nLPD et secret bancaire: protéger les données des clients fortunés

Gestion de patrimoine · Master 1

Appliquer la nLPD et le secret bancaire aux données d'un client de banque privée.

Introduction

Un gestionnaire de fortune traite des données parmi les plus sensibles: identité, patrimoine, fiscalité, famille, santé parfois. Deux régimes se superposent. La nouvelle loi fédérale sur la protection des données (nLPD, en vigueur depuis septembre 2023) impose transparence, finalité, proportionnalité, exactitude et sécurité; le secret bancaire (art. 47 de la loi sur les banques) protège spécifiquement la relation bancaire et sanctionne pénalement sa violation.

La nLPD introduit un registre des activités de traitement (avec des exceptions pour les petites entreprises), l'analyse d'impact pour les traitements à risque élevé, la protection des données dès la conception et par défaut, et une obligation d'annoncer au Préposé fédéral à la protection des données et à la transparence (PFPDT) les violations de la sécurité des données entraînant un risque élevé, dans les meilleurs délais.

Le client dispose de droits: accès, rectification, effacement dans les limites légales, remise de ses données. Ces droits entrent en tension avec les obligations de conservation (documents comptables, LBA) et avec les devoirs de documentation du conseil: l'effacement n'est donc pas automatique.

Objectifs d'apprentissage

Distinguer protection des données (nLPD) et secret bancaire
Énoncer les principes de traitement de la nLPD
Décrire l'obligation d'annoncer une violation de sécurité
Expliquer les droits des personnes concernées et leurs limites
Intégrer la protection dès la conception dans les processus d'un gérant

Concepts clés

nLPD: Loi sur la protection des données révisée, en vigueur depuis septembre 2023.
Secret bancaire: Art. 47 LB: la violation du secret est une infraction pénale.
Annonce de violation: Au PFPDT dans les meilleurs délais si risque élevé.
Privacy by design: Intégrer la protection des données dès la conception des systèmes.

Conclusion

La nLPD et le secret bancaire se complètent: la première organise la transparence et la sécurité du traitement, le second protège la relation. Le gérant doit les intégrer dans l'organisation, pas seulement dans les contrats.

Cartes

Que protège la nLPD ?: La personnalité des personnes physiques dont les données sont traitées (les données de personnes morales ne sont plus couvertes).
Quels sont les principes de traitement ?: Licéité, bonne foi, proportionnalité, finalité, exactitude, sécurité et transparence.
Que signifie la finalité ?: Les données ne sont collectées que pour un but déterminé et reconnaissable, et ne sont pas utilisées pour un autre but incompatible.
Quand une violation de sécurité doit-elle être annoncée ?: Lorsqu'elle entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux; l'annonce est faite au PFPDT dans les meilleurs délais.
Faut-il aussi informer les personnes concernées ?: Oui si leur protection l'exige ou si le PFPDT le demande.
Qu'est-ce qu'une analyse d'impact ?: Une évaluation préalable des risques d'un traitement susceptible d'entraîner un risque élevé pour les personnes.
Le secret bancaire est-il supprimé par la nLPD ?: Non, c'est un régime distinct: la nLPD et l'art. 47 LB s'appliquent cumulativement.
Pourquoi un client ne peut-il pas toujours exiger l'effacement ?: Parce que des obligations légales de conservation et de documentation peuvent s'y opposer.
Qu'est-ce que la protection dès la conception ?: Concevoir les systèmes et processus pour limiter par défaut la collecte et l'accès aux données nécessaires.

Glossaire

PFPDT: Préposé fédéral à la protection des données et à la transparence.
Donnée sensible: Catégorie de données nécessitant une protection accrue (santé, religion, etc.).
Sous-traitant: Entité traitant des données pour le compte du responsable.
Registre des traitements: Liste des activités de traitement tenue par le responsable.
Droit d'accès: Droit de savoir quelles données sont traitées.
Minimisation: Ne traiter que les données nécessaires au but.