Preuves et sources
Indiquer la date des données pour actualiser les jugements sur les prestataires
Un jugement porté sur un prestataire n'est aussi solide que les données sur lesquelles il se fonde.
Pourquoi la date des données fait partie intégrante de l'analyse
Un jugement sur un prestataire n'est aussi solide que les données sur lesquelles il se fonde. Selon humanrights.ch, le Digital Services Act (DSA) vise à renforcer la transparence, la sécurité et la responsabilité dans l'espace numérique et se conçoit comme un cadre réglementaire uniforme pour ce domaine.
Lorsqu'on formule un jugement sur un prestataire – qu'il s'agisse du respect de ses obligations, de sa politique tarifaire ou de l'étendue de ses publications –, on décrit une situation à un moment donné. Sans cette indication temporelle, il reste incertain si l'affirmation est toujours valable aujourd'hui.
Chaque jugement doit comporter au moins deux dates : la date de collecte des bases et la date de la dernière vérification. S'y ajoute la nature des documents sur lesquels il s'appuie, tels que les conditions générales, une liste de prix, un rapport de transparence ou le nombre d'utilisateurs actifs. Si seul le résultat de l'examen est transmis sans ces précisions, il est impossible de déterminer si un changement réglementaire, une nouvelle version des conditions ou une modification de l'offre est intervenu entre-temps.
La date des données n'est pas un complément à l'évaluation, mais fait partie intégrante de l'affirmation elle-même. Une indication vérifiable – « examiné le 12 mai, base : rapport de transparence du 1er avril » – rend l'affirmation compréhensible ; sans elle, l'instantané reste sans date de péremption.
Obligations de transparence qui concernent aussi les prestataires suisses
Selon le guide de l'IAB Switzerland, le DSA ne concerne pas uniquement les prestataires établis dans l'UE, mais aussi les prestataires étrangers qui proposent leurs services dans l'UE. Les prestataires en ligne suisses doivent fondamentalement respecter les obligations du DSA sur le marché intérieur européen, indépendamment de leur siège en Suisse.
Le DSA s'applique à tous les prestataires de « services d'intermédiation » (intermediary services) qui mettent en relation, à distance, c'est-à-dire en ligne, des consommateurs dans les États membres de l'UE avec des biens, des services ou des contenus. Il prévoit des obligations différenciées et graduées pour diverses catégories de prestataires en ligne.
Le calendrier d'application exige des indications traçables concernant l'élaboration et l'actualité : les premières parties sont entrées en vigueur en novembre 2022, depuis février 2023, les plateformes en ligne et les moteurs de recherche doivent publier leurs rapports de transparence ainsi que le nombre de leurs utilisateurs actifs, et le 17 février 2024, les dispositions restantes sont entrées en vigueur. Une évaluation fondée sur un rapport de transparence ou sur le nombre d'utilisateurs actifs doit indiquer la période couverte par le rapport.
Pour la mise en œuvre, l'IAB Switzerland met gratuitement à disposition de ses membres un guide sur le DSA, rédigé par David Rosenthal et David Hausmann du cabinet VISCHER Avocats ; les non-membres peuvent le télécharger contre une contribution aux frais de CHF 49.–. Le guide traite notamment des points à observer par les prestataires en ligne suisses offrant des services dans l'UE et des obligations qui leur incombent en vertu du DSA.
Jalons importants dans le cadre du Digital Services Act (DSA) et de la réforme suisse de la protection des données
- Novembre 2022Entrée en vigueur des premières parties du DSA
- Février 2023Les plateformes en ligne et les moteurs de recherche doivent publier des rapports de transparence et le nombre d'utilisateurs actifs
- 17 février 2024Entrée en vigueur des dispositions restantes du DSA
- 1er septembre 2023Entrée en vigueur de la loi fédérale révisée sur la protection des données (nLPD)
- 9 mars 2023datenrecht.ch publie une liste de contrôle sur le droit révisé de la protection des données destinée aux PME
Documenter systématiquement la base de données
Conformément à l'art. 12 LPD, les responsables du traitement doivent déterminer eux-mêmes les données collectées en interne et les documenter de manière systématique. Le commentaire relatif à cette disposition souligne que l'accent est mis davantage sur le registre. Le registre des activités de traitement permet de prouver la date des données indiquée : seule la personne qui consigne quelles données sont traitées peut indiquer quand une information a été collectée et quel est son degré d'actualité.
La loi fédérale totalement révisée sur la protection des données est entrée en vigueur le 1er septembre 2023. Pour la mise en œuvre pratique, une liste de contrôle est à la disposition des petites et moyennes entreprises, publiée par datenrecht.ch le 9 mars 2023 concernant le droit suisse révisé de la protection des données.
Étapes pour la documentation systématique de la base de données selon l'art. 12 LPD
- Recensement des activités de traitement des donnéesLes responsables du traitement doivent déterminer eux-mêmes toutes les données collectées en interne
- Établissement d'un registreDocumentation systématique de toutes les activités de traitement servant de preuve pour la date des données
- Consignment des dates de collecte et de vérificationIndication de la date de collecte et de la date de la dernière vérification pour chaque jugement
De la mention ponctuelle à l'actualisation continue
La collaboration entre la Confédération, les cantons et les communes montre à quoi peut ressembler un rythme fixe pour la mise à jour. La convention-cadre de droit public sur l'Administration digitale Suisse est entrée en vigueur le 1er janvier 2022 et règle la collaboration lors de la transformation numérique des administrations.
L'Administration digitale Suisse (ADS) accomplit ses tâches dans le cadre d'un cycle stratégique quadriennal. Pour les activités opérationnelles, un plan de mise en œuvre glissant sert de référence, définissant les projets et les axes prioritaires, et est actualisé annuellement.
Depuis 2008, la Confédération, les cantons et les communes collaborent ; la stratégie « Administration digitale Suisse 2024–2027 » est entrée en vigueur le 1er janvier 2024.
Transposé aux jugements sur les prestataires, cela nécessite, au lieu d'une indication fixée une fois pour toutes, deux niveaux : un examen plus approfondi du cadre d'évaluation et une actualisation annuelle des indications individuelles. La date des données est indiquée comme étant celle de la dernière actualisation, et la prochaine actualisation est identifiable. Ainsi, un jugement ne devient pas obsolète silencieusement, mais est visiblement mis à jour.
Actualisation continue des jugements sur les prestataires : de la mention ponctuelle à la mise à jour continue
- Examen à long terme du cadre d'évaluationRévision annuelle des bases et des critères d'évaluation
- Actualisation annuelle des indications individuellesMise à jour des données telles que les listes de prix, le nombre d'utilisateurs ou les conditions
- Actualisation visible par la date de la dernière mise à jourLa date des données est affichée comme date actuelle ; la prochaine actualisation est identifiable
Champ d'application Suisse : obligation pour les prestataires locaux, régulation propre des plateformes encore ouverte
Une régulation suisse indépendante des plateformes en ligne est encore en suspens : humanrights.ch aborde dans un article du 12 mai 2025 la question de savoir quand les plateformes en ligne seront également régulées en Suisse. Indépendamment de cela, la loi révisée sur la protection des données s'applique au traitement des données personnelles en Suisse, obligeant notamment les responsables du traitement à documenter les données traitées.
Comparaison : champ d'application du DSA vs. loi suisse sur la protection des données
- Champ d'applicationDSA : États membres de l'UE ; prestataires suisses offrant des services dans l'UE
- Base légaleDSA : droit de l'UE ; nLPD : droit fédéral suisse
- Autorité de surveillance compétenteDSA : Commission européenne, autorités nationales ; nLPD : Préposé fédéral à la protection des données et à la transparence (PFPDT)
