L’essentiel en bref
- La loi sur la protection des données (LPD) s’applique à toute entreprise, quelle que soit sa taille – aussi aux entreprises individuelles.
- Qui collecte des données personnelles doit informer les personnes concernées, par exemple avec une déclaration de protection des données sur le site web (art. 19 LPD).
- Si tu confies des données à un fournisseur de logiciel, il est ton sous-traitant. Cela exige un contrat, et tu dois t’assurer qu’il garde les données en sécurité (art. 9 LPD).
- En Suisse, les amendes allant jusqu’à CHF 250’000 frappent en principe la personne responsable, et non l’entreprise – et seulement en cas d’intention. Ce n’est que si la recherche de la personne responsable impliquerait des mesures d’enquête disproportionnées que l’entreprise peut être condamnée à la place à une amende de CHF 50’000 au plus (art. 64 al. 2 LPD).
À qui s’applique la LPD ?
La loi sur la protection des données s’applique à toutes les personnes privées et entreprises qui traitent des données relatives à des personnes physiques. « Traiter » désigne ici toute opération relative à des données : collecter, enregistrer, utiliser, communiquer, effacer. Les données personnelles sont toutes les informations qui peuvent être attribuées à une personne déterminée – donc aussi le nom et l’adresse e-mail d’une personne de contact chez ton client entreprise.
Les données personnelles sensibles, par exemple les données sur la santé, sont particulièrement délicates (art. 5 let. c LPD). Tu y es confronté plus vite que tu ne le crois : les certificats médicaux de tes collaborateurs en font partie.
Les principes sont simples (art. 6 LPD) : ne traite que ce dont tu as besoin pour une finalité reconnaissable, garde les données exactes, et efface-les dès que tu n’en as plus besoin – sauf si une obligation de conservation en dispose autrement, comme pour les pièces comptables.
Devoir d’informer et déclaration de protection des données
Si tu collectes des données personnelles, tu dois informer de manière appropriée les personnes concernées (art. 19 LPD). Il faut indiquer au minimum :
- qui est responsable, avec les coordonnées,
- pour quelle finalité tu traites les données,
- à qui tu les communiques éventuellement (destinataires ou catégories de destinataires),
- et, si des données sont transmises à l’étranger, dans quels États – ainsi que, le cas échéant, les garanties sur lesquelles tu t’appuies.
Dans la pratique, tu y satisfais avec une déclaration de protection des données sur ton site web, à laquelle tu peux renvoyer dans les offres, formulaires ou e-mails. Elle n’a pas à être remise individuellement à chaque personne, mais doit être facile à trouver. Si tu utilises des outils d’analyse, des services de newsletter ou des logiciels en nuage, ils doivent aussi y figurer.
Dois-je tenir un registre ?
En principe, la LPD exige un registre des activités de traitement (art. 12 LPD) : un aperçu des données que tu traites, dans quel but, combien de temps tu les conserves et comment tu les protèges. Pour les entreprises de moins de 250 collaborateurs, il existe une exception (art. 12 al. 5 LPD, art. 24 OPDo) – sauf si tu traites des données personnelles sensibles à grande échelle ou si tu effectues un profilage à risque élevé.
Pour la plupart des entreprises individuelles et petites PME, l’obligation tombe donc. Une courte liste des données et de leur emplacement vaut néanmoins la peine : elle t’aide énormément lors d’une demande de renseignements ou d’un incident.
Exemple : cabinet de physiothérapie avec deux employées
Martina dirige un cabinet de physiothérapie. Elle n’a certes que deux employées, mais traite en permanence des données de santé de ses patients – des données sensibles à grande échelle. Elle tient donc un registre des activités de traitement. Pour son travail de bureau – factures, justificatifs, salaires – elle utilise un logiciel avec des serveurs en Suisse et un contrat de sous-traitance.
Le fournisseur de logiciel comme sous-traitant
Si tu enregistres des données dans un logiciel en nuage, le fournisseur les traite pour ton compte. C’est autorisé s’il ne les traite que de la manière dont tu aurais toi-même le droit de le faire et qu’aucune obligation de garder le secret ne s’y oppose (art. 9 LPD). Tu dois notamment t’assurer que le fournisseur peut garantir la sécurité des données. Il ne peut faire appel à d’autres sous-traitants qu’avec ton autorisation préalable.
Cela se règle dans un contrat de sous-traitance. Les fournisseurs sérieux le mettent spontanément à disposition. Fais attention à l’emplacement des données : si tu communiques des données personnelles à l’étranger, une protection adéquate doit y exister – le Conseil fédéral l’a constaté pour de nombreux États, sinon il faut des garanties appropriées comme des clauses contractuelles types (art. 16 LPD).
Sécurité des données : adéquate, pas parfaite
La LPD exige une sécurité des données adéquate par rapport au risque, avec des mesures techniques et organisationnelles (art. 8 LPD). La sécurité parfaite n’existe pas – mais quelques mesures sont particulièrement efficaces dans les petites entreprises :
- Deux facteurs pour chaque connexion : un mot de passe volé ne suffit alors plus. Les passkeys sont les plus sûrs, car ils ne fonctionnent pas sur de fausses pages de connexion.
- Sauvegardes régulières et séparées : une sauvegarde qui se trouve sur le même appareil ne sert à rien en cas de rançongiciel.
- Chiffrer les appareils et les maintenir à jour : activer BitLocker ou FileVault, installer les mises à jour rapidement.
- Limiter les accès : chaque personne ne voit que ce dont elle a besoin pour son travail – les données salariales, par exemple, pas toute l’équipe.
- Pas de données dans des espaces de stockage privés : ne pas laisser traîner d’exports ni de copies non chiffrés dans des dossiers partagés ou sur des clés USB.
Quand quelque chose se produit malgré tout
Si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour les personnes concernées, tu dois l’annoncer dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT) (art. 24 LPD). L’annonce se fait en ligne via le portail d’annonce DataBreach du PFPDT ; ce qui est considéré comme un risque élevé est expliqué dans son guide relatif à l’annonce des violations de la sécurité des données (PDF). Il n’existe pas de délai fixe en heures comme dans l’UE. Tu informes les personnes concernées lorsque cela est nécessaire à leur protection ou que le PFPDT l’exige. Un sous-traitant doit, de son côté, t’annoncer une violation dans les meilleurs délais.
Amendes : qui elles frappent
Contrairement à l’UE, les amendes en Suisse visent en principe la personne physique responsable, et non l’entreprise. Seul est puni un comportement intentionnel, par exemple une information volontairement omise ou un renseignement inexact (art. 60 LPD) ou la violation intentionnelle de devoirs de diligence en matière de sous-traitance, de communication à l’étranger et d’exigences minimales de sécurité des données (art. 61 LPD). L’amende peut atteindre CHF 250’000. Qui se soucie sérieusement de la protection des données n’a pas à le craindre – mais tu ne devrais pas l’ignorer.
Comment faire dans Easly
Dans Easly, factures, justificatifs et dossiers du personnel se trouvent au même endroit – c’est pourquoi la sécurité n’est pas un supplément chez Easly, mais le fondement :
- Instance propre et isolée : tes données se trouvent dans une application propre avec une base de données propre, un stockage propre et une clé propre – séparées de tous les autres clients.
- Stockage chiffré, en Suisse : la base de données, les documents, les justificatifs, les dossiers du personnel et les sauvegardes sont stockés sous forme chiffrée sur des serveurs en Suisse. La transmission se fait toujours en HTTPS.
- Deux facteurs obligatoires : sans passkey (par exemple Windows Hello ou Face ID) ou application d’authentification, pas de connexion.
- Support uniquement avec ton code : le support n’accède à ton instance que si tu crées un code d’autorisation – valable 72 heures au maximum et révocable à tout moment. Chaque action est consignée, et tu consultes toi-même le journal.
- Sauvegarde quotidienne : chaque nuit une sauvegarde chiffrée, conservée 14 jours en quotidien, 8 semaines en hebdomadaire et 12 mois en mensuel. Tu demandes une restauration directement dans Easly.
- Tes données t’appartiennent : l’export complet – toutes les données en Excel et CSV, tous les documents – est à ta disposition à tout moment.
- Contrat de sous-traitance inclus : IT Services Schneeberger traite tes données pour ton compte ; le contrat de sous-traitance (en allemand) fait partie de l’abonnement. Plus d’informations sous Sécurité et données.
Si tu utilises les fonctions d’IA, l’envoi par la Poste ou l’envoi d’e-mails, les données nécessaires à cet effet vont au fournisseur concerné que tu as choisi toi-même. Intègre ces fournisseurs dans ta déclaration de protection des données.
Questions fréquentes
Mon entreprise individuelle a-t-elle besoin d’une déclaration de protection des données ?
En règle générale oui. Dès que tu collectes des données personnelles – via le site web, par e-mail ou lors d’une commande –, tu dois informer les personnes concernées (art. 19 LPD). Le plus simple est de le faire avec une déclaration de protection des données sur ton site web.
En tant que petite PME, dois-je tenir un registre des activités de traitement ?
Non, si tu as moins de 250 collaborateurs et que tu ne traites ni des données personnelles sensibles à grande échelle ni n’effectues un profilage à risque élevé (art. 12 al. 5 LPD, art. 24 OPDo).
Que dois-je faire si mon ordinateur portable est volé ?
Changer les mots de passe, bloquer les accès et vérifier quelles données sont concernées. Si l’appareil n’était pas chiffré et qu’un risque élevé menace vraisemblablement les personnes concernées, tu dois annoncer l’incident au PFPDT dans les meilleurs délais (art. 24 LPD). Avec le chiffrement de l’appareil activé, le risque est en général nettement plus faible.
Dans quel délai dois-je répondre à une demande de renseignements ?
En règle générale dans les 30 jours (art. 25 LPD). Le renseignement est en règle générale gratuit. Un aperçu de l’emplacement des données rend la réponse bien plus simple.
État des informations : voir ci-dessus. Bases : Loi sur la protection des données (LPD, en vigueur depuis le 1er septembre 2023, notamment art. 5, 6, 8, 9, 12, 16, 19, 24, 25, 60 et 61) et Ordonnance sur la protection des données (OPDo, art. 24). Cet article ne remplace pas un conseil juridique.