Charte de l’économie suisse pour une gestion responsable des données

À l’ère du numérique, l’importance de la gestion des données grandit. Les données sont communément considérées comme la matière première de l’économie numérique. Une gestion durable et prudente des données, en particulier des données à caractère personnel, et la confiance ainsi créée deviennent une condition essentielle au bon fonctionnement de l’économie et de la société. La difficulté est de trouver un juste équilibre entre les objectifs généraux de la société, les intérêts des entreprises et les intérêts des consommateurs. 

La présente charte a été élaborée par un groupe de travail interdisciplinaire composé de membres d’economiesuisse représentatifs des branches de l’économie. Par cette charte, l’économie suisse s’engage à gérer les données de manière responsable pendant tout leur cycle de vie. 

En se fondant sur les lois en vigueur, la charte énonce dix principes fondamentaux et commente les cinq phases du cycle de vie des données, de leur saisie à leur effacement. Il s’agit de créer la transparence et d’instaurer un climat de confiance.

Les entreprises intéressées sont invitées à utiliser la charte comme document de référence pour concevoir la gestion des données dont elles sont responsables.

Il ne nous reste plus qu’à souhaiter bonne lecture et un plein succès aux entreprises dans leur stratégie de gestion des données.  

Les organisations ci-après, qui traitent la question de la gestion responsable des données dans le cadre de leurs activités, ont déclaré adhérer à la charte: 

D’autres organisations sont libres d’adhérer à la charte par une déclaration. Leur nom sera ajouté à la liste dans la version électronique et il apparaîtra dans la version imprimée lors du prochain tirage. Toutes les organisations adhérentes seront associées au développement futur de la charte. 

Pour atteindre les objectifs visés, l’économie suisse s’engage à respecter les dix principes fondamentaux suivants dans la gestion des données à caractère personnel: 

1. Bonne foi 
Nous respectons le principe de la bonne foi dans la gestion des données à caractère personnel. Est de bonne foi toute personne ou entreprise qui agit avec honnêteté, loyauté et probité.

2 . Transparence et reconnaissabilité
Nous concevons la collecte de données à caractère personnel de manière qu’elle apparaisse comme telle pour la personne concernée, et nous informons aussi celle-ci de la finalité du traitement. Cet engagement sert la transparence et concrétise le principe de la bonne foi. Lorsqu’un traitement de données est transparent et reconnaissable, nous renonçons, si la loi le permet, à obtenir le consentement de la personne concernée, par souci d’économicité et de convivialité. 

3. Légalité 
Nous traitons les données à caractère personnel dans la plus stricte légalité, c’est-à-dire dans le respect du droit en vigueur. 

4. Proportionnalité 
Nous sommes guidés par le principe de proportionnalité dans le traitement des données à caractère personnel. Celles-ci ne sont saisies et traitées que lorsque cela est nécessaire et en adéquation avec une finalité déterminée. Nous effectuons toujours une pesée des intérêts entre la finalité du traitement et le risque d’une atteinte aux droits de la personnalité.

5. Qualité des données
En vue du traitement et des buts poursuivis, nous veillons à ce que les données à caractère personnel soient complètes, actuelles et correctes. 

6. Finalité et limites d’utilisation 
Nous traitons les données à caractère personnel exclusivement aux fins indiquées lors de la collecte, telles qu’elles ressortent des circonstances, et qui sont raisonnablement compatibles avec la finalité initiale ou prévue par la loi.  

7. Sauvegarde
Nous protégeons les données à caractère personnel contre les risques de perte, d’accès non autorisé, de destruction, d’utilisation, d’altération ou de divulgation par des tiers non autorisés, par exemple, en prenant des mesures techniques, contractuelles et organisationnelles appropriées. 

8. Autodétermination informationnelle 
Lors du traitement de données, nous veillons à protéger la personnalité de la personne concernée. Si elle en fait la demande, nous confirmons l’existence de données la concernant et lui transmettons les données qu’elle a fournies accompagnées des informations disponibles sur leur origine et leur finalité. S’il existe un droit relatif à l’effacement ou à la modification de données, nous y répondons. 

9. Interdiction de la discrimination 
Nous nous engageons à ce que nul ne soit pénalisé par une discrimination illicite lors du traitement de données. On est en présence d’une telle discrimination lorsque des données personnelles comparables font l’objet d’un traitement différent sans raison objective.

10. Responsabilité 
Il est de notre responsabilité de respecter les présents principes fondamentaux.

En tant que responsables, nous définissons des règles claires concernant les rôles, les processus et les technologies utilisées. La transparence, le principe de responsabilité et l’éthique sont au cœur de ce système de gouvernance. Grâce à une approche basée sur les risques, nous protégeons les droits de la personnalité et les libertés de la personne concernée, afin de favoriser la confiance. Nous veillons à mettre en balance la protection de la personnalité avec l’utilité générale ou spécifique du traitement des données. Nous soumettons la gouvernance des données à un examen éthique.

En pratique, les données à caractère personnel créées et saisies par l’entreprise sont issues de diverses sources:

Les données à caractère personnel mises activement à disposition sont communiquées par la personne concernée. C’est le cas par exemple lors d’une demande de renseignements, d’une commande ou de l’inscription à un bulletin d’information.

Les données à caractère personnel observées sont saisies automatiquement sans intervention active de la personne concernée. Les sources possibles sont des systèmes de paiement, des capteurs tels que des caméras, des données de localisation et de mouvement ou des cookies sur des sites internet, par exemple.

Les données à caractère personnel produites au moyen d’une analyse de données sont générées par des algorithmes ou des systèmes d’intelligence artificielle (IA) à partir d’autres données mises à disposition. Elles servent à déterminer les préférences d’une personne pour certains biens ou services ou à calculer la rentabilité d’un client à partir du nombre de visites dans un magasin et d’articles achetés, par exemple.

• Nous nous engageons à limiter la collecte de données à caractère personnel au strict nécessaire requis par le but de la collecte. De plus, la collecte est transparente et reconnaissable comme telle.

  En tant qu’entreprise responsable, nous ne collectons pas de données à caractère personnel pour le simple motif qu’elles pourraient peut-être servir un jour, par exemple.
   

• Avant de créer et de saisir des données, nous évaluons les risques du traitement pour les droits et les libertés de la personne concernée.
   
• Lors de la création et de la saisie de données à l’insu de la personne concernée, nous veillons, dans le sens d’une bonne gouvernance, à faire preuve d’une transparence appropriée envers cette personne. Ce faisant, nous tenons compte de manière adéquate des éventuels conflits d’intérêt.

La conservation des données commence au moment où les données entrent dans le domaine de responsabilité de l’entreprise et se termine lorsqu’elles en sortent ou lorsqu’elles sont effacées ou détruites.

Les données peuvent être sauvegardées aussi bien sur des systèmes internes à l’entreprise (serveur, stockage en ligne/hors ligne, par exemple) que sur des systèmes de tiers (nuage, par exemple).

• Nous ne conservons pas les données à caractère personnel plus longtemps que nécessaire. Si la finalité initiale de la collecte a disparu et s’il n’existe aucune base légale pour conserver les données, nous effaçons ou détruisons les données à caractère personnel ou prenons une mesure ayant le même effet pour la personne concernée.
   
• Nous faisons dépendre le niveau de sécurité du risque que le traitement de certaines données comporte pour la personnalité de la personne concernée.
   
• Nous prenons les mesures techniques, organisationnelles et contractuelles nécessaires et appropriées pour protéger les données à caractère personnel en notre possession en fonction du risque.
  
  Afin d’établir un système de sécurité dans l’entreprise, nous nous appuyons sur les normes existantes. Plus les données sont sensibles, plus les mesures de sécurité, les mécanismes de protection et les accès, notamment, doivent répondre à des exigences élevées.
   
• Nous accordons les droits d’accès selon le principe du «besoin de savoir». Les personnes chargées du traitement n’ont accès qu’aux données nécessaires dans le cadre de leur travail.

Les données sont utilisées dans un but précis. Nous faisons un usage proportionné du profilage, qui accélère les processus de travail et peut avoir des avantages pour la personne concernée. Le cas échéant, nous utilisons des pseudonymes et anonymisons les données pour protéger l’identité de la personne concernée. 

• Nous traitons les données à caractère personnel dans un but précis. Cela signifie que le traitement doit être compatible avec le but de la collecte et reconnaissable pour la personne concernée.
   

• Le profilage peut accélérer les processus de travail et avoir des avantages aussi pour la personne concernée. Il est devenu indispensable au quotidien. Nous faisons un usage proportionné du profilage et, au besoin, nous procédons à une évaluation des risques par rapport aux données utilisées et aux conséquences pour la personne concernée.
   

• Nous employons différentes méthodes pour protéger l’identité de la personne concernée (pseudonymes, anonymisation.

  Dans le cas de l’attribution d’un pseudonyme, seul le détenteur d’une clé permettant de retirer le pseudonyme conserve la possibilité d’attribuer les données à une personne déterminée. Les données ainsi traitées ne sont assimilées à des données à caractère personnel que pour le détenteur de la clé.

  Dans le cas d’une anonymisation, il n’est pas possible pour le responsable d’identifier une personne à partir de ses données par des moyens adéquats et raisonnables, sur la base de la technique la plus récente. Comme l’identification d’une personne est impossible, les données anonymisées ne sont plus des données personnelles et ne sont pas soumises à la législation sur la protection des données.
   

• Nous nous efforçons d’indiquer clairement l’utilisation des données pour les personnes concernées. Pour faciliter la compréhension de l’information, nous choisissons une forme de communication appropriée, par exemple des pictogrammes. Pour l’utilisation de pictogrammes, nous nous référons aux standards éventuels.

Dans une économie de plus en plus numérisée, transfrontalière et axée sur le principe de la division du travail pour des raisons de coûts et d’efficacité, la circulation des données est une forme courante de traitement des données.

La circulation des données comprend toutes les formes de transmission des données, qu’il s’agisse de l’envoi de données ou de l’octroi d’un accès à des données entre personnes et entreprises, pour toute raison juridique que ce soit. 

• Nous informons la personne concernée spécifiquement de la circulation des données qui n’est pas reconnaissable comme telle. Cela permet à la personne concernée de gérer ses propres données de manière responsable.
   

• Nous sommes favorables à un espace de données transfrontalier et homogène qui garantisse un niveau de protection adéquat et ne crée pas de barrières inutiles. Il en va de même à l’intérieur des groupes d’entreprises, dans le cadre de solutions d’externalisation et de chaînes de distribution.
   

• Nous prenons toutes les mesures nécessaires conformes au dernier état de la technique pour protéger les données contre tout accès non autorisé.
  
  Dans les pays disposant d’une protection des données adéquate, aucune mesure de protection supplémentaire n’est nécessaire.
  
  Dans les autres cas, nous prenons les mesures supplémentaires nécessaires de nature personnelle, organisationnelle, technique ou contractuelle.
   

• Dans le cadre des exigences légales, nous fournissons à la personne concernée qui le demande des informations sur les données qu’elle a transmises ou que nous avons collectées.
   

• Nous nous engageons à assurer une portabilité raisonnable des données.

  Cette portabilité est assurée par des formats communs, généralement électroniques.

  Il s’agit des données que la personne concernée a mises à disposition.
   

• Nous veillons à ce que les échanges de données avec des tiers respectent ces principes fondamentaux.

Par effacement ou destruction, on entend le fait de détruire, rendre méconnaissables ou effacer de manière irréversible les données à caractère personnel.

Lorsque cet effacement irréversible n’est pas possible, nous prenons une mesure qui a le même effet. 

Au terme de l’opération, il n’est plus possible de disposer des données qui existaient préalablement ou de les reconnaître.

• Tout traitement de données doit être conçu de manière que les données à caractère personnel puissent être effacées ou détruites conformément aux exigences légales.
   

• Les données sont effacées ou détruites dès que la finalité du traitement a été atteinte, que les délais de conservation ont expiré ou que la personne concernée en fait la demande dans le cadre de la législation en vigueur.
   

• L’anonymisation est une alternative à l’effacement ou à la destruction de données.
   

• Nous veillons à ce que les exigences et les prescriptions relatives à l’effacement ou à la destruction de données soient également respectées pour les bases de données qui sont traitées par des tiers.
   

• Nous concevons nos processus de manière que l’effacement ou la destruction de données puissent se faire dans les règles de l’art et selon un plan ad hoc (gouvernance).  
   

Nous tenons à remercier le groupe de travail intersectoriel Datenkodex et ses experts pour la bonne coopération.