La nouvelle loi fédérale sur la protection des données (nLPD, connue en allemand sous le nom de revDSG ou nDSG, et en anglais sous le nom de revFADP) est entrée en vigueur le 1er septembre 2023. Pour les professionnels du droit, elle introduit des obligations qui vont au-delà des exigences précédentes – et utiliser des outils numériques dans votre pratique sans les comprendre n'est plus acceptable.
Cet article se concentre spécifiquement sur ce que les avocats suisses doivent savoir lorsqu'ils utilisent des logiciels basés sur l'IA, le stockage dans le cloud, les plateformes de gestion de documents et les outils de communication.
Ce qui a changé par rapport à l'ancienne LPD
L'ancien cadre suisse de protection des données remontait à 1992. La nLPD met la Suisse globalement en conformité avec les principes du RGPD tout en préservant la spécificité suisse. Les principaux changements pertinents pour les professionnels du droit comprennent :
- Analyses d’impact sur la protection des données (AIPD) obligatoires pour les traitements à haut risque
- Obligations explicites autour de la prise de décision automatisée
- Des règles plus strictes pour les transferts transfrontaliers de données hors de Suisse
- Déclaration obligatoire des violations au PFPDT dans les meilleurs délais lorsque la violation présente un risque élevé
- Nouveaux droits pour les personnes concernées : droit à la portabilité des données, droit à l'explication des décisions automatisées
Comment cela s’applique spécifiquement aux avocats
Les avocats ne sont pas dispensés du nLPD en vertu du secret professionnel. Les deux obligations coexistent : vous devez protéger les secrets de vos clients dans le cadre des règles du secret professionnel et respecter la loi sur la protection des données lors du traitement des données personnelles.
Le carrefour clé se situe dans les logiciels de gestion de cabinet. Lorsque vous stockez des dossiers clients, de la correspondance, des documents judiciaires ou des notes de cas dans un système numérique, vous traitez des données personnelles. Si ce système est fourni par un tiers (un fournisseur SaaS, un fournisseur de stockage cloud, un service de dictée), vous faites appel à un sous-traitant.
Contrats de sous-traitance des données : ce dont vous avez besoin
En vertu de la nLPD, lorsqu'un avocat (en tant que responsable du traitement) engage un fournisseur de logiciels (en tant que sous-traitant), un contrat de sous-traitance des données est requis. Cet accord doit préciser : la nature et la finalité du traitement, les catégories de données concernées, les mesures de sécurité techniques et organisationnelles en place, les modalités du sous-traitant ultérieur et les obligations de suppression.
Si votre fournisseur SaaS ne peut pas fournir un contrat conforme – ou s'il stocke des données en dehors de la Suisse sans garanties adéquates – vous faites face à une éventuelle responsabilité au titre de la nLPD.
Transferts transfrontaliers et hébergement suisse
L'un des problèmes les plus importants pour les avocats suisses est le transfert de données en dehors de la Suisse. Le nLPD exige une protection adéquate avant que les données personnelles puissent être transférées à l’étranger. Le PFPDT tient à jour une liste de pays jugés adéquats.
En pratique, cela signifie que les outils d’IA juridiques traitant les données des clients suisses sur des serveurs aux États-Unis ou dans l’UE nécessitent soit une constatation d’adéquation, soit des clauses contractuelles types, soit des règles d’entreprise contraignantes. De nombreux fournisseurs SaaS internationaux n’ont pas répondu de manière adéquate aux exigences spécifiques à la Suisse : il ne suffit pas de se fier uniquement à la conformité au RGPD.
Pour cette raison, les solutions hébergées en Suisse – où les données sont traitées et stockées sur le territoire suisse – représentent la voie de conformité la plus propre pour les cabinets d'avocats.
Liste de contrôle pratique pour la conformité des technologies juridiques
Avant de déployer un outil numérique dans votre cabinet, parcourez les étapes suivantes :
- Le fournisseur a-t-il fourni un contrat de sous-traitance conforme à la nLPD ?
- Où les données sont-elles traitées et stockées : en Suisse, dans l’UE ou ailleurs ?
- Une AIPD a-t-elle été réalisée pour un traitement à haut risque (par exemple, analyse de documents assistée par l'IA) ?
- Les sous-traitants ultérieurs sont-ils divulgués et couverts par des accords appropriés ?
- Quel est le processus de notification de violation et le SLA du fournisseur ?
- Les données clients peuvent-elles être supprimées ou exportées sur demande ?