Suisse
SuissenLPD et sécurité des données : ce que la loi suisse attend de votre informatique
Depuis le 1er septembre 2023, la loi fédérale révisée sur la protection des données s’applique aux entreprises suisses. Ses exigences de sécurité se traduisent en mesures concrètes sur vos comptes, vos postes et vos sauvegardes.
À partir de 1'800 € le projet
La nLPD en bref
La loi fédérale sur la protection des données (LPD) a été totalement révisée pour l'adapter aux évolutions technologiques et la rapprocher du RGPD européen. Le Conseil fédéral a fixé son entrée en vigueur au 1er septembre 2023, en même temps que l'ordonnance sur la protection des données (OPDo), qui en précise l'application.
Quelques changements structurent la loi révisée : elle ne protège plus que les données des personnes physiques, les données génétiques et biométriques rejoignent les données sensibles, la protection des données dès la conception et par défaut devient une obligation, et le PFPDT peut désormais rendre des décisions contraignantes, là où il ne pouvait qu'émettre des recommandations.
Pour une entreprise déjà alignée sur le RGPD, les changements sont limités, la loi révisée visant une compatibilité avec le droit européen. Pour une PME qui n'avait jamais formalisé sa protection des données, la sécurité informatique est souvent le premier chantier concret.
La sécurité des données, proportionnée au risque
L'article 8 LPD impose au responsable du traitement et à son sous-traitant d'assurer, par des mesures techniques et organisationnelles appropriées, une sécurité adaptée au risque ; l'OPDo en précise les objectifs. La loi ne fixe pas une liste d'outils : elle demande des mesures proportionnées à la sensibilité des données et aux menaces réelles.
Dans une PME, ces mesures se ramènent le plus souvent à quelques chantiers vérifiables :
les identités et les accès : des comptes nominatifs, des droits limités au besoin, des comptes à privilèges peu nombreux et protégés, une authentification multifacteur pour la messagerie et les accès distants ;
les postes de travail : un système à jour, un disque chiffré, un antivirus actif et des politiques appliquées de la même façon sur tout le parc ;
les sauvegardes : régulières, isolées du réseau de production et testées par des restaurations réelles ;
les personnes : des collaborateurs capables de reconnaître un hameçonnage et de signaler un incident sans tarder.
La protection des données dès la conception et par défaut (article 7 LPD) s'applique aussi à l'informatique : un nouvel outil se paramètre d'emblée pour ne collecter que ce qui est nécessaire et n'exposer les données qu'aux personnes qui en ont besoin.
Violation de la sécurité des données : annoncer au PFPDT
L'article 24 LPD oblige le responsable du traitement à annoncer au PFPDT, dans les meilleurs délais, toute violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Le PFPDT met à disposition un formulaire en ligne sécurisé, DataBreach, et un guide sur la notion de risque élevé. Les personnes concernées sont informées lorsque c'est nécessaire à leur protection ou que le PFPDT l'exige.
Contrairement au RGPD, la loi suisse ne fixe pas de délai en heures : elle exige d'agir dans les meilleurs délais. En pratique, la rapidité dépend de ce que vos systèmes permettent de savoir : quels comptes ont été utilisés, quelles données étaient accessibles, depuis quand. Un annuaire propre et des journaux conservés font toute la différence au moment de décider s'il faut annoncer.
Le sous-traitant, lui, annonce la violation au responsable du traitement (article 24, alinéa 3). C'est ce que nous faisons lorsque nous intervenons sur vos systèmes.
Registre, analyse d’impact et sanctions
Le registre des activités de traitement devient la règle, avec une exception pour les entreprises de moins de 250 collaborateurs dont les traitements présentent un risque limité. Une analyse d'impact est requise lorsqu'un traitement présente un risque élevé.
Les sanctions sont pénales : des amendes jusqu'à 250 000 francs, prononcées en principe contre les personnes physiques responsables et pour des infractions intentionnelles ; l'entreprise elle-même peut être condamnée jusqu'à 50 000 francs dans certains cas. Le non-respect des exigences minimales de sécurité des données fait partie des manquements punissables.
Une entreprise suisse qui s'adresse à des personnes dans l'Union européenne peut en outre relever du RGPD : la question se pose souvent pour un site de vente en ligne ou un service ouvert aux clients européens.
Ce qu’un prestataire informatique peut prendre en charge
La nLPD est une loi de gouvernance autant que de technique. Le responsable du traitement décide et répond de ses traitements ; nous intervenons sur le volet technique, à distance et sur des périmètres définis :
l'audit du système d'information dresse l'état des sauvegardes, du parc, de Microsoft 365, des comptes et des licences, avec un rapport priorisé qui sert de base à vos mesures de sécurité ;
l'audit Active Directory traite les identités et les accès : comptes à privilèges, délégations, authentification ;
la mise en place de Microsoft 365 et Intune pose la conformité des postes, le chiffrement BitLocker et l'accès conditionnel ;
la sensibilisation à la cybersécurité prépare vos équipes à reconnaître une attaque et à la signaler.
Ce que nous ne faisons pas : nous ne sommes pas conseiller à la protection des données, nous ne donnons pas de conseil juridique, nous ne garantissons pas une conformité et nous n'annonçons pas les violations à votre place. Pour en parler, contactez-nous.
Questions fréquentes
La nLPD impose-t-elle un délai de 72 heures pour annoncer une violation ?
Non. Contrairement au RGPD, l’article 24 LPD demande une annonce au PFPDT dans les meilleurs délais, lorsque la violation entraîne vraisemblablement un risque élevé pour les personnes concernées.
Notre PME doit-elle tenir un registre des traitements ?
La loi prévoit une exception pour les entreprises de moins de 250 collaborateurs dont les traitements présentent un risque limité. Votre conseil vous dira si elle s’applique à votre activité.
Un audit informatique suffit-il à être conforme à la nLPD ?
Non. Un audit établit l’état de la sécurité et priorise les mesures ; la conformité repose aussi sur l’information des personnes, les bases de vos traitements et votre organisation, qui relèvent de votre responsabilité.