s'applique aux traitements effectués par des personnes privées et par des organes fédéraux, alors que les cantons légifèrent pour leurs propres autorités. Depuis la révision, seules les données des personnes physiques sont protégées, et non plus celles des personnes morales. Le coeur du régime est constitué de principes généraux que tout responsable du traitement doit respecter, indépendamment du secteur d'activité : le traitement doit être licite, conforme à la bonne foi et proportionné ; les données ne sont collectées que pour une finalité déterminée et reconnaissable ; elles doivent être exactes et protégées par des mesures de sécurité adéquates. Contrairement au RGPD européen, la LPD ne pose pas l'exigence générale d'une base légale pour chaque traitement privé : un traitement conforme aux principes est en règle générale permis, et c'est la violation des principes qui doit être justifiée. La révision a ajouté des instruments de responsabilisation inspirés du droit européen, comme la protection des données dès la conception et par défaut, le registre des activités de traitement, l'analyse d'impact et l'annonce des violations de la sécurité. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) surveille l'application de la loi, et des sanctions pénales visent désormais directement les personnes physiques responsables. ## Objectifs d'apprentissage - Énumérer les principes de traitement de la LPD et les appliquer à un cas concret - Distinguer donnée personnelle, donnée sensible et profilage à risque élevé - Expliquer le rôle du consentement et des motifs justificatifs en droit suisse - Décrire les instruments de responsabilisation introduits par la révision de 2023 - Comparer l'approche de la LPD à celle du RGPD sur la base juridique du traitement ## Concepts clés - **Licéité, bonne foi et proportionnalité** : Le traitement ne doit pas violer une norme de l'ordre juridique, doit respecter la bonne foi et n'aller que dans la mesure nécessaire et apte à atteindre le but poursuivi. La minimisation des données en découle : on ne collecte pas plus que ce qui est utile. - **Finalité et transparence** : Les données ne peuvent être collectées que pour des finalités déterminées et reconnaissables pour la personne concernée, et ne peuvent pas être traitées ultérieurement de manière incompatible avec ces finalités. La collecte ne doit pas se faire à l'insu de la personne. - **Exactitude et sécurité** : Le responsable doit s'assurer que les données sont exactes et prendre les mesures appropriées pour rectifier ou effacer celles qui sont inexactes ou incomplètes. Il doit aussi garantir par des mesures techniques et organisationnelles une sécurité adaptée au risque. - **Consentement et motifs justificatifs** : Une atteinte à la personnalité résultant d'un traitement qui viole les principes n'est licite que si elle est justifiée par le consentement de la personne concernée, par un intérêt privé ou public prépondérant ou par la loi. Le consentement doit être libre et éclairé, et exprès pour les données sensibles. - **Responsabilisation du responsable** : La protection dès la conception et par défaut, le registre des activités de traitement, l'analyse d'impact relative à la protection des données et l'annonce des violations de la sécurité obligent le responsable à organiser sa conformité de manière documentée. ## Conclusion Les principes de licéité, de bonne foi, de proportionnalité, de finalité, d'exactitude et de sécurité forment le socle commun de toute analyse de conformité en droit suisse de la protection des données. Leur application suppose de toujours partir du traitement concret : quelles données, pour quel but, pendant combien de temps et avec quelles mesures de sécurité. La révision de 2023 n'a pas changé le caractère permissif du système suisse, mais elle a fortement augmenté les exigences de documentation et de responsabilisation. Le juriste doit donc savoir articuler les principes avec les instruments de conformité, tout en gardant à l'esprit les différences avec le RGPD lorsque l'entreprise opère aussi dans l'Union européenne. ## Cartes ### Quelles personnes sont protégées par la LPD révisée ? Uniquement les personnes physiques. Depuis le 1er septembre 2023, les données des personnes morales ne sont plus protégées par la LPD. ### Qu'est-ce qu'une donnée personnelle selon la LPD ? Toute information concernant une personne physique identifiée ou identifiable. ### Citez des exemples de données personnelles sensibles. Notamment les données sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales, la santé, la sphère intime, l'origine raciale ou ethnique, les données génétiques et biométriques identifiant de manière univoque, les poursuites pénales et administratives et les mesures d'aide sociale. ### Que signifie le principe de proportionnalité en protection des données ? Le traitement doit être apte et nécessaire à atteindre le but poursuivi et raisonnable pour la personne concernée ; il implique de limiter la collecte et la durée de conservation au strict utile. ### Que signifie le principe de finalité ? Les données ne sont collectées que pour des finalités déterminées et reconnaissables pour la personne concernée, et ne peuvent pas être traitées ultérieurement d'une manière incompatible avec ces finalités. ### La LPD exige-t-elle une base légale pour tout traitement par un privé ? Non. Contrairement au RGPD, un traitement privé conforme aux principes est en règle générale licite ; c'est la violation des principes qui doit être justifiée par le consentement, un intérêt prépondérant ou la loi. ### Quand le consentement doit-il être exprès ? Lorsqu'il porte sur le traitement de données sensibles ou sur un profilage à risque élevé, le consentement doit être explicite ; il doit toujours être libre et éclairé. ### Qu'est-ce que la protection des données dès la conception (privacy by design) ? L'obligation de concevoir le traitement dès l'origine de manière à respecter les principes de protection des données, par des mesures techniques et organisationnelles adaptées à l'état de la technique et au risque. ### Que vise la protection des données par défaut ? Garantir par des préréglages appropriés que, sans intervention de la personne, seules les données nécessaires à la finalité sont traitées. ### Quand une analyse d'impact relative à la protection des données est-elle requise ? Lorsqu'un traitement est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, notamment en cas de traitement à grande échelle de données sensibles ou de surveillance systématique de grands espaces publics. ### Quand faut-il annoncer une violation de la sécurité des données au PFPDT ? Dès que possible lorsque la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. ### Qui répond pénalement d'une violation des devoirs de la LPD ? Les personnes physiques responsables, sur plainte, avec des amendes pouvant atteindre CHF 250'000 ; l'entreprise n'est visée que de manière subsidiaire pour de faibles amendes. ## Glossaire - **Responsable du traitement** : Personne privée ou organe fédéral qui, seul ou conjointement, détermine les finalités et les moyens du traitement de données personnelles. - **Sous-traitant** : Personne privée ou organe fédéral qui traite des données personnelles pour le compte du responsable du traitement. - **Profilage** : Toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels, par exemple la situation économique, la santé ou les préférences. - **Minimisation des données** : Corollaire de la proportionnalité : ne collecter et ne conserver que les données nécessaires à la finalité poursuivie. - **Registre des activités de traitement** : Document tenu par le responsable et le sous-traitant décrivant leurs traitements ; les entreprises de moins de 250 collaborateurs en sont dispensées sauf risque élevé ou traitement de données sensibles à grande échelle. - **PFPDT** : Préposé fédéral à la protection des données et à la transparence, autorité indépendante de surveillance qui peut ouvrir des enquêtes et rendre des décisions administratives sur les traitements privés. - **Motif justificatif** : Circonstance qui rend licite une atteinte à la personnalité résultant d'un traitement contraire aux principes : consentement, intérêt privé ou public prépondérant, ou loi. https://ruvy.ch/decks/-P5CYMGeGHsUGjyNOkWU