nLPD : gouvernance des données personnelles et obligations du SI

Informatique de gestion · Master 1

nLPD suisse : principes, registre, AIPD, annonce des violations, PFPDT et rôle de la DSI.

Introduction

La loi fédérale sur la protection des données (LPD) révisée est entrée en vigueur le 1er septembre 2023 (nLPD). Elle protège la personnalité des personnes physiques dont les données sont traitées, et ne vise plus les données de personnes morales. Pour la gouvernance des systèmes d'information, elle impose des obligations concrètes que la DSI doit intégrer dans l'architecture et les processus.

Les principes de traitement sont : licéité, bonne foi, proportionnalité, finalité, exactitude, sécurité et transparence. La loi consacre la protection des données dès la conception (privacy by design) et par défaut. Les responsables de traitement doivent tenir un registre des activités de traitement (avec des exceptions pour certaines petites entités), informer les personnes concernées, réaliser une analyse d'impact (AIPD) lorsqu'un traitement présente un risque élevé, et annoncer au Préposé fédéral à la protection des données et à la transparence (PFPDT) les violations de la sécurité des données entraînant probablement un risque élevé. Le recours à un sous-traitant exige un contrat ; la communication de données à l'étranger suppose un niveau de protection adéquat ou des garanties appropriées.

Les sanctions pénales visent principalement les personnes physiques responsables, avec des amendes pouvant atteindre 250 000 francs. Cela place la nLPD au cœur de la gouvernance : cartographier les données, désigner des responsabilités, sécuriser et documenter.

Objectifs d'apprentissage

Énoncer les principes de traitement de la nLPD
Décrire les principales obligations de documentation et de transparence
Expliquer l'AIPD et l'annonce des violations de données
Évaluer les exigences liées à la sous-traitance et aux transferts à l'étranger
Intégrer privacy by design dans un projet de SI

Concepts clés

Champ de protection: Personnes physiques ; la loi révisée ne protège plus les personnes morales.
Principes: Licéité, bonne foi, proportionnalité, finalité, exactitude, sécurité, transparence.
Documentation: Registre des activités, information des personnes, AIPD pour risque élevé.
Incident: Annonce rapide au PFPDT d'une violation à risque élevé.
Sanctions: Amendes pénales visant surtout les personnes physiques responsables, jusqu'à 250 000 CHF.

Conclusion

La nLPD fait de la protection des données un sujet de gouvernance des SI : cartographie, responsabilités, sécurité, documentation et réaction aux incidents. Elle exige des mesures organisationnelles autant que techniques.

Elle se combine avec ISO/IEC 27001 et COBIT pour construire un cadre de conformité cohérent.

Cartes

Quand la nLPD est-elle entrée en vigueur ?: Le 1er septembre 2023.
Qui protège-t-elle ?: Les personnes physiques dont les données sont traitées, et non plus les personnes morales.
Citez trois principes de traitement.: Licéité, proportionnalité, finalité, bonne foi, exactitude, sécurité, transparence.
Que signifie privacy by design ?: Intégrer la protection des données dès la conception d'un système ou d'un traitement.
Qu'est-ce qu'une AIPD ?: Une analyse d'impact relative à la protection des données, requise quand un traitement peut entraîner un risque élevé.
Que faut-il faire en cas de violation de la sécurité des données ?: L'annoncer dans les meilleurs délais au PFPDT si elle entraîne probablement un risque élevé, et en informer les personnes concernées si nécessaire.
Qu'est-ce que le PFPDT ?: Le Préposé fédéral à la protection des données et à la transparence : autorité de surveillance.
Que doit prévoir le recours à un sous-traitant ?: Un contrat garantissant un traitement conforme aux instructions du responsable et la sécurité des données.
Que prévoit la loi pour les transferts à l'étranger ?: Ils sont possibles si l'État offre un niveau de protection adéquat, sinon moyennant des garanties appropriées.

Glossaire

Responsable du traitement: Personne ou organisme qui décide des finalités et moyens du traitement.
Sous-traitant: Entité qui traite des données pour le compte du responsable.
Donnée sensible: Catégorie particulière de données (santé, biométrie, génétique, opinions).
Profilage: Évaluation automatisée de certains aspects d'une personne.
Registre des activités: Document recensant les traitements de données.
PFPDT: Autorité fédérale de surveillance de la protection des données.