RGPD et entreprises suisses : champ territorial et comparaison avec la nLPD

Droit économique · Bachelor 3

RGPD extraterritorial, représentant dans l'UE, transferts et différences avec la nLPD.

Introduction

Le règlement général sur la protection des données de l'Union européenne (RGPD), applicable depuis 2018, concerne de nombreuses entreprises suisses, même sans filiale dans l'Union : il s'applique notamment à celles qui offrent des biens ou services à des personnes se trouvant dans l'Union ou qui suivent leur comportement. La Suisse a révisé sa loi sur la protection des données (nLPD, en vigueur depuis 2023) en s'alignant largement sur le RGPD, afin de conserver la reconnaissance d'un niveau de protection adéquat par la Commission européenne.

Les deux régimes ne sont toutefois pas identiques : sanctions administratives lourdes dans l'UE contre amendes pénales visant des personnes physiques en Suisse, exigence d'une base légale pour tout traitement dans l'UE, délais de notification des violations plus précis, guichet unique. Une PME qui fait du commerce en ligne vers l'UE doit donc analyser quel régime s'applique à chaque traitement.

Objectifs d'apprentissage

Déterminer quand le RGPD s'applique à une entreprise suisse
Expliquer l'obligation de désigner un représentant dans l'Union
Décrire les droits des personnes concernées dans le RGPD
Comprendre le rôle de la décision d'adéquation pour les transferts
Comparer le RGPD et la nLPD sur les sanctions et les bases légales

Concepts clés

Champ territorial (art. 3 RGPD): Le RGPD s'applique aux traitements effectués dans le cadre d'un établissement dans l'Union et, hors Union, aux traitements liés à l'offre de biens ou services à des personnes dans l'Union ou au suivi de leur comportement.
Représentant dans l'Union: Le responsable du traitement non établi dans l'Union doit en principe désigner un représentant, qui sert de point de contact pour les autorités et les personnes concernées.
Bases juridiques et droits: Tout traitement exige une base légale (consentement, contrat, intérêt légitime, obligation légale). Les personnes concernées disposent de droits d'accès, de rectification, d'effacement, de portabilité et d'opposition.
Transferts internationaux: Les données personnelles ne peuvent quitter l'Union que vers un pays offrant un niveau de protection adéquat ou moyennant des garanties appropriées (clauses contractuelles types). La Suisse bénéficie d'une décision d'adéquation de la Commission.
Sanctions: Les autorités de contrôle peuvent infliger des amendes administratives pouvant atteindre un pourcentage du chiffre d'affaires mondial. En Suisse, la nLPD prévoit surtout des amendes pénales visant la personne physique responsable.

Conclusion

Le RGPD et la nLPD convergent sur les principes (licéité, finalité, transparence, droits des personnes) mais diffèrent par leurs sanctions, leur mécanisme de contrôle et certaines exigences formelles. Une entreprise suisse active vers l'UE doit cartographier ses traitements et appliquer le régime le plus exigeant.

Le maintien de la décision d'adéquation reste un enjeu économique majeur pour la Suisse.

Cartes

Quand le RGPD s'applique-t-il à une entreprise suisse sans filiale dans l'UE ?: Quand elle offre des biens ou services à des personnes se trouvant dans l'Union ou surveille leur comportement.
Qu'est-ce que le représentant dans l'Union ?: Une personne désignée par un responsable non établi dans l'UE pour être le contact des autorités et des personnes concernées.
Quelles sont les bases légales d'un traitement selon le RGPD ?: Consentement, exécution d'un contrat, obligation légale, sauvegarde d'intérêts vitaux, mission d'intérêt public ou intérêt légitime.
Que comprend le droit d'accès ?: Le droit d'obtenir confirmation du traitement, une copie des données et des informations sur la finalité, les destinataires et la durée de conservation.
Qu'est-ce que le droit à la portabilité ?: Le droit de recevoir ses données dans un format structuré et couramment utilisé et de les transmettre à un autre responsable.
Quand les données peuvent-elles être transférées hors de l'UE ?: Vers un pays bénéficiant d'une décision d'adéquation ou moyennant des garanties appropriées telles que des clauses contractuelles types.
La Suisse est-elle reconnue comme adéquate ?: Oui, la Commission européenne a constaté que la Suisse offre un niveau de protection adéquat, ce qui permet les transferts sans garanties supplémentaires.
Quel délai prévoit le RGPD pour notifier une violation de données ?: 72 heures à compter de la connaissance de la violation, lorsque celle-ci engendre un risque pour les personnes.
Quelle différence de sanction entre RGPD et nLPD ?: Le RGPD prévoit des amendes administratives contre l'entreprise ; la nLPD prévoit surtout des amendes pénales contre les personnes physiques responsables.
Qui contrôle en Suisse ?: Le Préposé fédéral à la protection des données et à la transparence (PFPDT) pour les privés et organes fédéraux, avec des pouvoirs d'enquête et de décision.

Glossaire

Responsable du traitement: Entité qui détermine les finalités et les moyens du traitement de données personnelles.
Sous-traitant: Entité qui traite des données pour le compte du responsable, sur la base d'un contrat.
Données personnelles: Toute information se rapportant à une personne identifiée ou identifiable.
Décision d'adéquation: Acte de la Commission européenne constatant qu'un pays tiers offre un niveau de protection essentiellement équivalent.
Clauses contractuelles types: Clauses standard approuvées par la Commission pour encadrer les transferts vers des pays sans décision d'adéquation.
Guichet unique: Mécanisme selon lequel une seule autorité de contrôle chef de file dialogue avec une entreprise active dans plusieurs États membres.