Fuite de données : le runbook des 72 heures — un délai qui n'existe pas en Suisse
Les 72 heures viennent du RGPD : l'art. 24 al. 1 LPD impose d'annoncer « dans les meilleurs délais » au PFPDT, et seulement au-dessus du risque élevé. Plus surprenant encore, l'omission d'annoncer ne figure dans aucune des dispositions pénales des art. 60 à 63 LPD.
Read More
Moins de 250 employés ? La dispense de registre ne vous couvre probablement pas
L'exemption de registre de l'art. 12 al. 5 LPD pose deux conditions cumulatives, pas une : moins de 250 collaborateurs et risque limité. Un SaaS RH, un outil de scoring ou un produit publicitaire de dix personnes n'est pas dispensé.
Read More
Le contrat de sous-traitance de données : ce que l'art. 9 LPD exige vraiment
Le droit suisse n'impose pas la liste de mentions de l'art. 28 RGPD, mais l'art. 9 al. 1 LPD n'autorise la sous-traitance que « pour autant qu'un contrat ou la loi le prévoie » : le contrat est bien obligatoire, c'est son contenu qui est libre. Et votre sous-traitant doit vous annoncer tout incident, sans aucun seuil de gravité.
Read More
Surveiller son équipe : ce que vos logs, votre MDM et vos outils ont le droit de voir
Le matériel appartient à l'entreprise, mais cela ne donne aucun droit de regard supplémentaire : l'art. 26 OLT 3 interdit la surveillance du comportement quel que soit le propriétaire de la machine. Et une surveillance non annoncée expose au double risque d'une preuve inexploitable et d'une amende pouvant atteindre 250 000 francs.
Read More
Le dossier du personnel : ce que vous gardez, ce que votre employé peut exiger de voir
Aucune clause de contrat ou de convention de départ n'écarte le droit d'accès : « Nul ne peut renoncer par avance au droit d'accès » (art. 25 al. 5 LPD), et la réponse est gratuite, dans les 30 jours. En sens inverse, l'art. 328b CO interdit de garder au dossier ce qui ne porte ni sur les aptitudes du travailleur ni sur l'exécution du contrat — même avec son consentement.
Read More