Ca y est, le 25 mai est passé, enfin, pourrait-on dire.
Etonnant comme les jours qui ont précédé pratiquement tous les courriels et site Internet le mentionnait, et sollicitait notre accord pour l’envoi d’information ou l’utilisation de cookies.
Et maintenant ? maintenant il est temps en Suisse de prendre la mesure – et la bonne – de ce qu’il implique pour nos entreprises, dont toutes ne sont pas impactées, mais qui toutes sont tenues aux règles applicables au traitement des données. Rappelons que le Loi fédérale sur la protection des données date … de 1993. Elle est en cours de révision, pour coller au mieux à nos obligations internationales.
Isabelle Dubois, AD HOC RESOLUTION et ses partenaires ne sont pas restés inactifs, et fêtent l’entrée en vigueur du RGPD et le rappel de l’existence de règles même en Suisse qu’il a suscité par de nouvelles prestations: l’évaluation d’impact en ligne https://adhocresolution.ch/evaluation-impact-ligne/ et le bulletin d’information mensuel en ligne Cap sur la conformité https://capconformite.ch/

On peine à comprendre ce qui motive le parlement à scinder en deux l’examen de modification de la loi fédérale sur la protection des données.

C’est la complexité du projet, qui fait dire à la Commission qu’il y a lieu d’examiner d’abord les règles étroitement liées au droit européen – essentiellement le droit pénal via les accords de Schengen -et ensuite la révision complète qui ne serait soumise à aucun délai.

https://www.parlament.ch/press-releases/Pages/mm-spk-n-2018-01-12.aspx?lang=1036&langCheck=1

Le préposé fédéral s’en inquiète car la Suisse a besoin d’une législation sur la protection des données assurant la sauvegarde des droits fondamentaux des citoyennes et citoyens, qui soit équivalente au niveau de protection des données garanti par le droit européen, et qui tienne compte des défis posés par la numérisation. la révision doit donc être rondement menée.

https://www.edoeb.admin.ch/edoeb/fr/home/actualites/aktuell_news.html

Quelles sera le nouveau visage de la loi fédérale sur la protection des données ?

Prenez connaissance ici des dernières nouveautés concernant la modification en cours de discussion de la LPD, qui fait peau neuve et se met en adéquation avec la nouvelle règlementation européenne en la matière:

Message et projet de loi:

https://www.ejpd.admin.ch/ejpd/fr/home/aktuell/news/2017/2017-09-150.html

https://www.ejpd.admin.ch/ejpd/de/home/aktuell/news/2017/2017-09-150.html

Appréciation du préposé fédéral: https://www.edoeb.admin.ch/aktuell/index.html?lang=fr

https://www.edoeb.admin.ch/aktuell/index.html?lang=de

Depuis que le Règlement européen en matière de protection des données personnelles a été adopté, on parle davantage du droit à l’oubli, un peu comme si cela était nouveau.

Mais si l’on considère que le droit à l’oubli est le droit d’une personne concernée de voir ses données personnelles supprimées, sur demande ou automatiquement dans certains cas, lorsque leur conservation n’est plus nécessaire ou pertinente, alors ce droit existe déjà, y compris dans la législation suisse, car c’est la mise en oeuvre du principe de proportionnalité, concrétisée par l’art. 15 de la loi fédérale sur la protection des données qui mentionne les prétentions que faire valoir la personne concernée auprès du Responsable de traitement..

En revanche, ce droit expressément mentionné comme tel dans la législation européenne, a eu pour effet de motiver certaines entreprises à vérifier qu’elle pouvait y faire droit sans peine si elles en sont requises, et d’autres à mettre en place une procédure de suppression des données.

C’est le cas de Google, qui a, bon gré mal gré, amélioré la procédure pour ce faire, après que la Justice ait confirmé que les moteurs de recherches sont responsables de supprimer sur demande les liens menant à des informations dont la personne concernée a déjà obtenu la suppression, ou l’anonymisation, de contenu.

Mais cela ne signifie pas qu’il est aisé d’obtenir la suppression de liens.

Vous trouverez ci-joint un document présentant les démarches pour faire supprimer un lien par Google quelques conseils: Demarches_droit à l’oubli_suppression_Google_V

Pour faire supprimer les données personnelles elles-mêmes, il convient de s’adresser au Responsable de traitement, qui pourra vous demander de vous identifier puisqu’il doit s’assurer qu’il supprime, cas échéant, les données de la bonne personne.

Ci-après vous trouverez le formulaire proposé à cette fin par le Préposé fédéral: https://www.edoeb.admin.ch/datenschutz/00628/00638/00640/index.html?lang=fr

Vous trouverez également ici la page du Préposé fédéral consacré au droit à l’oubli: https://www.edoeb.admin.ch/datenschutz/00683/01173/index.html?lang=fr

Les spécialistes en sécurité de l’information et en protection des données n’ont de cesse de la répéter: si l’on a un compte Gmail, alors au moins ne jamais ouvrir la messagerie en même temps que l’on surfe sur le net. Cette messagerie était aussi décriée en raison de l’intrusion de Google dans les boite de messagerie. Mais non, disent les naïfs et ceux qui n’ont rien à cacher, « vous êtes paranoïaques ».

Comme l’indique un entrefilet du journal 20minutes du 27 juillet, Google annonce renoncer à lire le contenu des boîtes de messageries de ses abonnés aux fins de publicité ciblée, ce pour quoi il faisait l’objet de procédures judiciaires. Comme quoi …

La publicité ciblée continuera mais sur la base d ‘autres données, comme les recherches Internet. Nous voilà rassurés.

C’est par ce titre que la revue ICT de mai 2017 introduit son article sur le nouveau Règlement européen (GDPR selon son acronyme anglais, RGPD pour les francophones), qui entrera en application au mois de mai 2018, et l’avant-projet de modification de al loi fédérale sur la protection des données (LPD), actuellement en cours de révision.

On entend beaucoup de choses depuis quelques semaines à ces sujets: c’est comme si les règles de protection des données personnelles, applicables au traitement de celles-ci depuis 1993 pour la Suisse (!), étaient une nouveauté contraignant les entreprises suisses à se réinventer, sans délai pour le faire, et comme si le RGPD avait vocation à s’appliquer pleinement en Suisse, pourtant pays tiers de l’Union, avec son armada de mesures, ses sanctions spectaculaires et ses autorités de contrôle avides de coups de tonnerre dans un ciel bleu.

Il n’en est rien, et s’il est vrai que des nouveautés se présentent, tant sur le plan européen que suisse, il faut raison garder. Pas ne rien faie, non, mais évaluer la situation par un état des lieux puis planifier les mesures à prendre en les priorisant. Faire, en quelque sorte, ce qui aurait dû être fait avec le temps depuis l’entrée en vigueur de notre loi il y a 24 ans.

L’article de ICT est bien construit, clair et objectif, vous le trouverez ici  pour plus d’information:  ICT_Journal_mai_2017_PD_1 ICT_Journal_mai_2017_suite 

Par ailleurs, vous pouvez prendre connaissance des prestations et prestations en ligne qu’offre AD HOC RESOLUTION pour vous accompagner vers la conformité: voir prestations

Le Préposé fédéral (PFPDT) a terminé l’établissement des faits concernant le système d’exploitation Microsoft Windows 10. Les recommandations du PFPDT portant sur l’amélioration de la transparence dans le traitement des données ainsi que sur les choix d’installation s’y rapportant ont été acceptées par Microsoft.

La procédure menée par le PFPDT a permis de confirmer ce que d’aucun n’avait pas manqué de constaté: le traitement des données dans le cadre du système d’exploitation Windows 10 n’était pas entièrement conforme au principe de la protection des données. La structure et le contenu des pages «démarrer rapidement» et «paramètres de personnalisation» n’étaient pas suffisamment transparentes. En particulier, des informations quant à la durée de conservation des données transmises ainsi qu’au contenu des données de navigation, diagnostic et rapports d’erreur manquaient, et il était difficile pour l’utilisateur d’obtenir davantage d’informations sur les traitements spécifiques des données, par exemple en consultant des passages précis de la déclaration de confidentialité.

Grâce aux nouvelles pages de configuration qui s’afficheront lors du processus d’installation, les utilisateurs devront définir dans quelle mesure les données seront traitées et transmises, et ensuite l’autoriser.

A noter que la mise en œuvre technique des adaptations requises par le Préposé prévaudra à l’échelle mondiale pour les deux nouvelles mises à jour du logiciel Windows 10, toutes deux prévues en 2017. Dans la première version, lors de la réinstallation du logiciel respectivement de la mise à jour du système d’exploitation, les options de configuration concernant la transmission de données seront, au moyen d’informations détaillées, indiquées à tous les utilisateurs. Dans la deuxième mise à jour, ces derniers pourront, lors de l’installation, accéder directement aux passages correspondants dans la déclaration de confidentialité la plus actuelle..

Vous trouverez ici l’annonce officielle du PFPDT: https://www.edoeb.admin.ch/aktuell/01437/index.html?lang=fr

Le cadre de sécurité remplaçant le Safe harbor, auquel les sociétés et entreprises peuvent adhérer pour garantir sur territoire américain un traitement conforme des données personnelles, a pris la forme d’une décision de la commission européenne et d’annexes consistant en engagements des autorités américaines, et a été publiée au Journal officiel de l’union européenne le 12 juillet dernier, consultable ici.

Le bouclier de protection des données UE-États-Unis reposeainsi sur un système d’autocertification, selon lequel les organisations américaines s’engagent à respecter les principes de protection de la vie privée imposés par la législation européenne, qui sont publiés par le ministère américain du commerce et qui figurent à l’annexe II de la décision. Le bouclier s’applique tant aux responsables du traitement qu’à leurs sous-traitants,  ceux-ci devant être contractuellement tenus d’agir uniquement sur instruction du responsable européen du traitement et de l’aider à répondre aux demandes de droit d’accès des personnes concernées.  La décision a pour effet d’autoriser les transferts d’un responsable du traitement ou d’un sous-traitant de l’Union vers des organisations américaines qui ont autocertifié leur adhésion aux principes auprès du ministère du commerce et qui se sont engagées à les respecter (voir § 14 et 15 de la décision).