1. Le catalogue des droits de la personne concernée

La nLPD renforce considérablement les prérogatives des administrés et des clients :

• Droit d’accès (Art. 25 nLPD) : Toute personne peut exiger gratuitement du responsable de savoir si des données la concernant sont traitées, d’en recevoir une copie, ainsi que des informations sur la durée de conservation et l’origine des données. Réponse obligatoire sous 30 jours.
• Droit à la remise ou à la transmission des données (Portabilité – Art. 28 nLPD) : Droit d’obtenir ses données sous un format électronique couramment utilisé et lisible par machine (JSON, CSV).
• Droit de rectification et d’effacement (« Droit à l’oubli ») : Faculté d’exiger la correction de données erronées ou la suppression de données obsolètes ou traitées sans fondement licite.

2. Gestion des violations de la sécurité des données (Data Breaches – Art. 24 nLPD)

En cas de violation de la sécurité entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (ex. vol de base de données, rançongiciel, fuite d’identifiants), la nLPD impose des obligations immédiates :

1. Notification au PFPDT dans les plus brefs délais : Informer l’autorité fédérale de la nature de l’incident, de ses conséquences probables et des mesures de remédiation adoptées.
2. Information de la personne concernée : Dès lors que la protection de celle-ci l’exige ou que le PFPDT l’ordonne, l’organisation doit notifier individuellement les personnes lésées pour qu’elles puissent se prémunir contre des fraudes (usurpation d’identité).

Procédure d’urgence Éducasuisse : Tout incident de sécurité doit déclencher une cellule de crise sous 2 heures réunissant le RSSI, le DPO et la direction juridique pour qualifier le niveau de risque et préparer la notification officielle.