La loi révi­sée sur la pro­tec­tion des don­nées entrera en vigueur en sep­tembre 2023

La loi sur la pro­tec­tion des don­nées révi­sée à l’au­tomne 2020 et son ordon­nance d’ap­pli­ca­tion sont main­te­nant sous toit. Un long pro­ces­sus mar­qué par des déli­bé­ra­tions par­le­men­taires intenses et des dis­cus­sions tech­niques com­plexes tire ainsi à sa fin.

Après trois ans de débats, le Par­le­ment a fina­le­ment approuvé la nou­velle loi sur la pro­tec­tion des don­nées à l’au­tomne 2022. Au vu des évo­lu­tions inter­na­tio­nales, il était devenu néces­saire de moder­ni­ser cette loi afin de garan­tir des échanges de don­nées sans entraves avec nos prin­ci­paux par­te­naires com­mer­ciaux et d’évi­ter que les entre­prises suisses ne soient péna­li­sées sous l’angle de la concur­rence. L’équi­va­lence avait été dès le début l’un des élé­ments moteurs de la révi­sion de cette loi. L’UE n’a tou­jours pas confirmé l’équi­va­lence de la nou­velle régle­men­ta­tion suisse, quand bien même le pro­jet est clai­re­ment équi­valent à la régle­men­ta­tion de l’UE sur le plan tech­nique.

L’ÉCO­NO­MIE DEMANDE DES AMÉ­LIO­RA­TIONS

Alors que l’éco­no­mie pou­vait accep­ter la loi sur la pro­tec­tion des don­nées adop­tée par le Par­le­ment comme un com­pro­mis tenant compte des dif­fé­rentes posi­tions et inté­rêts en Suisse, le pre­mier pro­jet d’or­don­nance avait sus­cité de viru­lentes cri­tiques. Le pro­jet ne tenait pas du tout compte du débat poli­tique et de la loi sur des points essen­tiels et res­sem­blait ainsi à un arse­nal légis­la­tif décon­necté de la nou­velle loi sur la pro­tec­tion des don­nées. En par­ti­cu­lier par rap­port à la régle­men­ta­tion de l’UE, de nom­breux Swiss Finishes allant trop loin auraient de fait conduit à deux stan­dards pour les entre­prises. Lors de la consul­ta­tion, eco­no­mie­suisse s’était donc une nou­velle fois pro­non­cée avec insis­tance en faveur d’un rema­nie­ment en pro­fon­deur et d’une amé­lio­ra­tion du pro­jet.

DES OBLI­GA­TIONS INUTILES SONT MAL­HEU­REU­SE­MENT MAIN­TE­NUES

Des adap­ta­tions sur des points cru­ciaux ont certes été déci­dées, mais d’autres aspects n’ont mal­heu­reu­se­ment pas été remis en ques­tion. Ainsi, des obli­ga­tions bureau­cra­tiques inutiles telles que la tenue d’un registre des acti­vi­tés et le règle­ment de trai­te­ment ont été main­te­nues. Cela ne cor­res­pond pas à l’in­ten­tion du Par­le­ment, qui s’était sciem­ment pro­noncé en faveur d’une approche basée sur les risques et contre une obli­ga­tion de consi­gner cer­tains élé­ments. Pour les entre­prises, cette obli­ga­tion sera pro­ba­ble­ment encore source de défis.

En ce qui concerne les obli­ga­tions du res­pon­sable de la pro­tec­tion des don­nées, le Conseil fédé­ral a apporté de nom­breuses amé­lio­ra­tions qu’il convient de saluer. Il est ainsi revenu au texte de loi, qui ne s’adresse qu’au res­pon­sable et pas à d’autres per­sonnes. De même, l’ar­ticle 16 ini­tial (infor­ma­tion sur les rec­ti­fi­ca­tions, effa­ce­ments et des­truc­tions, ainsi que res­tric­tions du trai­te­ment des don­nées per­son­nelles), qui avait déjà été retiré du pro­jet de loi dans le cadre de la consul­ta­tion, a été sup­primé à juste titre de l'or­don­nance.

LES ENTRE­PRISES DOIVENT MAIN­TE­NANT SE PRÉ­PA­RER

En rai­son des nom­breuses mesures qui doivent être prises par les petites comme par les grandes entre­prises, eco­no­mie­suisse avait demandé qu’un délai suf­fi­sant soit accordé entre la publi­ca­tion des textes défi­ni­tifs et l’en­trée en vigueur de la loi. Le Conseil fédé­ral a donné suite à cette demande et les entre­prises ont désor­mais un an pour mettre en œuvre les nou­velles règles.
Ce temps devrait main­te­nant être mis à pro­fit, le besoin d’adap­ta­tion ne devant pas être sous-estimé.