Que règle la nouvelle loi sur la protection des données ?
La nLPD protège les données personnelles des personnes physiques, par exemple les contacts clients, les données du personnel ou les commandes de particuliers. Les données des entreprises n’en font plus partie depuis la révision. Qui traite des données personnelles doit informer de manière transparente, les protéger de manière appropriée et tenir compte de la protection des données dès la conception des systèmes (privacy by design).
La nLPD exige-t-elle de stocker les données en Suisse ?
Non. Les données personnelles peuvent être communiquées à l’étranger si le Conseil fédéral reconnaît au pays une protection adéquate ou si des garanties supplémentaires existent, par exemple des clauses contractuelles types. Qui héberge dans un centre de données suisse n’a pas à régler ces questions pour les systèmes hébergés. Elles subsistent pour les services cloud avec serveurs à l’étranger, un support depuis l’étranger ou des sauvegardes sur d’autres sites.
Qu’en est-il des prestataires IT et partenaires d’hébergement ?
Lorsqu’un prestataire traite des données personnelles pour votre compte, par exemple pour l’hébergement, la maintenance à distance ou le support, la loi parle de sous-traitance. Vous restez responsable et devez vous assurer que le prestataire ne traite les données que comme vous seriez autorisé à le faire et qu’il garantit leur sécurité. Cela est fixé dans un contrat de sous-traitance. D’autres sous-traitants ne sont possibles qu’avec votre accord.
Quelles autres obligations ont les PME ?
- Déclaration de protection des données : informer des données traitées, de leur finalité et de leurs destinataires.
- Registre des activités de traitement : obligatoire dès 250 collaborateurs ; les entreprises plus petites en sont dispensées, sauf traitement à grande échelle de données sensibles ou profilage à risque élevé.
- Violations de la sécurité des données : les annoncer au Préposé fédéral à la protection des données et à la transparence (PFPDT) dès que possible en cas de risque élevé pour les personnes concernées.
- Analyse d’impact : avant des traitements présentant un risque élevé pour les personnes concernées.
En cas de violation intentionnelle de certaines obligations, la nLPD prévoit des amendes jusqu’à 250 000 francs. Elles visent les personnes responsables, pas l’entreprise.
Check-list : que doivent vérifier les PME pour l’hébergement ?
- Où se trouvent les serveurs, les sauvegardes, et d’où est fourni le support ?
- Existe-t-il un contrat de sous-traitance avec tous les prestataires qui voient des données personnelles ?
- Les accès, le chiffrement, les sauvegardes et la restauration sont-ils réglés et testés ?
- Est-il clair qui annonce une violation de données et en combien de temps le prestataire vous informe ?
- La déclaration de protection des données et, si nécessaire, le registre des activités sont-ils à jour ?
Comment elvadata vous aide-t-elle ?
Nous exploitons les systèmes de nos clients dans le centre de données suisse de notre partenaire Netrics, et les données restent en Suisse. Notre système de management de la sécurité de l’information est construit selon les standards de l’ISO 27001. Les questions juridiques se clarifient au mieux avec votre conseil juridique ; nous prenons en charge la mise en œuvre technique avec vous. Plus d’informations dans le guide Hébergement en Suisse.