nDSG 2023 : La Suisse réinvente la protection des données – Ce qui change vraiment (et ce qui reste)

La Suisse entre dans l'ère de la protection des données moderne

Le 1er septembre 2023, la Suisse a mis en vigueur sa nouvelle loi fédérale sur la protection des données (nDSG). Fini le temps où l'on pouvait traiter les données personnelles comme des confettis lors d'une fête – désormais, les règles se resserrent. Mais attention : ce n'est pas une copie carbone du RGPD européen. Alors, qu'est-ce qui change vraiment ? Et surtout, qu'est-ce qui reste identique ?

Featured Snippet Bait : La nDSG suisse s'inspire du RGPD mais s'en distingue sur plusieurs points : pas de DPO obligatoire pour toutes les entreprises, des sanctions moins élevées (jusqu'à CHF 250 000 contre 20 millions d'euros), et une approche plus pragmatique pour les PME. Découvrez les 5 différences majeures.

Les 5 différences majeures entre nDSG et RGPD

1. Sanctions : la carotte et le bâton version helvétique

Sous le RGPD, les amendes peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. En Suisse, le montant maximum est de CHF 250 000 – une somme qui ferait à peine tousser une multinationale. Mais attention : la nDSG prévoit des sanctions pénales pour les personnes physiques responsables, ce qui n'est pas le cas dans le RGPD. Un petit rappel que même les dirigeants peuvent être tenus personnellement responsables.

2. DPO : pas obligatoire pour tout le monde

Contrairement au RGPD qui impose un Délégué à la Protection des Données (DPO) pour de nombreuses organisations, la nDSG ne l'exige que pour les entreprises privées qui traitent des données sensibles à grande échelle ou qui effectuent un profilage à risque. Les PME suisses peuvent souffler un peu – mais pas trop : elles doivent quand même documenter leurs traitements.

3. Registre des activités de traitement : allégé mais présent

Le RGPD exige un registre détaillé pour toute entreprise de plus de 250 employés. La nDSG simplifie la tâche : seules les entreprises de plus de 250 employés ou celles traitant des données sensibles doivent tenir un registre. Pour les autres, une simple documentation interne suffit. Moins de paperasse, mais pas de laissez-passer.

4. Consentement : plus strict pour les données sensibles

La nDSG aligne le consentement sur le RGPD : il doit être explicite, libre et éclairé. Pour les données sensibles (santé, opinions politiques, etc.), le consentement doit être exprès. Fini les cases pré-cochées – le consentement doit être un choix actif, pas une fatalité.

5. Notification des violations : 72 heures, comme dans le RGPD

En cas de fuite de données, la nDSG impose une notification au Préposé fédéral à la protection des données (PFPDT) dans les 72 heures, exactement comme le RGPD. Les entreprises doivent également informer les personnes concernées si le risque est élevé. Pas de répit pour les failles.

Ce qui reste inchangé (ou presque)

La nDSG conserve les principes de base : minimisation des données, limitation des finalités, transparence et droits des personnes (accès, rectification, effacement). Les principes de privacy by design et by default sont également repris. Bref, si vous êtes déjà en conformité RGPD, vous n'êtes pas parti de zéro.

Comment se préparer à la nDSG ?

Pour les entreprises suisses, le moment est venu de vérifier leurs pratiques. Mettez à jour vos politiques de confidentialité, formez votre personnel et documentez vos traitements. Et si vous traitez des données de citoyens européens, n'oubliez pas que le RGPD s'applique toujours – la nDSG ne remplace pas le droit européen. Pour plus d'informations, consultez le site officiel du Préposé fédéral à la protection des données.

FAQ