nLPD: principes, droits des personnes concernées et PFPDT

Droit public & constitutionnel · Bachelor 3

Principes de traitement, droit d'accès, annonce des violations et rôle du PFPDT dans la nLPD.

Introduction

La loi fédérale sur la protection des données (LPD) révisée est entrée en vigueur le 1er septembre 2023. Elle concrétise l'art. 13 al. 2 Cst. et s'applique aux traitements de données personnelles de personnes physiques par des personnes privées et par des organes fédéraux. Les organes cantonaux et communaux sont soumis aux lois cantonales sur la protection des données.

La loi pose des principes de traitement: licéité, bonne foi, proportionnalité, finalité, exactitude, sécurité des données et reconnaissabilité de la collecte. Elle renforce les devoirs d'information, impose la tenue d'un registre des activités de traitement dans certains cas, prévoit l'analyse d'impact relative à la protection des données pour les traitements à risque élevé, l'annonce des violations de la sécurité des données au Préposé fédéral à la protection des données et à la transparence (PFPDT) et, dans certains cas, aux personnes concernées.

Les personnes concernées disposent de droits: droit d'accès, de rectification, d'opposition, de suppression, de remise ou de transmission des données dans certains cas, droit de ne pas être soumis à une décision individuelle automatisée sans être entendu. Le PFPDT surveille l'application de la loi et peut ouvrir des enquêtes. La nLPD prévoit des sanctions pénales, qui visent les personnes physiques responsables, avec des amendes pouvant atteindre CHF 250'000.

Objectifs d'apprentissage

Délimiter le champ d'application de la nLPD
Énumérer les principes de traitement des données
Décrire le droit d'accès et les autres droits de la personne concernée
Expliquer l'analyse d'impact et l'annonce des violations de la sécurité des données
Présenter le rôle du PFPDT et le régime des sanctions

Concepts clés

Champ d'application: La nLPD protège les données des personnes physiques traitées par des personnes privées et des organes fédéraux. Les données de personnes morales ne sont plus couvertes. Les cantons règlent le traitement par leurs propres organes.
Principes de traitement: Licéité, bonne foi, proportionnalité, finalité, exactitude, sécurité, transparence de la collecte. Les données sensibles font l'objet d'exigences renforcées, par exemple le consentement exprès.
Droit d'accès: Toute personne peut demander au responsable du traitement si des données la concernant sont traitées et obtenir les informations nécessaires pour faire valoir ses droits et garantir la transparence.
Analyse d'impact et annonce des violations: Lorsqu'un traitement peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux, le responsable doit procéder à une analyse d'impact. Les violations de la sécurité des données entraînant un risque élevé doivent être annoncées au PFPDT dans les meilleurs délais.
PFPDT et sanctions: Le PFPDT surveille l'application, conseille, ouvre des enquêtes et peut ordonner des mesures. Les violations de certaines obligations sont passibles d'amendes pénales jusqu'à CHF 250'000, visant les personnes physiques responsables.

Conclusion

La nLPD renforce la maîtrise des personnes sur leurs données par des principes de traitement, des devoirs de transparence et de sécurité et des droits d'accès et de contrôle. Elle confirme le rôle du PFPDT et introduit des sanctions pénales visant les personnes responsables.

Pour le juriste, l'enjeu est de savoir qualifier un traitement, identifier le responsable et mesurer les obligations en cas de risque élevé ou de violation de la sécurité.

Cartes

Quand la nLPD est-elle entrée en vigueur ?: Le 1er septembre 2023.
Qui est protégé par la nLPD ?: Les personnes physiques dont les données sont traitées; les personnes morales ne sont plus protégées.
À qui s'applique la LPD fédérale ?: Aux personnes privées et aux organes fédéraux; les organes cantonaux relèvent du droit cantonal.
Citez les principes de traitement de la nLPD.: Licéité, bonne foi, proportionnalité, finalité, exactitude, sécurité et transparence de la collecte.
Qu'est-ce qu'une donnée sensible ?: Une donnée sur les opinions religieuses, philosophiques, politiques, la santé, la sphère intime, l'origine, des poursuites pénales, des données génétiques ou biométriques identifiant une personne, etc.
Que permet le droit d'accès ?: Savoir si des données vous concernant sont traitées et obtenir les informations nécessaires pour faire valoir vos droits.
Quel est le rôle de l'analyse d'impact ?: Évaluer à l'avance les risques d'un traitement susceptible d'entraîner un risque élevé et définir des mesures pour les réduire.
Qui doit-on informer en cas de violation grave de la sécurité des données ?: Le PFPDT dans les meilleurs délais et, si nécessaire pour la protection des personnes, les personnes concernées.
Qu'est-ce que le PFPDT ?: Le Préposé fédéral à la protection des données et à la transparence, autorité de surveillance indépendante.
Quel est le montant maximal des amendes de la nLPD ?: CHF 250'000, à l'encontre des personnes physiques responsables.
Que signifie le principe de finalité ?: Les données ne peuvent être collectées que pour des finalités déterminées et reconnaissables, et traitées de manière compatible avec elles.
Qu'est-ce qu'une décision individuelle automatisée ?: Une décision prise exclusivement sur la base d'un traitement automatisé et produisant des effets juridiques ou affectant la personne de manière significative; la personne doit en être informée et pouvoir faire valoir son point de vue.

Glossaire

Donnée personnelle: Toute information concernant une personne physique identifiée ou identifiable.
Donnée sensible: Donnée dont le traitement présente un risque accru pour la personnalité, par exemple sur la santé ou les opinions.
Responsable du traitement: Personne privée ou organe fédéral qui détermine les finalités et les moyens du traitement.
Sous-traitant: Personne qui traite des données personnelles pour le compte du responsable.
Droit d'accès: Droit de savoir quelles données sont traitées et de recevoir les informations utiles.
Violation de la sécurité des données: Incident entraînant la perte, la modification, la divulgation ou l'accès non autorisé à des données.
PFPDT: Autorité fédérale indépendante de surveillance en matière de protection des données et de transparence.