Pour les entreprises privées, le conseiller à la protection des données est facultatif selon la LPD révisée; seuls les organes fédéraux doivent en désigner un. Qui traite des données de personnes dans l'UE devrait en outre vérifier si le RGPD s'applique à l'activité concrète. S'y ajoutent l'AIPD, l'obligation d'annoncer les violations de la sécurité des données et l'obligation de désigner un représentant pour les responsables à l'étranger. Nous replaçons le tout, étape par étape.
En bref:
En cas de risque élevé prévisible, l'entreprise doit procéder à une analyse d'impact; si un risque élevé résiduel subsiste, la consultation du PFPDT n'est évitée que si un conseiller qualifié a été désigné.
Les entreprises établies à l'étranger doivent, à certaines conditions, désigner un représentant en Suisse; ses coordonnées doivent être accessibles au public et servir de point de contact pour les personnes concernées comme pour le PFPDT.
Annoncez une violation de la sécurité des données au PFPDT lorsqu'elle entraîne vraisemblablement un risque élevé; consignez à l'avance la cause, les données concernées et les mesures prises.
Le conseiller à la protection des données doit être indépendant sur le plan professionnel; convenez donc expressément dans le contrat de son absence d'instructions, de son accès direct à la direction et de ressources suffisantes.
Quand la désignation devient nécessaire: LPD révisée et RGPD en comparaison
La nLPD n'impose pas de conseiller à la protection des données aux entreprises privées. L'art. 10 LPD ne prévoit l'obligation que pour les organes fédéraux; les privés peuvent en désigner un volontairement. Cela paraît souple, mais ce n'est vrai qu'à première vue.
Ce qui compte, c'est où et pour qui vous traitez des données:
- Activité purement interne sans risques particuliers: aucun conseiller nécessaire. Les responsabilités internes et une documentation soignée suffisent.
- Affaires avec l'UE: vérifiez si le RGPD impose des exigences supplémentaires à votre activité concrète.
- Risque élevé lié aux données: le conseiller devient un levier stratégique, car il peut dispenser de la consultation du PFPDT dans le cadre de l'AIPD (voir plus bas).
- Organes fédéraux: l'obligation s'applique sans réserve.
Pour votre planification: évaluez d'abord votre risque, désignez ensuite le responsable interne, puis documentez la décision, même si elle écarte le recours à un conseiller. Un regard complémentaire sur les obligations issues de la nLPD est utile. Pour une perspective externe sur l'importance du sujet, voir cette contribution sur la portée de la protection des données.
AIPD: quand est-elle nécessaire et comment un conseiller remplace-t-il la consultation?
Une analyse d'impact relative à la protection des données s'impose lorsqu'un traitement est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. L'art. 22 LPD rattache cela à la nature, à l'étendue et au but du traitement. Si un risque élevé subsiste malgré les mesures prises, l'art. 23 impose la consultation du PFPDT.
L'exception joue ici: le responsable privé peut renoncer à cette consultation s'il a désigné un conseiller à la protection des données remplissant les exigences de l'art. 10 al. 3 LPD. Le classement de Legal 500 le confirme. La charge se déplace donc: de l'autorité vers un conseiller qualifié.
Procédez ainsi:
- Décrivez le traitement envisagé: but, catégories de données, étendue, destinataires.
- Évaluez les risques pour les personnes concernées et consignez les mesures en regard.
- Vérifiez s'il subsiste un risque résiduel élevé.
- Déterminez si un conseiller aux qualifications requises est associé, à défaut la consultation s'impose.
- Archivez l'AIPD et les éléments de décision.
Conseil de pro: associez le conseiller avant le lancement du projet, pas seulement lors de la validation. Les flux de données et les risques restent alors modifiables.
Pour la construction concrète d'une AIPD, consultez notre guide sur l'analyse d'impact relative à la protection des données. Le PFPDT explique l'instrument sur sa page consacrée à l'AIPD.
Obligation de représentation pour les responsables à l'étranger selon l'art. 14 LPD
Si votre entreprise est établie à l'étranger et traite des données de personnes en Suisse, un représentant en Suisse peut être obligatoire. Le PFPDT en précise les détails dans ses indications sur la désignation d'un représentant au sens de l'art. 14 LPD. Les conditions tiennent notamment à la régularité du traitement, à un risque élevé et à l'étendue.
Le représentant a un rôle clair:
- Il est le point de contact pour les personnes concernées et pour le PFPDT.
- Il sert de domicile de notification en Suisse.
- Ses coordonnées doivent être accessibles au public.
Rendez les coordonnées du représentant publiquement accessibles. Vérifiez quelles autres démarches s'imposent dans votre cas.
Tâches, exigences et indépendance du conseiller à la protection des données
Le conseiller doit être compétent et indépendant d'instructions. Le PFPDT retient sur sa page consacrée au conseiller à la protection des données: il ne peut exercer de tâches incompatibles avec cette fonction. Ses coordonnées doivent être publiées et peuvent être communiquées au PFPDT.
Au quotidien, ses tâches peuvent inclure le conseil à l'entreprise et la participation à l'AIPD.
Vérifiez si d'autres tâches sont compatibles avec le rôle indépendant du conseiller. Réglez donc son statut dans le contrat: absence d'instructions dans l'appréciation professionnelle, accès direct à la direction, ressources suffisantes.
Conseil de pro: consignez par écrit les autres fonctions exercées par le conseiller et vérifiez chaque année l'absence de conflits d'intérêts.
Annoncer une violation de données: obligations et processus dans le portail du PFPDT
Vous devez annoncer au PFPDT toute violation de la sécurité des données entraînant vraisemblablement un risque élevé pour les personnes concernées. La base est l'art. 24 LPD, les détails du contenu de l'annonce étant réglés à l'art. 15 OPDo. Le PFPDT illustre les cas pratiques dans son guide DataBreach. D'autres obligations relatives aux mesures techniques et organisationnelles figurent dans le guide correspondant.
La marche à suivre en pratique:
- Détecter l'incident et le circonscrire.
- Évaluer le risque pour les personnes concernées.
- Transmettre l'annonce via le formulaire en ligne du PFPDT.
- Classer la confirmation du PFPDT.
- Informer les personnes concernées lorsque cela est nécessaire ou indiqué.
Le PFPDT met à disposition un formulaire en ligne permettant d'annoncer les violations de la sécurité des données de manière sûre et d'obtenir une confirmation. (Source: guide DataBreach)
Préparez à l'avance un modèle: moment, données concernées, cause présumée, mesures prises. En cas d'urgence, le temps manque pour rédiger.
Quand nous conseillons à nos mandants de recourir à un conseiller à la protection des données
Un conseiller s'avère utile, à notre sens, dès que les flux de données franchissent frontières et langues, par exemple dans des structures de groupe comportant des sociétés dans l'UE, en Suisse et à l'Est. Un conseiller peut appuyer la qualification juridique dans ces structures. En cas d'incident, la rapidité compte: celui qui sait déjà qui annonce quoi ne perd pas d'heures. Et la communication avec les autorités et les personnes concernées réussit mieux dans la bonne langue. Pour l'examen initial et l'accompagnement de l'AIPD, nous sommes à disposition.
— Bitblade
Notre appui pour l'examen du conseiller à la protection des données et l'AIPD
Nous clarifions avec vous si vous devez désigner un conseiller et vous accompagnons si vous en nommez un. Nous vous appuyons directement dans la communication avec une juriste.
- Check protection des données selon la nLPD
- Accompagnement de l'analyse d'impact
- Conseil sur la représentation et la publication des coordonnées
Notre processus: premier entretien, délimitation du périmètre, offre. La consultation initiale débute à 150 CHF par heure. Demandez dès maintenant votre premier entretien et exposez-nous votre cas.
Cet article contient des informations générales et ne remplace pas la consultation d'un avocat qualifié. Adressez-vous à un professionnel qualifié du droit pour votre situation personnelle avant d'agir sur la base de ce contenu.
FAQ
Un conseiller à la protection des données est-il obligatoire en Suisse?
Pour les entreprises privées, non: la désignation est facultative. Les organes fédéraux y sont tenus. En cas de traitements liés à l'UE, les entreprises devraient vérifier si, outre le droit suisse, d'autres exigences s'appliquent.
Quelles obligations le conseiller à la protection des données doit-il remplir?
Il conseille l'entreprise, surveille le respect de la protection des données et participe à l'AIPD. Il doit être indépendant sur le plan professionnel, et ses coordonnées doivent être publiées.
Quels principes s'appliquent particulièrement en protection des données?
Les principes centraux sont la licéité, la transparence, la finalité et la sécurité des données. La nLPD exige notamment des obligations d'information et des mesures techniques de protection.
Une déclaration de protection des données est-elle obligatoire?
Dans de nombreux cas, oui, car la LPD prévoit des obligations d'information envers les personnes concernées. Une déclaration de protection des données peut servir à les informer du traitement de leurs données.