nLPD suisse : la sécurité de vos applications métier

La nouvelle loi suisse sur la protection des données est en vigueur depuis le 1er septembre 2023.

• Protection des données dès la conception (privacy by design).
• Protection des données par défaut (privacy by default) : le niveau de protection le plus élevé est actif sans action de l’utilisateur.
• Analyse d’impact obligatoire en cas de risque élevé pour la personnalité ou les droits fondamentaux.
• Devoir d’information étendu à toutes les données personnelles.
• Registre des activités de traitement, avec exemption pour les PME dont le traitement présente un risque limité.
• Violation de la sécurité des données présentant un risque élevé : annonce au PFPDT dans les meilleurs délais (art. 24), sans délai chiffré dans la loi.

• Accès entre comptes : vérifier si un utilisateur peut consulter les données d’un autre compte.
• Données exposées : rechercher ce que l’application laisse accessible sans l’accès prévu.
• Réglages par défaut : vérifier la protection des données dès la première utilisation.
• Journalisation : vérifier les traces disponibles pour détecter et annoncer une violation.

Périmètre de l’audit : sécurité technique des accès, des données, des réglages et de la journalisation.