La loi révisée sur la protection des données est en vigueur depuis le 1er septembre 2023, sans période transitoire. Près de trois ans plus tard, un schéma clair se dessine en pratique: la plupart des entreprises ont mis en œuvre les obligations une fois, mais jamais actualisé. C'est exactement là que naissent aujourd'hui les risques.

Les exigences centrales sont inchangées: un registre actuel des activités de traitement, des déclarations de protection des données transparentes, des processus définis pour les demandes d'accès, des contrats avec tous les sous-traitants et une voie d'annonce fonctionnelle au PFPDT pour les violations de la sécurité des données.

Le premier point faible est presque toujours le registre. Créé en 2023, plus touché depuis, alors que tout a changé: nouveaux outils, nouveaux services cloud, nouvelles applications d'IA, nouveaux destinataires à l'étranger. Un registre qui ne reflète plus la réalité ne protège pas, il simule la sécurité.

Le deuxième point faible: les contrats de prestataires. Qui fait traiter des données personnelles par des tiers a besoin des garanties contractuelles de l'art. 9 LPD. Ces contrats manquent étonnamment souvent, ou ne couvrent plus les prestations réellement achetées. Particulièrement critique: les services cloud et IA avec traitement hors de Suisse, qui exigent en plus une base pour la communication à l'étranger selon les art. 16 ss LPD.

Le troisième point faible: le processus d'incident. Une violation de la sécurité des données doit être annoncée dans les meilleurs délais lorsqu'un risque élevé menace les personnes concernées. Qui clarifie seulement pendant l'incident qui décide en interne perd exactement le temps que la loi ne donne pas. S'ajoutent les sanctions pénales de la LPD: des amendes jusqu'à 250 000 francs visent les personnes physiques responsables, pas seulement l'entreprise.

Notre recommandation: un check de santé des données compact de deux à trois jours. Confronter le registre à la réalité, passer en revue prestataires et contrats, clarifier les communications à l'étranger, dérouler une fois le processus d'annonce. L'effort est modeste, l'effet grand, surtout avant que les projets d'IA ne transforment davantage le paysage des données.

En premier pas, notre avenant de sous-traitance vous permet de combler vous-même la lacune contractuelle la plus fréquente. Pour le check et les questions plus délicates, nous sommes volontiers là.