1. La protection des données dès la conception et par défaut (Art. 7 nLPD)

La nLPD consacre deux obligations d’ingénierie logicielle incontournables :

• Privacy by Design (Protection des données dès la conception) : Les développeurs et architectes doivent intégrer des garanties techniques (chiffrement, pseudonymisation, segmentation des accès) dès l’étape initiale de modélisation du logiciel.
• Privacy by Default (Protection des données par défaut) : Par défaut, le système doit être configuré pour ne collecter que le strict minimum de données requises, sans solliciter d’intervention manuelle de l’utilisateur pour désactiver des options intrusives.

2. Le Registre des activités de traitement (Art. 12 nLPD)

Les entreprises suisses de plus de 250 collaborateurs — ou celles dont les traitements présentent un risque élevé d’atteinte à la personnalité (traitement de données sensibles ou profilage à risque élevé) — doivent obligatoirement tenir un registre documentant :

1. L’identité du responsable du traitement.
2. Les finalités du traitement.
3. Les catégories de personnes concernées et les catégories de données traitées.
4. Les catégories de destinataires et les pays de destination en cas de transfert transfrontalier.
5. Le délai de conservation des données et la description générale des mesures techniques et organisationnelles (MTO).

3. L’Analyse d’Impact relative à la Protection des Données – AIPD (Art. 22 nLPD)

Lorsqu’un traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (notamment en cas d’utilisation de nouvelles technologies d’intelligence artificielle ou de profilage automatisé), le responsable du traitement doit réaliser préalablement une AIPD comportant :

• Une description détaillée du traitement envisagé.
• Une évaluation des risques d’atteinte pour les personnes.
• Les mesures prévues pour éliminer ou mitiger ces risques à un niveau acceptable.