Nouvelle Loi sur la Protection des Données (nLPD)
Accéder directement à la conformité de la méthode Avatar concernant la nLPD
La Nouvelle Loi sur la Protection des Données (nLPD) est le cadre légal suisse modernisé visant à protéger les données personnelles des individus. Elle est en vigueur depuis le 1er septembre 2023 et s’applique à toutes les organisations qui traitent les données personnelles de personnes physiques en Suisse, même si ces organisations sont établies à l’étranger.
Qu’est-ce que les données personnelles ?
Selon la nLPD, les données personnelles désignent :
« Toutes les informations qui se rapportent à une personne identifiée ou identifiable. »
Exemples : nom, adresse email, numéro AVS, adresse IP, données de localisation, données de santé, etc.
Les définitions sont globalement similaires à celles du RGPD, bien que la nLPD soit plus synthétique dans sa formulation.
Base légale du traitement des données personnelles
Contrairement au RGPD, la nLPD n’impose pas de base légale spécifique pour chaque traitement. Toutefois, elle impose le respect de principes fondamentaux, notamment :
- Licéité du traitement
- Bonne foi et proportionnalité
- Finalité déterminée
- Exactitude des données
- Sécurité des données
- Information des personnes concernées
Le consentement explicite est requis dans certains cas, notamment pour le traitement de données sensibles ou pour certains transferts internationaux.
Traitement des données sensibles
La nLPD qualifie comme sensibles les données relatives à :
- La santé
- Les opinions religieuses, philosophiques, politiques
- L’appartenance à un syndicat
- La sphère intime
- Les poursuites et sanctions pénales/administratives
- Les mesures d’aide sociale
Le traitement de ces données est autorisé uniquement s’il repose sur :
- Le consentement explicite
- Une base légale claire
- Un intérêt prépondérant privé ou public, et sous réserve de garanties adéquates
Statut du processus d’anonymisation
Selon le Préposé fédéral à la protection des données (PFPDT), une donnée anonymisée ne permet plus d’identifier une personne, directement ou indirectement. Elle n’est donc plus considérée comme une donnée personnelle, et sort du champ d’application de la nLPD.
En d'autres termes, le processus d’anonymisation constitue une mesure de sécurité, et non un traitement ultérieur nécessitant une nouvelle base légale ou une information supplémentaire aux personnes concernées, s’il est conforme aux principes de la loi.
La nLPD exige que toute réutilisation des données respecte les finalités initiales communiquées à la personne, sauf si :
- Le traitement est compatible avec la finalité d'origine
- Des mesures de sécurité adéquates sont mises en place
- L’intérêt prépondérant ou légal l’exige
L’anonymisation, si elle vise à renforcer la protection des données, est généralement considérée comme compatible avec la finalité initiale.
Contrairement au RGPD, la nLPD ne parle pas explicitement de « traitement ultérieur compatible » ni de « modification substantielle », mais les mêmes principes s’appliquent par analogie, en particulier :
- Le respect du principe de transparence
- L’évaluation des risques pour la personnalité des personnes concernées
- L'absence d’obligation d'information supplémentaire en cas de mesures améliorant la sécurité (comme l’anonymisation)
Statut légal de la méthode Avatar
Les données synthétiques générées par la méthode Avatar ne sont plus considérées comme des données personnelles au sens de la nLPD.
La méthode d’anonymisation utilisée par Octopize repose sur un processus certifié, garantissant l’irréversibilité de l’identification. Elle répond ainsi aux exigences de la nLPD :
- Elle supprime le lien identifiable avec la personne concernée.
- Elle s’inscrit dans le cadre d’une mesure de sécurité, conforme aux attentes du PFPDT.
- Elle ne nécessite pas de consentement ou notification supplémentaire si elle est alignée avec les finalités initiales.
En résumé :
- L’anonymisation via la méthode Avatar est conforme à la nLPD.
- Les données ainsi transformées ne sont plus considérées comme personnelles.
- Aucun consentement ou information supplémentaire n’est requis pour la mise en œuvre de cette anonymisation.
- Les données avatarisées sont donc hors du champ d’application de la nLPD.