Nouvelle loi européenne sur la protection des données : situation juridique pour les entreprises suisses
Pourquoi y a-t-il une nouvelle loi européenne sur la protection des données ?
MICHÈLE FORSTER Depuis le début de l'ère numérique, la protection des données personnelles des citoyens fait l'objet d'une attention croissante. Toute personne qui surfe sur Internet, communique sur les réseaux sociaux ou fait des achats en ligne laisse automatiquement une trace de ses données. De nombreuses entreprises - en particulier les géants de l'Internet comme Facebook, Google ou Amazon - agissent en tant que collecteurs actifs de données afin d'optimiser leurs propres modèles commerciaux grâce à des informations de plus en plus détaillées sur leurs utilisateurs et clients. La nouvelle loi européenne sur la protection des données vise à renforcer les droits des citoyens européens en matière de contrôle de leurs données personnelles. Les principales nouveautés sont par exemple que les utilisateurs d'Internet pourront à l'avenir exiger du responsable du traitement la suppression de leurs données personnelles et qu'ils pourront signaler les violations de la protection des données à l'autorité de protection des données du pays de l'UE dans lequel ils résident, même si l'auteur de la violation se trouve en dehors de l'UE. Pour les entreprises, il en résulte qu'elles doivent faire face à de nouveaux défis en termes de qualité, de complexité et de protection des données personnelles. En règle générale, la collecte et le traitement des données à caractère personnel doivent être fondés sur les principes de licéité, de limitation des finalités, d'exactitude, de limitation de la conservation et de minimisation des données, ainsi que sur le consentement, l'intégrité et la transparence.Les personnes concernées disposent d'un droit d'accès complet à leurs données, peuvent demander la limitation ou l'absence de traitement de leurs données ou les transférer à des tiers. En outre, elles ont désormais le droit d'exiger que les décisions relatives à leurs intérêts personnels ne soient pas fondées sur un traitement automatique des données.
Quelles sont les entreprises suisses concernées par le RGPD ?
MICHÈLE FORSTER La nouvelle loi européenne sur la protection des données a un effet extraterritorial dans la mesure où les données de citoyens de l'Union européenne sont concernées. Elle s'applique même si le traitement de ces données par les entreprises elles-mêmes ou par un sous-traitant n'a pas lieu dans l'UE, mais par exemple en Suisse. Le RGPD concerne les données qui sont stockées et traitées pour offrir des produits et des services aux clients au sein de l'UE ou pour les suivre et analyser, par exemple, leur comportement d'achat.De facto, il concerne toutes les entreprises suisses qui détiennent des données de personnes résidant dans l'UE. La taille de l'entreprise et l'existence d'une succursale dans l'UE ne jouent aucun rôle à cet égard. Le seul critère permettant de déterminer si une entreprise doit se conformer au RGPD en matière de protection des données est de savoir si des données personnelles de citoyens de l'UE sont traitées. Il peut s'agir de données de clients, de clients potentiels, de collaborateurs et d'autres données à caractère personnel. Les différenciations en fonction de la taille de l'entreprise, et donc les avantages pour les PME, ne concernent que des dispositions partielles comme la désignation d'un délégué interne à la protection des données ou le respect d'une obligation de documentation sans faille.Economiesuisse" indique que la loi s'applique également aux entreprises qui étudient le comportement des visiteurs de leur site web ou des utilisateurs d'applications pour smartphones au moyen d'applications numériques. En outre, l'automatisation des newsletters et les outils de communication interactifs génèrent presque automatiquement des données qui proviennent également de clients et de visiteurs de sites internationaux. La grande majorité des PME suisses, et notamment les agences de marketing et de communication, sont concernées par ce phénomène, car elles possèdent souvent de grandes bases de données de citoyens de l'UE.
Que doivent faire les entreprises suisses face à la nouvelle situation juridique ?
MICHÈLE FORSTER Dans les mois à venir, chaque entreprise suisse devrait déterminer si elle est concernée par le RGPD. Si c'est le cas, elles doivent d'abord faire le point sur l'ensemble des données personnelles en leur possession : Quelles sont les données disponibles ? Comment, où, par qui et pourquoi sont-elles collectées et traitées ? En outre, les mesures de protection des données existantes et les processus correspondants doivent être documentés, vérifiés à l'aide des directives de protection des données existantes et les lacunes dans leur respect doivent être identifiées.L'étape suivante consiste à prendre des mesures pour mettre en œuvre les prescriptions de la nouvelle loi européenne sur la protection des données. Les procédures suivantes, qui seront exigées par la loi à l'avenir, sont particulièrement importantes :la mise en œuvre des obligations d'information, par exemple par des déclarations de protection des données et l'obtention du consentement au traitement des données.Examen des bases du contenu, de l'organisation et de la technique du traitement des données, mise en œuvre des mesures de protection correspondantes.conclusion et adaptation de contrats avec des sous-traitants.Le RGPD prévoit qu'à l'avenir, les sous-traitants ne pourront agir que sur une base contractuelle. Il convient de vérifier s'ils sont en mesure de fournir des garanties suffisantes - par exemple par le biais d'un label de protection des données ou de certificats comparables - pour un traitement des données personnelles conforme à la législation.définir des processus internes pour garantir les droits des personnes concernées sur leurs donnéesIl s'agit notamment du droit à l'information, à l'accès, à la rectification ou à la suppression des données personnelles ainsi que du droit de s'opposer au traitement des données personnelles.Mise en place de processus en cas de violation de la protection des données.La nouvelle loi européenne stipule que les violations de données doivent désormais être notifiées dans les 72 heures à l'autorité de contrôle compétente. En cas de risque élevé d'atteinte à la personnalité par l'utilisation et le traitement des données, les personnes concernées doivent également en être informées. Cela augmente naturellement aussi le risque d'atteinte à la réputation des entreprises. Il est judicieux d'intégrer le thème de la protection des données dans la planification de la communication de crise des entreprises.Assurer une documentation complète des traitements de données.Il s'agit d'une obligation imposée par le RGPD à toutes les entreprises de plus de 250 salariés. Les entreprises de moins de 250 employés sont exemptées de cette obligation si elles ne traitent qu'occasionnellement des données à caractère personnel, si cela ne présente pas de risques particuliers et si le traitement ne porte pas sur des données personnelles particulièrement sensibles - par exemple des données relatives à la santé.Désignation d'un délégué à la protection des données.Un délégué à la protection des données devra à l'avenir intervenir dans toutes les entreprises qui détiennent des données de citoyens de l'UE. Les entreprises de plus de 250 employés sont tenues de désigner un délégué à la protection des données en interne. Dans les petites entreprises, un conseiller externe peut également assumer cette tâche. Dans les groupes, un délégué à la protection des données peut s'occuper de l'ensemble du groupe d'entreprises.Désignation d'un représentant dans l'UE.Les entreprises suisses qui ne sont pas établies dans l'UE et qui y proposent des biens ou des services ou y effectuent des observations de comportement doivent désigner un représentant de l'UE. Des exceptions à cette règle s'appliquent lorsque le traitement des données est occasionnel, qu'il ne présente pas de risques particuliers et qu'il ne concerne pas des données particulièrement sensibles.la réalisation d'une analyse d'impact sur la protection des données (AIPD).La DSFA est un nouvel instrument qui deviendra juridiquement contraignant avec l'entrée en vigueur de la loi européenne sur la protection des données. Elle doit être effectuée lorsque des données personnelles sensibles sont collectées ou lorsque la collecte et le traitement des données servent à évaluer la personnalité, les aptitudes, les performances et le comportement des personnes. Dans de tels cas, le délégué à la protection des données doit examiner les risques particuliers liés aux droits et aux libertés des personnes concernées et prendre position sur la légalité du traitement de ces données. L'utilisation de données volumineuses ou d'activités de profilage doit obligatoirement faire l'objet d'une évaluation préalable. La DSFA comprend une description systématique des processus de traitement des données prévus, l'évaluation de leur nécessité et de leur proportionnalité ainsi que des mesures prises pour éviter les risques qui y sont liés.A long terme, il s'agit d'assurer la mise en œuvre durable des mesures et processus de protection des données mis en place et de générer une prise de conscience générale des intérêts liés à la protection des données. Dans les entreprises, il convient de désigner des personnes responsables à cet effet et, bien entendu, de les doter de ressources suffisantes.
A quoi les agences de marketing et de communication doivent-elles faire attention ?
MICHÈLE FORSTER Pour la plupart des prestataires de services de marketing et de communication, il ne vaut pas la peine de développer leur propre infrastructure pour la gestion des e-mails et des leads. Pour la collecte et le traitement des données, ils dépendent par conséquent de fournisseurs tiers. Lors de leur sélection, la compatibilité de leurs pratiques commerciales avec le RGPD doit à l'avenir jouer un rôle, en particulier les garanties que diverses obligations de sécurisation des données sont respectées, notamment les contrôles d'accès et de transmission ainsi que les obligations de séparation ou l'utilisation des données exclusivement à des fins spécifiques. Pour les agences de marketing et de communication également, l'externalisation du traitement des données ne pourra se faire à l'avenir que sur une base contractuelle à l'aide de clauses contractuelles standard et avec des garanties suffisantes de protection des données de la part du sous-traitant. Les sous-traitants ne peuvent confier de telles activités à d'autres prestataires de services - appelés sous-sous-contractants - que s'ils disposent d'une autorisation écrite du responsable de l'entreprise qui les a mandatés.Les prestataires de services de marketing et de communication doivent également respecter d'autres directives de la nouvelle loi européenne sur la protection des données pour la planification et la conception de campagnes individuelles. Pour les mailings publicitaires, les newsletters ou les campagnes de nurture, des mentions légales, une indication sur la protection des données ainsi qu'une possibilité de rétractation - par exemple via un lien de désinscription - sont indispensables. Pour une prise de contact publicitaire, les entreprises ont toujours besoin de la preuve du consentement actif, explicite, conscient et volontaire du destinataire. Michèle Forster recommande aux agences de se protéger par une procédure de double opt-in. En outre, les entreprises devraient informer leurs clients et contacts publicitaires de manière complète et compréhensible sur tous les aspects de la collecte et du traitement de leurs données.
Comment les infractions à la loi européenne sur la protection des données sont-elles sanctionnées ?
MICHÈLE FORSTER Les entreprises qui ne se conforment pas aux exigences de la nouvelle loi européenne sur la protection des données s'exposent à de lourdes sanctions à partir du 25 mai 2018. Selon Michèle Forster, les infractions au RGPD seront sanctionnées par une amende pouvant aller jusqu'à quatre pour cent du chiffre d'affaires annuel, avec un maximum de 20 millions d'euros.En guise de conclusion : à première vue, la mise en œuvre de la loi européenne sur la protection des données entraîne des changements coûteux pour les entreprises suisses, mais dans la pratique, les conséquences devraient être gérables pour les PME et également pour les agences de marketing et de communication. On peut partir du principe que la plupart des entreprises disposent déjà des bases nécessaires à une gestion des données personnelles conforme au RGPD. Ce n'est pas sans raison que la Commission européenne a certifié à la Suisse, dès 2016, que sa législation et son niveau de protection des données correspondaient aux réglementations du droit européen, de sorte qu'aucun obstacle juridique ne s'oppose à un échange de données. En outre, les PME peuvent bénéficier d'allègements en ce qui concerne la documentation de leur traitement de données, la désignation d'un délégué à la protection des données ou d'un représentant de l'UE.
*Cet article a été rédigé par business campaigning GmbH mis à disposition.
