Les obligations opérationnelles côte à côte
| Obligation | LPD | RGPD |
|---|---|---|
| Registre des activités de traitement | art. 12 ; exception en dessous de 250 collaborateurs (art. 24 OPDo) | art. 30 ; exception en dessous de 250 employés, très limitée |
| Devoir d'informer | art. 19 | art. 13 et 14 |
| Droit d'accès | art. 25 ; en règle générale 30 jours | art. 15 ; un mois, prolongeable de deux mois |
| Remise et transmission des données | art. 28 | art. 20 |
| Effacement | art. 6, al. 4, et art. 32, al. 2, let. c | art. 17 |
| Protection des données dès la conception et par défaut | art. 7 | art. 25 |
| Sécurité des données | art. 8 | art. 32 |
| Analyse d'impact relative à la protection des données | art. 22 | art. 35 |
| Annonce des violations de la sécurité des données | art. 24 ; en cas de risque élevé probable, dans les meilleurs délais au PFPDT | art. 33 ; dans les meilleurs délais, si possible dans les 72 heures, à l'autorité de contrôle, sauf si un risque est improbable |
| Communication à l'étranger | art. 16 et 17 | art. 44 ss |
Où la LPD et le RGPD diffèrent
- Terminologie : la LPD parle de « données personnelles », le RGPD de « données à caractère personnel » ; dans les versions allemandes, les termes pour le traitement et le sous-traitant diffèrent aussi.
- Fondement du traitement : la LPD autorise le traitement si les principes sont respectés ; un motif justificatif n'est nécessaire qu'en cas d'atteinte à la personnalité. Le RGPD exige une base juridique pour chaque traitement (art. 6 RGPD).
- Données sensibles : la LPD y inclut aussi les données sur des mesures d'aide sociale et sur des poursuites ou sanctions pénales et administratives.
- Annonce des violations : la LPD l'exige en cas de risque élevé probable, sans délai fixe ; le RGPD dès qu'un risque ne peut être exclu, si possible dans les 72 heures.
- Sanctions : la LPD vise en principe par des amendes les personnes physiques responsables, le RGPD vise les entreprises par des amendes administratives.
Qu'est-ce que cela signifie pour l'exploitation ?
Les deux lois exigent des processus, pas seulement des documents : un registre exact, des demandes traitées dans les délais, des données réellement supprimées à l'échéance de leur délai et des preuves qui l'attestent.
Qui est soumis aux deux ordres juridiques a tout intérêt à adopter un processus unique : calculer et surveiller les délais pour chaque demande, piloter les suppressions dans tous les systèmes, consigner chaque étape.