Selon le code des obligations (Article 716), le conseil d’administration peut prendre des décisions sur toutes les affaires qui ne sont pas attribuées à l’assemblée générale par la loi ou les statuts. Il gère les affaires de la société dans la mesure où il n’en a pas délégué la gestion.
De plus, avec la nouvelle Loi sur la protection des données (LPD), qui entre en vigueur en septembre 2023, des précisions sont apportées sur les responsabilités de chaque partie. Si le conseil d’administration et ses membres ne sont pas explicitement mentionnés, la loi précise que la personne ou l’organe qui détermine les finalités et moyens du traitement des données est intimement responsable. Le conseil d’administration entre dans cette logique et peut donc engager sa responsabilité.
