Principes et éléments de base:

• Les données personnelles : toutes les informations qui se rapportent à une personne identifiée ou identifiable. Définition large qui comprend : nom, adresse IP, photo, no avs, patrimoine génétique, empreintes digitales ... (art. 3 lit. a LPD, art. 5 lit. a nLPD, art. 4 RGPD. Aux Etats-Unis, la notion est plus restrictive et ne concerne que les personnes identifiées.
• Les données sensibles : sont une catégorie de données personnelles. On entend par données sensibles les données sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales ; la santé, la sphère intime ou l'appartenance à une race ; des mesures d'aide sociale ; des poursuites ou sanctions pénales et administratives (art. 3 lit. c LPD). La nLPD rajoute les données génétiques et les données biométriques (art. 5 lit. a nLPD). Le RGPD parle de "catégories particulières de données à caractère personnel" (art. 9 RGPD). Ces données représentent un risque particulier donc le traitement sera fait avec plus de précautions.
• Les profils de personnalité : sont une catégorie particulière de données personnelles (art. 3 lit. d LPD). Il s'agit d'un assemblage de données qui permet d'apprécier les caractéristiques essentielles de la personne et que la personne n'est pas prête à révéler elle-même (ex. données accumulées sur une carte client). La nLPD remplace cette notion par le profilage (art. 5 lit. f nLPD), comme le RGPD (art. 4). En droit suisse, le profil de personnalité est assimilé aux données sensibles.
• La personne concernée : la personne physique ou morale au sujet de laquelle des données sont traitées (art. 3 lit. b LPD). Selon la nLPD et le RGPD, la personne concernée est uniquement une personne physique (art. 5 lit. b nLPD, art. 4 RGPD)
• Le traitement : toute opération relative à des données personnelles : collecte, tri, transmission, archivage, suppression...(art. 3 lit. e LPD, art. 5 lit. e nLPD, art. 4 RGPD)
• Le responsable du traitement : appelé aussi maitre du fichier (art. 3 lit. i LPD). C'est celui qui décide du but et des moyens du traitement (art. 5 lit. j nLPD, art. 4 RGPD).
• Le sous-traitant : celui qui traite des données pour le compte et selon les instruction du responsable du traitement (art. 5 lit. k nLPD, art. 4 RGPD). Il ne s'agit pas d'un tiers au nom de la loi.

• Consentement: toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Principe de finalité: Les données ne peuvent être traitées que dans le but pour lequel elles ont été récoltées.

La finalité d’un traitement doit être déterminée, légitime et explicite. Elle doit être respectée. Elle permet de déterminer la pertinence des données recueillies et de fixer leur durée de conservation. Tout détournement de finalité est passible de sanctions pénales.

Le traitement ultérieur à des fins archivistiques, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas considéré comme incompatible avec les finalités initiales.

Principe de la proportionnalité:La récolte des données doit être limitée à ce qui est nécessaire pour réaliser la finalité définie pour le traitement. Ce principe s’applique au regard de la finalité du traitement et de la nature des informations collectées.

Principe de transparence: Un traitement est transparent si le responsable du traitement fournit à la personne concernée toutes les informations préalables au traitement et s’il communique par écrit à propos de l’exercice de ses droits ou d’une violation de ses droits.

Les informations communiquées doivent être compréhensibles et formulées dans des termes clairs et simples.

Privacy by  Design: Le responsable du traitement doit mettre en place au moment de la détermination des moyens du traitement et au moment du traitement, des mesures techniques et organisationnelles qui permettent le respect du RGPD (Privacy by Design), par exemple: pseudonymisation

Privacy by Default: Le responsable du traitement doit mettre en place des mesures qui permettent de garantir par défaut que le traitement est limité à ce qui est nécessaire (Privacy by Default). Cela s’applique à la quantité de données collectées, à leur utilisation, à leur durée de conservation et à leur accessibilité.

Principe de responsabilité: Le responsable du traitement doit être capable de démontrer qu’il a mis en place des mesures techniques et organisationnelles pour assurer la conformité de tous les traitements.

Les principales obligations pour l’entreprise qui découlent de ce principe sont :

• la nomination d'un délégué à la protection des données
• l'établissement de règles internes assurant la conformité au RGPD
• l'établissement d'un registre de tous les traitements
• la réalisation d'analyses d'impact, si nécessaire
• le respect des principes de Privacy by Design et Privacy by Default
• la réalisation d'une politique de sécurité des données
• la notification en cas de violation de données personnelles

Principe de la licéité: Tout traitement de données doit être licite et pour cela il doit respecter les règles destinées à protéger la personnalité (art. 4 al.1 LPD). Un traitement est licite s’il est basé sur : la loi, le consentement, un intérêt prépondérant privé ou public.

Principe de la bonne foi: Le traitement de données doit être effectué selon le principe de la bonne foi (i.e. ne pas tromper la personne concernée sur le but et le traitement de ses données) (art. 4 al. 2 LPD)

Principe de l’exactitude:

• Le maître du fichier doit traiter des données exactes et à jour. (art. 6 al 5 nLPD)
• La personne concernée a le droit de demander une rectification des données inexactes et le maître du fichier doit apporter les mesures de correction nécessaires pour que les données soient correctes.