nLPD : l’essentiel pour les PME suisses

Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) s’applique à toutes les entreprises qui traitent des données personnelles en Suisse, quelle que soit leur taille. Fichier clients, dossiers du personnel, e-mails, site web : pratiquement toutes les PME sont concernées.

Cet article présente l’essentiel et des mesures concrètes. Il ne remplace pas un avis juridique.

Ce qui a changé

Seules les données des personnes physiques sont désormais protégées ; les données des entreprises ne relèvent plus de la loi.
Les données génétiques et biométriques rejoignent les données sensibles, aux côtés notamment des données de santé.
La protection des données dès la conception et par défaut devient une obligation : les paramètres les plus protecteurs doivent s’appliquer par défaut.
Les sanctions visent les personnes responsables : en cas de violation intentionnelle de certaines obligations, les amendes peuvent atteindre 250 000 francs.

Les obligations clés pour une PME

Informer : les personnes concernées doivent être informées de la collecte de leurs données, notamment au moyen d’une déclaration de protection des données.
Sécuriser : des mesures techniques et organisationnelles adaptées aux risques sont exigées (accès, mots de passe, sauvegardes, mises à jour).
Encadrer les sous-traitants : hébergeur, fournisseur cloud, fiduciaire ou prestataire informatique doivent être liés par un contrat qui garantit la protection des données.
Répondre aux demandes : toute personne peut demander l’accès à ses données ; la réponse doit en principe être donnée dans les 30 jours.
Annoncer les violations : une violation de la sécurité des données présentant un risque élevé doit être annoncée dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT).
Évaluer les risques : une analyse d’impact est requise avant tout traitement susceptible d’entraîner un risque élevé.
Tenir un registre des activités de traitement : les entreprises de moins de 250 collaborateurs en sont en principe dispensées, sauf si elles traitent à grande échelle des données sensibles ou effectuent un profilage à risque élevé.

Le cas des données de santé

Cabinets médicaux, centres de radiologie, physiothérapeutes, laboratoires : les données de santé sont des données sensibles. Les exigences de sécurité sont plus élevées, et la dispense de registre peut ne pas s’appliquer. Dans ce secteur, la protection des données est autant une question d’infrastructure informatique que de documentation.

Les transferts à l’étranger

Utiliser un service cloud hébergé hors de Suisse est possible, mais encadré : le pays de destination doit offrir un niveau de protection adéquat selon la liste du Conseil fédéral, ou des garanties contractuelles doivent être mises en place. Les États-Unis ne sont considérés comme adéquats que pour les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework. Avant de choisir un fournisseur, il est utile de savoir où vos données sont hébergées et qui peut y accéder.

Par où commencer ?

Faire l’inventaire des données personnelles traitées : quelles données, où, pour quel usage et chez quels prestataires.
Publier une déclaration de protection des données claire sur votre site.
Vérifier les contrats avec vos sous-traitants informatiques.
Contrôler les bases de la sécurité : authentification à deux facteurs, sauvegardes testées, mises à jour, droits d’accès.
Définir une procédure en cas de fuite de données : qui décide, qui annonce, dans quels délais.
Sensibiliser les collaborateurs, qui restent la première ligne de défense.

En résumé

La nLPD n’exige pas de transformer une PME en administration. Elle demande de savoir quelles données vous traitez, de les protéger raisonnablement et de pouvoir le démontrer. Une bonne partie de ce travail est technique : c’est là qu’une direction technique fait la différence.