Mise en œuvre des nouvelles lois sur la protection des données dans les communes

Depuis le 1er janvier 2024, les nouvelles lois sur la protection des données sont entrées en vigueur dans plusieurs cantons suisses. La LIPDA (Loi sur l’Information, la Protection des Données et l’Archivage), telle que communiquée par le canton du Valais, a été l’une des premières à être mise en place, marquant une étape importante dans l’adaptation des pratiques administratives à ces nouvelles exigences de protection des données.

Le canton de Fribourg, quant à lui, a adopté une réglementation similaire le 12 octobre 2023 (LPrD), également entrée en vigueur le 1er janvier 2024.

Le canton de Vaud, en revanche, ne s’est pas encore exprimé officiellement sur ce sujet.

Quelques différences existent entre les réglementations des cantons du Valais et de Fribourg, que nous allons expliciter plus bas. Le préposé cantonal du Valais a établi un plan d’action pour aider les entités publiques à se conformer à cette nouvelle législation, structuré en trois étapes prioritaires.

Différences entre la réglementation Fribourgeoise et Valaisanne

Bien que les principes généraux et l’ordre des priorités soient similaires entre la réglementation Fribourgeoise et celle du Valais, quelques différences notables méritent d’être soulignées.

• Vidéosurveillance : Contrairement à la LIPDA valaisanne, qui impose une vérification de la conformité de la vidéosurveillance selon les nouvelles obligations, la réglementation fribourgeoise ne comporte pas de directive spécifique à ce sujet. Les entités concernées doivent se référer à la loi dédiée à la vidéosurveillance en vigueur dans le canton de Fribourg pour assurer la conformité, à savoir la loi du 7 décembre 2010 sur la vidéosurveillance (LVid ; RSF 17.3) et son ordonnance du 23 août 2011 (OVid ; RSF 17.31).
• Nomination d’un Délégué à la protection des données (DPO) : La LIPDA du Valais prévoit la nomination d’un DPO avant le 1er janvier 2026. Cependant, la réglementation fribourgeoise propose une approche légèrement différente : chaque direction de l’administration est tenue de nommer un référent pour la protection des données, sans que cela implique nécessairement la désignation d’un DPO à proprement parler.
  A ce jour, le préposé cantonal fribourgeois ne semble pas avoir communiqué de calendrier précis concernant les délais pour nommer ces référents, ce qui laisse une certaine flexibilité aux administrations.

Étape 1 : Actions immédiates à entreprendre

Les premières actions à mener concernent la mise en place des fondations essentielles pour assurer la conformité à la LIPDA. Il est recommandé de :

1. Désigner une personne responsable de la protection des données au sein de l’entité.
2. Former et sensibiliser le personnel à la nouvelle législation et aux bonnes pratiques de gestion des données.
3. Cartographier les données personnelles détenues pour mieux comprendre leur usage et leur sensibilité.
4. Documenter les traitements des données en créant un registre des activités de traitement.
5. Identifier et documenter les bases légales qui justifient les traitements, en recueillant le consentement lorsque nécessaire.
6. Mettre en place des mesures de sécurité adéquates pour protéger les données traitées.
7. Vérifier la conformité des contrats avec les sous-traitants pour s’assurer qu’ils respectent également les exigences de la LIPDA.
8. Rédiger ou mettre à jour la déclaration sur la protection des données afin d’informer les citoyens de leurs droits et des mesures prises pour protéger leurs informations.
9. S’assurer de la conformité de la vidéosurveillance aux nouvelles obligations de la loi.

Étape 2 : Mesures à entreprendre dans un second temps

Une fois ces bases établies, d’autres actions doivent être envisagées pour renforcer la conformité et la transparence des pratiques de gestion des données :

1. Analyser l’impact des traitements identifiés à risque pour anticiper les potentiels problèmes et prendre des mesures préventives.
2. Élaborer des directives et documentations internes pour guider les collaborateurs dans l’application de la LIPDA.
3. Nommer un Délégué à la protection des données (DPO), qui devra être désigné avant le 1er janvier 2026.
4. Mettre en place une politique d’utilisation des cookies sur les sites Internet pour informer les utilisateurs et recueillir leur consentement.
5. Permettre aux personnes concernées d’exercer leurs droits (accès, rectification, suppression des données, etc.) et répondre à leurs demandes dans un délai de 30 jours.
6. Documenter avec précision les transferts de données vers des tiers pour assurer la traçabilité et la légalité de ces opérations.
7. Déterminer et justifier les transferts de données à l’étranger, en s’assurant qu’ils respectent les cadres juridiques en vigueur.

Étape 3 : Finalisation des actions

Enfin, pour parfaire la mise en conformité, il est crucial de mettre en place une procédure de gestion des incidents de sécurité, afin de réagir rapidement et efficacement en cas de violation de données. On s’efforcera donc d’établir une procédure d’audit et de l’exercer régulièrement pour s’assurer que toutes les mesures sont appliquées et restent efficaces.

Conclusion

La charge de travail imposée par la LIPDA peut sembler considérable, mais en suivant méthodiquement ces étapes, les autorités publiques pourront se conformer aux exigences légales tout en assurant une gestion responsable des données personnelles. La formation, l’organisation, et l’accompagnement par des spécialistes sont des éléments clés pour réussir cette transition. N’hésitez pas à faire appel à des experts pour vous guider et vous conseiller tout au long de ce processus.

–

Cet article a été rédigé en collaboration avec la société Rumya, partenaire de Groupe T2i, éditeur de logiciels traitant des problématiques liées à la protection des données (RGPD / LPD) et à la mise en conformité pour les PME et les communes.