Informations personnelles

Protection des données

Chaque jour, les consommatrices et consommateurs livrent parfois même sans s'en rendre compte une quantité d'informations précieuses sur leurs comportements et habitudes à des acteurs tiers, souvent inconnus du grand public. Quels sont les enjeux liés à la protection des données à l'heure du tout numérique? Et quels droits et quelle protection offre la Loi sur la protection des données, la fameuse LPD?

E-commerce … Protection des données

25 mai 2025

Sommaire

Déposer ses contacts ou ses photos dans le cloud (nuage), autoriser des applications à géolocaliser son smartphone, accepter que ses données soient utilisées pour entraîner des intelligences artificielles, faire don de son sang à la recherche: vos données sont précieuses et contribuent à alimenter d’immenses banques de données. C'est tout sauf anodin, puisqu’il peut arriver que ces données soient ensuite utilisées à d’autres fins, par exemple par des annonceurs pour envoyer des publicités ciblées ou par des sociétés de renseignements économiques qui notent la santé financière des consommateurs. 

La FRC enquête régulièrement sur l'univers opaque des publicitaires et des data brokers. Chaque individu doit pouvoir exiger des entreprises une totale transparence et une honnêteté absolue concernant la collecte et l’usage de ses données personnelles, et ce à tous les niveaux de la chaîne, même en l’absence de relation directe avec les consommateurs.

Mieux comprendre

Pour rendre l’exploitation des données au quotidien concrète, la FRC s’est mise dans la peau d’un duo de consommateurs connectés lambda, Alain et Zoé. Le temps d’une journée fictive et néanmoins éminemment réaliste, ils vous font voyager dans le monde des data. Extraits en sept cases d’un scénario aux forts accents de vérité.

Loi sur la protection des données

Le droit de la protection des données vise à protéger les individus, et non les données elles-mêmes. Il établit des règles juridiques qui encadrent le traitement des données personnelles, de manière à garantir la protection de la personnalité. L'idée de base est que chacun a le droit de maîtriser les données qui le concernent.

Les données personnelles sont toutes les informations qui se rapportent à une personne et qui permettent de l'identifier directement ou indirectement : nom, prénom, adresse physique ou de courriel, date de naissance, numéro AVS, etc., mais aussi d'autres données qui peuvent révéler l'identité d'une personne lorsqu'elles sont croisées entre elles (par exemple, numéros de compte bancaires, plaques d'immatriculation, carte SIM ou adresses IP). 

La Loi sur la protection des données (LPD) révisée est entrée en vigueur en septembre 2023. La révision visait notamment à rapprocher la législation suisse des exigences du règlement européen sur la protection des données (RGPD).

Quels droits cette loi donne-t-elle aux consommateurs ?

  • le droit de savoir quelles sont leurs données personnelles qui sont traitées (lettre-type "droit d'accès")
  • le droit de recevoir copie de ces données
  • le droit de savoir dans quel but les données sont traitées
  • le droit de savoir combien de temps les données sont conservées
  • le droit de savoir si ces données sont transmises à des tiers et, le cas échéant, dans quel but et éventuellement dans quel Etat étranger
  • le droit de connaître l’identité et les coordonnées de la personne responsable du traitement de données
  • le droit de s’opposer au traitement et d'en demander la suppression (lettre-type "droit à la suppression")
  • le droit de rectifier des données erronées (lettre-type "droit à la rectification")
  • le droit de faire transférer ses données
  • etc.

Attention, ces droits ne sont pas absolus : cela signifie qu’il peut y avoir certaines exceptions, autrement dit des cas où un responsable de traitement pourra par exemple refuser de donner une partie des informations requises ou de renoncer au traitement des données. Cependant, dans ce cas, il doit justifier sa position.

La loi impose également de nombreuses obligations aux personnes et entreprises qui traitent des données. L’un des devoirs les plus importants est celui d’informer les personnes concernées par un traitement de données, de manière active et complète. Les entreprises qui traitent des données doivent par ailleurs en garantir la sécurité et éviter d’en collecter plus que ce dont elles ont besoin pour fournir leurs services. Par principe, les données ne peuvent être utilisées que dans le but pour lequel elles ont été collectées.

Les responsables de traitement de données doivent aussi mettre en place des mesures techniques et de sécurité afin de protéger les données traitées et de respecter les droits découlant de la LPD. Ils doivent se conformer à ces obligations dès la conception, c’est-à-dire dès qu’ils envisagent un traitement de données. 

2023 : révision de la loi sur la protection des données

La FRC s’est fortement engagée au niveau politique pour défendre les données des consommateurs, notamment en répondant à la consultation relative à la révision de la Loi sur la protection des données (LPD). Cette révision visait à adapter le droit suisse aux avancées technologiques, ainsi qu’à la réglementation européenne.

Ses revendications principales étaient les suivantes :

  • meilleure protection des consommateurs : les entreprises doivent requérir un consentement explicite au traitement de données, et avoir la possibilité de le retirer ;
  • possibilité pour les consommateurs de reprendre la maîtrise de leurs données, souvent collectées à leur insu ;
  • renforcement des compétences et les pouvoirs du Préposé fédéral à la protection des données, avec notamment la possibilité de rédiger des règles internes.

Si la loi révisée contient des règles reprenant une partie de ces revendications, elle reste trop faible au niveau des sanctions qui peuvent être prononcées à l’encontre des entreprises qui ne respectent pas le droit de la protection des données. Les procédures judiciaires seront probablement peu nombreuses, vu les difficultés qu’il y aura à prouver une intention délictuelle de la part des dirigeants des sociétés concernées, qu’il faudra idéalement attaquer à titre personnel pour pouvoir espérer une condamnation.

La LPD ne règle pas non plus expressément la question des fichiers de solvabilité, de sorte que le niveau de protection actuel reste insuffisant : en effet, des consommateurs se trouvent affublés d’une mauvaise note restreignant leur capacité de conclure des contrats, sans même connaître l’existence de ces fichiers, ou en ignorant si les données compilées sont correctes et comment le calcul est effectué.

Combats liés

Swisspass, Swisscom-Admeira, Postfinance, autant de cas criants d’usage abusif de données par des sociétés. Transmission à des tiers, sauvegarde pendant des années: voilà les problèmes soulevés par les modifications des conditions générales de ces sociétés.

La FRC se bat pour que ces conditions soient changées ou, qu’à tout le moins, l’on puisse sortir de cet engrenage en refusant la transmission à des tiers.

Récemment, elle a interpellé l'entreprise Meta pour dénoncer l'utilisation par celle-ci des données des utilisateurs de Facebook et Instagram qui ne s'y sont pas expressément opposés. Meta a répondu qu'elle respectait le cadre légal en vigueur. Une réponse du Préposé fédéral à la protection des données est encore attendue. 

Comment se protéger?

  • Ne remplissez que les champs obligatoires lorsque vous remplissez un formulaire en ligne ou papier.
  • Désactivez la géolocalisation ou les suivis publicitaires et cookies, à moins que vous n’en ayez absolument besoin.
  • Si vous êtes sur un réseau social, réglez les paramètres de confidentialité. Il est préférable de s’inscrire en mode privé afin que seuls vos amis puissent vous suivre.
  • N’acceptez comme amis que des personnes que vous connaissez vraiment. Evitez de mettre des photos de vos enfants.
  • N’utilisez que des logiciels ou des applications qui vous paraissent dignes de confiance. Si vous avez un doute, faites une recherche sur internet pour connaître la réputation du programme.
  • Choisissez un mot de passe sûr composé de lettres (majuscules ou minuscules), chiffres et caractères spéciaux. Et prudence accrue pour votre e-banking.
  • Faire valoir vos droits d'accès, de rectification et de suppression de vos données.

  • Effacez toutes les données de vos objets électroniques avant de les jeter, les donner, les revendre. Soyez aussi conscient que certaines peuvent subsister même après effacement.

    Vos données sont un bien précieux, protégez-les et évitez de les semer sur internet. Pour aller plus loin, jouez à Datak, le jeu en ligne de la rts qui vous apprend à mieux gérer vos données.

    Quant à l’utilisation de ses propres données, comme des photos, il faut faire attention à ne pas violer d’autres règles légales, par exemple le respect d’un lieu privé. Ainsi, il n’est souvent pas autorisé de faire des clichés dans des commerces et de les partager sur des réseaux sociaux.

Lexique

PERSONNE CONCERNEE | C'est la personne physique dont les données personnelles sont traitées. 

TRAITEMENT DE DONNEES | Il s'agit de toute opération impliquant l'usage des données personnelles : collecte, tri, transmission, archivage, suppression...

RESPONSABLE DU TRAITEMENT (ou maitre du fichier) | C'est la personne (individu ou entreprise) qui traite les données, et donc qui décide du but et des moyens du traitement.

DONNÉE PERSONNELLE SENSIBLE | C'est une catégorie spéciale de données personnelles, qui portent sur l'origine raciale, les opinions politiques, la confession religieuse, les données génétiques, les données de santé ou encore l'orientation sexuelle, et qui bénéficient à ce titre de protections supplémentaires. 

CLOUD | Le «nuage» (en français) est un service de stockage à distance qui permet de sauvegarder les données personnelles sur un serveur externe: Dropbox, iCloud, Google Drive, etc. Grâce à ces services, l’internaute y a accès partout et non plus uniquement depuis son ordinateur personnel. Toutes ces données sont conservées dans des data centers répartis aux quatre coins du monde.

COOKIES | Ce sont de petits fichiers texte que le site web visité stocke sur l’ordinateur de l’internaute lors de la première visite. Ils permettent aux sites de conserver des données afin de faciliter la navigation, certes, mais aussi de cibler le comportement, de connaître la fréquentation. L’usage des cookies par les sites est d’ailleurs critiqué du fait des informations personnelles potentiellement exploitables.

BIG DATA | Souvent traduit par «données massives» ou mégadonnées, le Big Data correspond à cet énorme volume de données numériques (textes, photos, vidéos, capteurs, signaux GPS, enregistrements transactionnels) qui sont produites chaque jour et qui circulent sur le web. La définition même du Big Data répond à trois caractéristiques principales: volume, vélocité et variété.

HACKER | C’est un pirate informatique, un fouineur, un bidouilleur qui contourne et détourne des logiciels, des réseaux et des systèmes informatiques pour les adapter à ses propres besoins ou ceux des autres; détecter des failles de sécurité pour la renforcer, offrir l’accès à un produit à un plus grand nombre… ou récupérer des données sensibles pour les revendre.

Tous les contenus sur le sujet

Vie privée

Mieux protéger ses données

C'est l'un des combats du XXIème siècle. Nul doute qu'un cadre légal moderne sera mis au point tôt ou tard, la question est de savoir comment se protéger correctement d'ici là.

Archive · 31 mai 2019 Protection des données

Identité numérique

Quel rôle pour une entreprise?

Le Conseil national devra dire s’il est d’accord de laisser toute latitude à des sociétés telles que UBS, Swisscom, CFF et Cie pour fournir une identité électronique aux citoyens.

Archive · 13 mars 2019 Protection des données

Révision de la LPD

Protection des données: des amendes risibles

La Commission nationale française de l'informatique et des libertés (CNIL) a infligé le 21 janvier dernier une amende de 50 millions à Google, en raison du manque de transparence et d’information lors de la collecte des données et estimant que le consentement des utilisateurs n’était pas valablement recueilli.

Archive · 28 janvier 2019 Protection des données

Protection des données

L’intelligence artificielle à l’assaut des politiques de confidentialité

Une étude de l'European University de Florence, en partenariat avec le BEUC, démontre que les politiques de confidentialité de 14 grandes entreprises ne sont pas conformes au RGPD. C'est par le biais d'un outil utilisant l'intelligence artificielle, créé par les chercheurs florentins, qu'ont été analysées les conditions générales relatives à la protection des données.

Archive · 06 juillet 2018 Protection des données