Protection des données pour les petites entreprises

En Suisse, la nouvelle loi fédérale sur la protection des données (LPD) est entrée en vigueur le 1er septembre 2023. Elle règle notamment la manière dont les entreprises doivent traiter les données à caractère personnel. Ces données incluent notamment:

• nom, adresse, numéro de téléphone,
• adresse de courrier électronique (e-mail),
• adresse IP (adresse en ligne d’un ordinateur),
• données concernant la santé, date de naissance.

La nouvelle LPD vaut pour toutes les entreprises ayant leur siège en Suisse. Toutefois, si vous traitez également des données de personnes résidant dans l’Union européenne (UE), par exemple par le biais d’une boutique en ligne ou parce que vous envoyez une newsletter à votre clientèle en Allemagne, en France ou en Italie, vous devez également respecter le Règlement général sur la protection des données (RGPD) de l’UE.

Réciproquement, la nouvelle LPD s’applique aussi aux situations qui survenantà l’étranger et qui ont des répercussions en Suisse.

Sur le fond, les législations suisse et européenne en matière de protection des données ont le même but: la protection de la personnalité. Elles diffèrent néanmoins sur plusieurs points, dont les principaux sont présentés ci-dessous.

1. Consentement 
En Suisse, le traitement de données à caractère personnel est dans la plupart des cas autorisé sans consentement exprès, pour autant que les prescriptions légales soient respectées. Si par exemple le traitement de données est nécessaire à l’exécution d’un contrat, il suffit que les personnes concernées en soient informées. Dans l’UE, la barre est placée plus haut: pour le traitement de données à caractère personnel, le principe selon lequel le consentement est obligatoire s’applique.

2. Devoir d’informer 
Selon le RGPD, vous avez l’obligation, au moment de la collecte des données, d’informer votre clientèle notamment sur les données collectées, sur les finalités de leur traitement, sur la durée de leur conservation ainsi que sur les destinataires auxquels elles seront transférées. Le devoir d’informer prévu dans le RGPD est plus étendu que celui prescrit par la LPD, sauf en ce qui concerne la communication de données à l’étranger: dans ce domaine, le devoir d’informer prévu dans le droit suisse va plus loin.

Dans notre pays, les personnes concernées doivent être informées au moins de l’identité et des coordonnées du responsable du traitement, de la finalité du traitement ainsi que des destinataires ou des catégories de destinataires auxquels les données personnelles sont communiquées.

Le devoir d’information est généralement rempli au moyen d’une déclaration de protection des données (voir la section «Déclaration de protection des données et impressum»).

3. Annonce des violations de la sécurité des données 
En Suisse, vous devez annoncer les cas de violation de la sécurité des données «dans les meilleurs délais», mais uniquement si la violation entraîne un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Dans l’UE, les violations doivent aussi être notifiées dans les meilleurs délais – si possible 72 heures au plus tard après avoir été constatées –, mais indépendamment du risque auquel elles exposent la personne concernée.

4. Peines 
La loi suisse prévoit des amendes s’élevant à 250 000 francs au plus, qui sont prononcées contre les personnes responsables au sein de l’entreprise (p. ex. les membres de la direction). Le RGPD est beaucoup plus sévère: les peines pécuniaires peuvent atteindre 20 000 000 d’euros ou, dans le cas d’une entreprise, 4% du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. De plus, l’amende est infligée à l’entreprise et non aux personnes.

5. Représentation à l’étranger 
Les entreprises suisses qui ont des clientes et clients au sein de l’UE doivent avoir une représentation chargée des questions de protection des données dans un État membre de l’UE. Réciproquement, les entreprises étrangères traitant des données concernant des personnes en Suisse doivent désigner une représentation dans notre pays.

Les PME sont également tenues de respecter la législation sur la protection des données. Chaque fois que vous établissez une facture ou envoyez une newsletter, ou encore si vous exploitez un site web comportant un formulaire de contact, vous traitez des données à caractère personnel.

Et cela implique certaines obligations. La LPD prescrit par exemple que le traitement de données personnelles est autorisé pour autant qu’il ne porte pas une atteinte illicite à la personnalité de la personne concernée. Cela signifie que les principes légaux régissant les traitements (art. 6 LPD) doivent être systématiquement respectés.

Ces principes sont essentiellement les suivants:

• Finalité: les données ne doivent pas être utilisées pour d’autres finalités que celle pour laquelle elles ont été initialement collectées. Exemple: si une personne vous communique son adresse pour une livraison, vous n’avez pas le droit d’automatiquement vous en servir pour lui envoyer de la publicité.
   

• Bonne foi et proportionnalité: un comportement loyal et digne de confiance est exigé dans les relations commerciales. Ainsi, collecter des données personnelles secrètement est contraire au principe de bonne foi. Le principe de proportionnalité implique quant à lui que le traitement des données soit approprié, nécessaire et acceptable pour atteindre la finalité visée.

  Cela signifie entre autres que vous n’avez le droit de collecter que les données effectivement nécessaires. Exemple: pour répondre à une demande d’offre, le nom et l’adresse électronique suffisent. Nul besoin de connaître également la date de naissance.

• Licéité: les données personnelles ne doivent pas être traitées en violation d’une autre norme du droit suisse qui vise, directement ou indirectement, à protéger les droits de la personnalité (p. ex. le droit à l’image).
   
• Droit à l’effacement: les données qui ne sont plus nécessaires, autrement dit toutes celles dont la finalité du traitement a été atteinte, doivent être effacées ou anonymisées, à moins qu’il n’existe une obligation légale de les conserver.
   
• Exactitude: quiconque traite des données personnelles doit s’assurer qu’elles sont exactes au regard de la finalité de leur traitement.
   
• Consentement exprès: dans les cas où un consentement est requis, celui-ci doit être donné expressément (p. ex. par écrit). Il doit également être donné librement.

De nombreuses PME ont recours aux services de prestataires basés à l’étranger, par exemple pour le stockage de données dans le cloud, l’envoi de newsletters, leurs services de paiement ou leur système de gestion de la relation clientèle. Elles doivent alors s’assurer que le pays de destination offre un niveau suffisant de protection des données.

Le transfert de données à l’étranger est autorisé si:

• le Conseil fédéral a classé le pays de destination parmi ceux où un niveau de protection adéquat des données est garanti. Vous trouverez la liste officielle de ces pays dans l’ordonnance sur la protection des données (OPDo). Si le pays de destination ne figure pas sur la liste, autrement dit en l’absence de décision du Conseil fédéral le concernant, d’autres conditions doivent être remplies pour que le transfert à l’étranger soit autorisé, par exemple:

  la conclusion avec le prestataire étranger d’un contrat contenant des clauses type de protection des données préalablement approuvées, établies ou reconnues par le Préposé fédéral à la protection des données et à la transparence (PFPDT). Ces clauses garantissent ainsi contractuellement un niveau adéquat de protection des données.
   

• Si la personne concernée a expressément consenti au transfert de ses données à l’étranger, il n’est pas nécessaire que le Conseil fédéral ait classé le pays de destination parmi ceux garantissant un niveau de protection adéquat, ni que d’autres conditions soient remplies.

  Exemple:
  Vous utilisez un système de gestion de la relation clientèle provenant des États-Unis. Étant donné que les États-Unis ne figurent pas sur la liste des pays tiers «sûrs», vous devez conclure un contrat garant d’une protection adéquate avec le prestataire concerné ou obtenir le consentement exprès de vos clientes et clients.

Fuite de données, laptop dérobé ou égaré ou cyberattaque: autant de circonstances qui peuvent conduire à des violations de la sécurité des données. Si des données à caractère personnel sont perdues ou deviennent accessibles sans autorisation, il est impératif d’agir.

Les règles applicables en Suisse sont les suivantes:

• Annoncez l’incident aussi rapidement que possible au Préposé fédéral à la protection des données et à la transparence (PFPDT), pour autant qu’il en découle un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée.
   
• Informez également la personne concernée, si ses droits sont menacés (p. ex. en cas de vol d’identité ou de fuite de mots de passe).

Si des données à caractère personnel provenant de l’UE sont concernées, vous devez réagir conformément au RGPD, c’est-à-dire notifier le cas à l’autorité de surveillance compétente dans les meilleurs délais, au plus tard toutefois dans un délai de 72 heures.

Si vous faites appel à des prestataires externes, par exemple en matière d’informatique, de comptabilité ou d’envoi de newsletters, ceux-ci sont considérés comme des sous-traitants. Cela signifie qu’ils traitent des données à caractère personnel pour votre compte.

Le cas échéant, vous devez conclure avec chacun d’eux un contrat écrit qui règle clairement notamment:

• quelles sont les données à traiter;
• la finalité du traitement;
• la capacité du prestataire à garantir la sécurité des données et à respecter cette garantie;
• qui informer en cas de violation de la protection des données;
• si le prestataire est autorisé à faire lui-même appel à des sous-traitants.

La conclusion d’un tel contrat est prescrite aussi bien par la LPD (art. 9) que par le RGPD (art. 28).

Les données à caractère personnel sont des informations concernant une personne identifiée ou identifiable et qui peuvent par conséquent être associées à une personne déterminée (caractère personnel). Pour qu’il y ait caractère personnel, il faut donc que les informations puissent être attribuées, par leur contenu, à une personne physique identifiée ou identifiable. Font partie de telles informations le nom, l’adresse, le numéro de téléphone, l’adresse électronique et la date de naissance.

Dès qu’une entreprise collecte des données à caractère personnel – que ce soit dans un formulaire de contact, pour répondre à une demande d’offre ou lors d’une vente –, des prescriptions légales s’appliquent en matière de conservation, d’utilisation et d’effacement de ces données.

Principes: aussi peu que possible, pas plus longtemps que nécessaire

Vous n’avez le droit d’enregistrer des données personnelles que pour une finalité clairement définie et en vous limitant au volume absolument indispensable (principe de proportionnalité). Dès qu’elles ne sont plus nécessaires, les données doivent être effacées ou anonymisées, à moins que la loi n’oblige à les conserver (p. ex.: pièces comptables).

La personne physique concernée est identifiée lorsqu’il ressort des informations elles-mêmes qu’il s’agit précisément de cette personne. Elle est identifiable lorsqu’il est possible de l’identifier sur la base d’informations supplémentaires.

La législation sur la protection des données donne aux personnes concernées – autrement dit à vos clientes et clients – des droits clairement définis. Deux d’entre eux revêtent une importance particulière pour les PME:

• Droit d’accès: toute personne a le droit de savoir si une entreprise traite (ou conserve) des données personnelles la concernant et, le cas échéant, lesquelles. Lorsqu’une personne présente une demande d’accès, vous avez l’obligation de lui fournir, dans un délai de 30 jours, les renseignements suivants: l’identité et les coordonnées du responsable du traitement, quelles données sont traitées (ou conservées), quelle est leur origine et la finalité de leur traitement, si elles ont été communiquées à des tiers (p. ex. à des prestataires externes) et quelle est la durée de leur conservation. Ces renseignements doivent être fournis par écrit, gratuitement et intégralement.
   
• Droit à la suppression: les clientes et clients ont le droit d’exiger que leurs données soient effacées, en particulier si elles ne sont plus nécessaires – autrement dit si la finalité de leur traitement a été atteinte –, s’il y a eu révocation du consentement ou si le traitement était illicite. Le cas échéant, vous avez l’obligation d’effacer l’intégralité des données dans les meilleurs délais, à moins que la loi n’oblige à les conserver (p. ex.: obligation d’archivage des factures).

De nos jours, les entreprises traitent pratiquement toutes des données à caractère personnel, que ce soit sur leur site web, dans des formulaires de contact, pour répondre à des demandes d’offre ou en lien avec une newsletter. C’est pourquoi la publication d’une déclaration de protection des données, qui informe les personnes concernées des traitements effectués, est désormais la norme en Suisse.

La déclaration de protection des données n’est pas prescrite par la loi. C’est toutefois sous cette forme que la plupart des entreprises choisissent de remplir leur devoir d’informer. La déclaration de protection des données indique à la clientèle comment les données sont traitées.

La déclaration de protection des données doit être publiée à un endroit facilement accessible et bien visible – idéalement là où les personnes concernées entrent en contact avec votre entreprise, autrement dit:

• Sur le site web: sous la forme d’un lien facilement repérable en pied de page, intitulé par exemple «Déclaration de protection des données» ou «Protection des données».
   
• Dans les formulaires en ligne (contact, inscription à une newsletter, commandes): sous la forme d’une brève remarque, avec un lien conduisant à la déclaration de protection des données complète.
   
• Dans les e-mails ou les offres: lors du premier contact avec une cliente ou un client, il peut être judicieux d’inclure une brève remarque, avec un lien vers la déclaration ou un fichier PDF en pièce jointe.
   
• Dans les newsletters: de préférence en pied de page de l’e-mail ou sous la forme d’une remarque dans le formulaire d’inscription.

Beaucoup confondent la déclaration de protection des données avec une simple remarque concernant la protection des données. Il s’agit pourtant de deux choses différentes:

• La déclaration de protection des données donne des informations complètes et détaillées sur tous les traitements de données effectués au sein de l’entreprise. Généralement publiée sur le site web ou annexée à des documents, elle est accessible à tous.
   
• Une information concernant la protection des données est un texte court placé directement là où les données sont collectées, par exemple dans un formulaire de contact ou d’inscription à une newsletter. Elle indique en une phrase que des données seront traitées et renvoie pour le reste à la déclaration de protection des données. Exemple: «Vos données seront utilisées pour traiter votre demande. Vous trouverez de plus amples informations dans notre déclaration de protection des données.»

Pour les PME, respecter la législation sur la protection des données implique non seulement d’enregistrer correctement les données, mais également de les conserver en toute sécurité, car leur perte, vol ou utilisation abusive peuvent avoir des conséquences juridiques et financières. La nouvelle LPD oblige donc les entreprises à prendre les mesures techniques et organisationnelles (MTO) nécessaires pour assurer la sécurité des données à caractère personnel.

Les mesures à prendre dépendent du niveau de risque: plus les données sont sensibles, plus les exigences sont élevées. Même les petites entreprises doivent être à même de prouver qu’elles ont pris toutes les mesures de protection essentielles.

Ce qui importe, c’est que les mesures choisies permettent d’éviter toute violation de la sécurité des données.

Les mesures techniques concernent les systèmes informatiques avec lesquels vous travaillez ainsi que l’organisation en tant que telle. Elles garantissent que les données ne soient accessibles qu’aux personnes autorisées, qu’elles soient disponibles en cas de besoin, qu’elles ne puissent pas être modifiées sans droit ou par mégarde et qu’elles soient traitées de manière traçable. Les mesures permettant d’atteindre ces objectifs peuvent être les suivantes:

• Définition de mots de passe forts pour les appareils, les programmes et le courrier électronique
• Cryptage des données sensibles (p. ex. dans les annexes des e-mails et dans le cloud)
• Mises à jour automatiques des logiciels et des programmes antivirus
• Système pare-feu et connexions WLAN sécurisées
• Cryptage HTTPS de votre site web
• Sauvegardes régulières protégeant contre les pertes de données

Les dispositions d’exécution détaillées sont définies à l’art. 3 OPDo.

Les mesures organisationnelles concernent les processus, les responsabilités et le comportement au quotidien. L’objectif est de garantir que chacune et chacun au sein de l’entreprise ait pleinement conscience de l’importance de la protection des données, même en l’absence d’un service informatique à proprement parler.

Voici quelques exemples de mesures organisationnelles typiques:

• Attribution claire des responsabilités en matière de protection des données dans l’entreprise
• Formation du personnel garante d’une gestion sûre des données
• Définition de règles internes, par exemple en matière de conservation et d’effacement des données
• Gestion des documents papier garante de leur confidentialité (p. ex. ne pas laisser de documents contenant des données clientèle à la vue de tous)
• Conclusion de contrats avec les prestataires externes qui traitent des données pour votre compte (p. ex. partenaires informatiques, fiduciaires)

Désormais, les PME se servent aussi de plus en plus fréquemment de l’intelligence artificielle (IA), par exemple pour répondre aux demandes de la clientèle, réaliser des analyses marketing ou générer des textes et des images.

Ce que beaucoup ignorent, c’est que les systèmes d’IA traitent généralement de grandes quantités de données à caractère personnel, telles que des données clientèle, des adresses électroniques, des comportements d’utilisation ou le contenu de conversations. Et dès que de telles données sont traitées, la législation sur la protection des données s’applique.

Vous avez alors l’obligation de respecter les principes régissant les traitements (voir plus haut).

Si, dans votre PME, des décisions sont prises exclusivement sur la base d’un traitement de données personnelles automatisé (décisions individuelles automatisées) et qu’elles ont des effets juridiques pour la personne concernée ou l’affectent de manière significative, des obligations supplémentaires s’appliquent.

Dans certains cas, la loi prescrit d’effectuer une analyse d’impact relative à la protection des données personnelles (AIPD). Cette analyse est obligatoire lorsqu’un traitement de données est susceptible d’entraîner un risque élevé pour la personnalité de la personne concernée, par exemple en raison d’un traitement de données sensibles à grande échelle.

Simplement dit: avant d’utiliser une technologie à haut risque (p. ex. un outil IA), vous devez vérifier (et documenter) si et, le cas échéant, comment les droits des personnes concernées pourraient être menacés. En cas de menaces, vous devez également évaluer le risque que celles-ci représentent pour la personnalité ou les droits fondamentaux des personnes concernées et indiquer les mesures prévues pour réduire ce risque.

L’existence d’un risque élevé peut découler en particulier du recours à de nouvelles technologies et dépend de la nature, de l’étendue, des circonstances et de la finalité du traitement.

Nous attirons votre attention sur le fait que les contenus et les documents mis à disposition doivent être considérés comme des renseignements juridiques d’ordre général. Ils ne remplacent pas un conseil personnalisé sur un cas particulier. La Mobilière et Protekta déclinent toute responsabilité en relation avec ces contenus et documents.