Nouvelle loi sur la protection des données

Lors de la session d'automne 2020, le Parlement a adopté la nouvelle loi fédérale sur la protection des données. Son objectif principal est d'améliorer le traitement des données personnelles et d'accorder plus de droits à la population suisse. Elle est en vigueur depuis début septembre 2023.

La première loi fédérale sur la protection des données a été introduite en 1992. Entre-temps, la numérisation a pris une place importante dans la vie quotidienne grâce à l'utilisation d'Internet, des smartphones ainsi que d'autres appareils mobiles. L'importance des réseaux sociaux, des services en nuage et d'autres services basés sur Internet n'a cessé de croître. Dans ce contexte, il est devenu évident que pour garantir une protection des données adéquate et adaptée aux changements technologiques et sociétaux de notre époque, une révision complète de la loi sur la protection des données était indispensable.

Les principaux changements :

Seules les données des personnes physiques sont concernées, celles des personnes morales ne le sont plus.
Les données génétiques et biométriques sont définies comme des données sensibles et inscrites dans la loi.
Les principes de "Privacy by Design" et de "Privacy by Default" sont introduits. Le principe "Privacy by Design" (protection de la vie privée dès la conception) signifie que les développeurs doivent intégrer la protection et le respect de la vie privée des utilisateurs dans la structure des produits ou services qui collecteront des données personnelles. Le principe "Privacy by Default" (protection des données par défaut) garantit que toutes les mesures nécessaires à la protection des données et à la limitation de l'utilisation des données sont déjà actives au plus haut niveau de sécurité lors de la mise sur le marché du produit ou du service, c'est-à-dire sans intervention de l'utilisateur*. En d'autres termes, tous les produits logiciels et matériels ainsi que les services doivent être configurés de manière à protéger les données et à garantir la sphère privée des utilisateurs. Cela est mis en œuvre par les fournisseurs de sites web et de logiciels pour cabinets médicaux.
Des analyses d'impact doivent être réalisées lorsqu'il existe un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
Le devoir d'information est étendu : Les personnes concernées doivent être informées au préalable de toute collecte de données personnelles - et non plus seulement de données dites sensibles.
Un registre des activités de traitement est obligatoire. L'ordonnance d'application de la loi prévoit toutefois une exception pour les PME dont le traitement des données ne présente qu'un faible risque d'atteinte à la personnalité des personnes concernées.
Une notification rapide est nécessaire lorsque la sécurité des données a été violée. Elle doit être adressée au Préposé fédéral à la protection des données et à la transparence (PFPDT).
Le terme "profilage" (le traitement automatisé de données à caractère personnel) a été introduit dans la loi.

L'article complet, qui traite également du traitement et du stockage des données personnelles, se trouve dans l 'espace membres. Vous y trouverez également une fiche d'information avec tous les changements importants, une déclaration de protection des données dont vous pouvez extraire les passages qui vous intéressent pour les adapter à votre site web et un formulaire de consentement à télécharger et à imprimer pour vos patients/clients.

Liens utiles :

Site web de la Confédération sur la nouvelle loi sur la protection des données

Guide pour la conservation et l'archivage des données personnelles