Le Canton met à jour son cadre réglementaire. La nouvelle LPDP renforce un modèle fondé sur la responsabilité des organismes publics, la prévention des risques et la protection des données dès la conception des traitements.
Pendant plus de trente ans, la protection des données des organismes publics tessinois a été régie par une loi adoptée en 1987, dans un contexte technologique profondément différent de celui d’aujourd’hui. Le paysage actuel a radicalement changé : bases de données interconnectées, services numériques, systèmes automatisés, intelligence artificielle et nouveaux outils technologiques ont transformé la manière dont les administrations collectent, utilisent et partagent les informations personnelles.
Avec l’adoption de la révision totale de la Loi cantonale sur la protection des données personnelles (LPDP), le Tessin modernise son cadre réglementaire afin de l’adapter aux évolutions intervenues ces dernières années tant au niveau fédéral qu’international. La révision a été approuvée par le Grand Conseil le 15 septembre 2026.
De la protection formelle à une responsabilité active
La nouvelle loi marque une évolution dans l’approche de la protection des données. Le cadre réglementaire ne se limite plus à définir des obligations formelles, mais exige des organismes publics une capacité organisationnelle accrue dans la gestion des traitements, notamment par l’évaluation des risques, l’adoption de mesures appropriées et la capacité à démontrer la conformité aux exigences légales.
Le principe de responsabilité (accountability), déjà consacré par la Loi fédérale sur la protection des données (LPD) et par le Règlement général européen sur la protection des données (RGPD), est ainsi renforcé. Selon ce principe, le responsable du traitement doit être en mesure de démontrer l’adéquation des mesures mises en œuvre.
Cette approche reflète l’évolution de la réglementation suisse et européenne en matière de protection des données au cours des dernières années et correspond à l’un des objectifs principaux de la réforme identifiés par le Conseil d’État.
Privacy by design et by default: la protection des données intégrée dès la conception
La nouvelle réglementation introduit et renforce une approche préventive dans la gestion de la protection des données, avec une attention particulière portée aux traitements susceptibles d’engendrer des risques élevés pour les droits fondamentaux des personnes concernées.
Parmi les instruments centraux figure l’analyse d’impact relative à la protection des données (AIPD), qui permet aux organismes publics d’identifier en amont les éventuelles problématiques, d’évaluer les risques et de définir les mesures techniques et organisationnelles appropriées avant la mise en œuvre de certains traitements.
L’objectif est d’éviter que les problématiques liées à la protection des données soient traitées uniquement après la survenance d’un incident, en favorisant au contraire un modèle fondé sur la prévention et la gestion anticipée des risques.
Parallèlement, la nouvelle LPDP encadre davantage la gestion des violations de données personnelles (data breaches), en introduisant une obligation de notification à l’autorité compétente lorsque la violation est susceptible d’engendrer un risque important pour les personnes concernées, conformément aux principes établis par la Loi fédérale sur la protection des données.
Lorsque des informations personnelles sont compromises, l’événement devra ainsi être analysé, évalué et géré selon des procédures structurées.
Dans un contexte où les organismes publics constituent également des cibles potentielles de cyberattaques, la capacité à prévenir, détecter et traiter rapidement les incidents devient une composante essentielle de la protection des données.
Une autorité de contrôle dont le rôle est renforcé
La réforme renforce également le rôle du Préposé cantonal à la protection des données (PCPD), en accordant une importance accrue aux fonctions de surveillance et de contrôle.
L’autorité de protection des données pourra jouer un rôle encore plus important afin de garantir que les organismes soumis à la loi mettent en œuvre des mesures appropriées au regard de la complexité des traitements effectués et des risques associés.
Quels changements pour les communes et les organismes publics?
La nouvelle LPDP concerne directement :
- le Canton;
- les communes;
- les organismes et institutions de droit public;
- les entités privées auxquelles des tâches publiques sont confiées.
Pour ces organisations, le défi ne sera pas uniquement juridique, mais également organisationnel. L’adoption de la loi constitue en effet la première étape d’un processus d’adaptation qui nécessitera :
- la mise à jour des règlements et procédures internes ;
- la définition claire des rôles et responsabilités dans la gestion des données ;
- la vérification des relations avec les fournisseurs et partenaires technologiques;
- la formation du personnel impliqué dans les traitements.
La protection des données dans le secteur public entre dans une nouvelle phase
La nouvelle LPDP tessinoise intervient à un moment où la quantité de données produites et traitées par les institutions publiques augmente rapidement.
Dossiers numériques, services administratifs en ligne, systèmes automatisés et nouvelles technologies rendent une question toujours plus centrale: Comment utiliser les données afin d’améliorer les services publics sans porter atteinte aux droits des personnes?
La réponse apportée par la nouvelle loi repose sur plusieurs principes clés: davantage de transparence, davantage de responsabilité et davantage de prévention.
Car la protection des données ne concerne pas uniquement la sécurité des informations, mais également la relation de confiance entre les citoyens et les institutions.
Sources
- République et Canton du Tessin – Révision totale de la Loi cantonale sur la protection des données personnelles (LPDP).
- Message gouvernemental n° 8281 du 17 mai 2023 – Révision totale de la loi cantonale sur la protection des données personnelles.
- Conseil d’État du Canton du Tessin – Communication relative à la révision totale de la LPDP et aux objectifs de la réforme.
