# nLPD : registre, AIPD et annonce des violations

Droit économique · Master 1

> Devoirs du responsable : registre, analyse d'impact, sécurité et annonce des violations au PFPDT.

## Introduction

La nLPD renforce les devoirs du responsable du traitement. Il doit informer les personnes concernées de la collecte, tenir un registre des activités de traitement, garantir la sécurité des données et, pour les traitements à risque élevé, réaliser une analyse d'impact relative à la protection des données personnelles (AIPD).

En cas de violation de la sécurité entraînant un risque élevé, il doit en informer le Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais. Ces devoirs transforment la protection des données en un véritable enjeu de gouvernance.

## Objectifs d'apprentissage

- Décrire le devoir d'informer lors de la collecte
- Expliquer le registre des activités de traitement et ses exceptions pour les PME
- Déterminer quand une AIPD est requise
- Appliquer les règles d'annonce d'une violation de la sécurité des données

## Concepts clés

- **Devoir d'informer** : Le responsable communique notamment son identité, la finalité et les destinataires lors de la collecte des données.
- **Registre des activités** : Chaque responsable tient un registre, avec une exception pour les entreprises de moins de 250 collaborateurs dont le risque est faible.
- **AIPD** : Elle est requise lorsque le traitement peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux.
- **Annonce des violations** : Une violation de la sécurité entraînant probablement un risque élevé doit être annoncée au PFPDT dans les meilleurs délais.

## Conclusion

Les devoirs de la nLPD obligent à documenter, anticiper et réagir : registre, AIPD, information et annonce des violations constituent une chaîne de conformité.

Le juriste doit pouvoir aider l'entreprise à calibrer ces obligations selon sa taille et le risque de ses traitements.

## Cartes

### Qu'est-ce qu'une AIPD ?

Une analyse d'impact relative à la protection des données personnelles, qui décrit le traitement, évalue les risques et prévoit des mesures.

### Quand l'AIPD est-elle obligatoire ?

Lorsque le traitement peut entraîner un risque élevé, notamment en cas de traitement à grande échelle de données sensibles ou de surveillance systématique.

### Qu'est-ce que le registre des activités de traitement ?

Un document recensant les traitements : finalité, catégories de données et de personnes, destinataires, durée de conservation, mesures de sécurité.

### Quelle exception existe pour le registre ?

Les entreprises de moins de 250 collaborateurs en sont dispensées si le risque d'atteinte est faible, sauf traitement à grande échelle de données sensibles.

### Quelle autorité reçoit l'annonce d'une violation de la sécurité ?

Le Préposé fédéral à la protection des données et à la transparence (PFPDT).

### Dans quel délai annoncer une violation ?

Dans les meilleurs délais, si elle entraîne vraisemblablement un risque élevé ; la loi ne fixe pas de délai de 72 heures.

### Faut-il informer aussi les personnes concernées ?

Oui, lorsque leur protection l'exige ou que le PFPDT le demande.

### Que doit contenir l'information à la collecte ?

L'identité du responsable, la finalité, les destinataires éventuels et, en cas de communication à l'étranger, l'État concerné.

### Qu'est-ce que le conseiller à la protection des données ?

Une personne, interne ou externe, qui conseille le responsable ; sa désignation est facultative pour un privé.

### Qui est responsable de la sécurité des données ?

Le responsable du traitement et le sous-traitant, qui doivent prendre des mesures techniques et organisationnelles adaptées au risque.

## Glossaire

- **AIPD** : Analyse préalable des risques d'un traitement à risque élevé pour la personne concernée.
- **Registre des activités de traitement** : Inventaire documenté des traitements effectués par un responsable ou un sous-traitant.
- **Violation de la sécurité des données** : Incident entraînant la perte, la modification ou la divulgation non autorisée de données.
- **PFPDT** : Autorité fédérale de surveillance en matière de protection des données et de transparence.
- **Sous-traitant** : Entité traitant les données pour le compte du responsable, sur la base d'un contrat.
- **Mesures techniques et organisationnelles** : Dispositifs garantissant la confidentialité, l'intégrité, la disponibilité et la traçabilité des données.

https://ruvy.ch/decks/-P5CaBQyIRaJB8ZWvNh_