référentiel · nLPD – Loi fédérale sur la protection des données et ordonnance
nLPD : La protection des données suisse sans devinettes
Des clients, utilisateurs ou collaborateurs en Suisse ? La LPD révisée s’applique alors, même avec un siège à l’étranger. Complass montre ce que vous reprenez du RGPD et ce que la Suisse exige en plus.
Que régit la nLPD ?
La loi fédérale sur la protection des données (LPD, RS 235.1) s’applique dans sa version totalement révisée depuis le 1er septembre 2023, avec l’ordonnance sur la protection des données (OPDo, RS 235.11). Elle protège la personnalité des personnes physiques lors du traitement de leurs données et régit notamment les principes, le devoir d’informer, la sécurité des données, la communication de données à l’étranger, l’analyse d’impact, l’annonce des violations de la sécurité des données et les droits des personnes concernées.
Le texte légal allemand publié sur fedlex.admin.ch fait foi. Les contenus expliquent la loi avec nos propres mots et ne remplacent pas un conseil juridique.
État des contenus:
Suis-je concerné ?
La LPD s’applique à toute entreprise qui traite des données personnelles de personnes physiques lorsque le traitement déploie des effets en Suisse. Un siège en Suisse n’est pas nécessaire : une boutique en ligne à l’étranger avec des clients en Suisse ou un logiciel avec des utilisateurs suisses est également concerné. Les entreprises sans siège en Suisse doivent, à des conditions strictes, disposer d’un représentant en Suisse.
Si vous appliquez déjà le RGPD, utilisez le module RGPD pour les obligations européennes et ce module pour les particularités suisses : liste de pays propre, adaptation suisse des clauses contractuelles types, journalisation et règlement de traitement, accès dans les 30 jours et amendes contre les personnes responsables.
Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.
Base juridique
- Art. 2 DSGChamp d’application personnel et matériel
- Art. 3 DSGChamp d’application territorial (principe des effets)
- Art. 5 DSGDéfinitions
- Art. 14 DSGReprésentant des responsables étrangers
- Art. 60 bis 66 DSGDispositions pénales
Dates clés
-
Parliament adopts the totally revised FADP
Art. 72 FADP
-
Federal Council adopts the Data Protection Ordinance (DPO)
DPO
-
FADP and DPO enter into force without a transitional period
Art. 69 to 72 FADP
-
USA added to Annex 1 DPO for companies certified under the Swiss-US Data Privacy Framework
Annex 1 DPO
-
Dans les meilleurs délais
Annonce au PFPDT d’une violation de la sécurité des données entraînant vraisemblablement un risque élevé, sans délai fixe en heures
Art. 24 DSG
-
30 jours
Réponse aux demandes d’accès en règle générale dans les 30 jours, en principe gratuite
Art. 25 DSG
Comment Complass vous aide
- 9phases
- 22étapes guidées
- 14modèles de documents
- 76exigences dans le catalogue
Guidé en neuf phases
Applicabilité et rôles, registre, principes, information, sécurité des données, sous-traitance et communication à l’étranger, analyse d’impact, annonces et droits des personnes concernées, ainsi que gouvernance et risque de sanction.
76 duties from the FADP and DPO
Chaque obligation avec sa référence, une explication en termes propres, une indication des différences avec le RGPD et une aide à la mise en œuvre avec périmètre minimal et preuves.
14 templates with completion guidance
Notamment registre, déclaration de protection des données, règlement de traitement, concept de sécurité des données et de journalisation, liste de pays, analyse d’impact, annonce au PFPDT et processus d’accès.
Avec le RGPD
Complass vous propose de reprendre les preuves de vos projets RGPD et ISO 27001 grâce aux mesures communes.
Les phases du module
- Applicability and roles
- Inventory and record
- Principles and lawful processing
- Information and transparency
- Data security, logging and processing regulations
- Processors and cross-border disclosure
- Impact assessment and data protection by design
- Data security breaches and data subject rights
- Governance, sanction risk and review
Catalogue: FADP – duties under the FADP and DPO
Questions fréquentes
La nLPD s’applique-t-elle aussi aux entreprises sans siège en Suisse ?
Oui, dès que le traitement déploie des effets en Suisse, par exemple par des clients, utilisateurs ou collaborateurs qui s’y trouvent. Vous vérifiez à la première étape du projet si un représentant en Suisse est en outre nécessaire.
Notre mise en conformité RGPD suffit-elle ?
En grande partie. Vous devez surtout compléter la liste de pays suisse et l’adaptation des clauses, la journalisation et le règlement de traitement dans certains cas, le délai d’accès de 30 jours et les responsabilités pour les obligations assorties de sanctions pénales.
Qui les amendes visent-elles ?
Les amendes jusqu’à 250 000 CHF visent la personne physique responsable qui agit intentionnellement, pas automatiquement l’entreprise. Des responsabilités claires et des contrôles documentés sont donc importants.
Complass annonce-t-il les violations au PFPDT ?
Non. Complass vous aide pour l’évaluation, le contenu et la documentation ; vous effectuez la notification via le formulaire de notification du PFPDT.
Testez Complass avec vos propres données
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.