Quand les données clients sont-elles pertinentes au sens de la protection des données ?
Les données clients sont pertinentes au regard de la protection des données dès lors qu'elles se rapportent à une personne physique identifiée ou identifiable. Cela ne s'applique pas uniquement aux informations sensibles, mais également aux données de contact et contractuelles ordinaires.
La LPD appréhende la notion de données personnelles de manière très large. Sont visées toutes les informations qui se rapportent à une personne physique identifiée ou déterminable (art. 5 let. a LPD). La notion de traitement est tout aussi large. Elle englobe notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données (art. 5 let. d LPD).
Pour une PME, cela signifie que : quiconque enregistre des données clients dans une liste Excel, les gère dans un CRM, les transmet à un logiciel de comptabilité, les utilise dans un outil de newsletter ou les rend accessibles à un prestataire de services d'expédition, traite des données personnelles. Nul besoin pour cela de profilage complexe ni d'intelligence artificielle. Une gestion de clientèle normale suffit amplement.
Toutes les données ne sont pas sensibles au même degré. Sont notamment considérées comme particulièrement dignes de protection les données sur la santé, les données biométriques, les données sur les opinions religieuses ou politiques, les données sur des poursuites pénales ou les données sur des mesures d'aide sociale (art. 5 let. c LPD). Un salon de coiffure, un cabinet médical, un studio de fitness, un intermédiaire d'assurance ou un prestataire dans le domaine de la santé et du social doit donc examiner avec une rigueur particulière quelles données clients sont collectées et comment elles sont protégées.
Quelles règles de base s'appliquent lors du traitement des données clients ?
Une PME suisse ne peut traiter les données clients que de manière licite, de bonne foi, proportionnée et finalisée. De plus, les données ne doivent pas être conservées plus longtemps que nécessaire au vu du but poursuivi.
Les principes centraux figurent à l'art. 6 LPD. Pour le quotidien d'une PME, ils se traduisent simplement.
Premièrement, tout traitement doit avoir un but objectif. Une entreprise ne peut collecter des données clients que pour un but déterminé et reconnaissable par la personne concernée (art. 6 al. 3 LPD). Quiconque collecte une adresse de livraison pour l'envoi d'une commande ne peut pas l'utiliser sans autre formalité à des fins totalement étrangères. Plus un nouveau but s'éloigne du but initial, plus il convient d'en informer à nouveau ou d'examiner une justification.
Deuxièmement s'applique le principe de proportionnalité. Une PME ne doit collecter que les données clients nécessaires au but visé (art. 6 al. 2 LPD). Pour une livraison, une boutique en ligne requiert typiquement le nom, l'adresse et les coordonnées. Demander la date de naissance, l'état civil ou les loisirs n'a de sens que s'il existe à cet effet un but concret, reconnaissable et proportionné. La protection des données ne commence donc pas au stade de la déclaration de confidentialité, mais dès la définition des champs d'un formulaire.
Troisièmement, les données personnelles doivent être détruites ou anonymisées dès qu'elles ne sont plus nécessaires au but du traitement (art. 6 al. 4 LPD). Cela ne signifie pas que chaque dossier client doit être effacé immédiatement après la fin du contrat. Les obligations légales de conservation, par exemple en comptabilité, peuvent justifier un stockage plus long. Mais collecter des données en réserve et les conserver indéfiniment n'est pas conforme à la LPD.
Quatrièmement, les données clients doivent être exactes. Quiconque traite des données personnelles doit s'assurer de leur exactitude et prendre des mesures appropriées pour que les données inexactes ou incomplètes soient rectifiées, effacées ou détruites (art. 6 al. 5 LPD). En pratique, cela signifie par exemple que les changements d'adresse doivent être mis à jour dans les systèmes concernés.
Le consentement est-il toujours nécessaire pour les données clients ?
Non. En droit suisse de la protection des données, un consentement n'est pas requis pour chaque traitement de données clients. Toutefois, lorsqu'un consentement est nécessaire, il doit être libre, éclairé et donné pour des traitements déterminés.
C'est une erreur fréquente. La LPD ne fonctionne pas de la même manière que le RGPD de l'UE. En droit suisse, une entreprise privée n'a pas besoin d'un consentement distinct pour tout traitement licite de données. L'essentiel est plutôt que le traitement ne porte pas une atteinte illicite à la personnalité de la personne concernée et que les principes légaux soient respectés (art. 30 al. 1 LPD, art. 30 al. 2 LPD).
Un consentement peut toutefois s'avérer nécessaire si un traitement constituait autrement une atteinte à la personnalité ou si la loi l'exige pour certaines situations. Lorsqu'un consentement est requis, il n'est valable que s'il est donné librement, pour un ou plusieurs traitements déterminés, après une information appropriée (art. 6 al. 6 LPD). Pour les données personnelles particulièrement dignes de protection ou un profilage à haut risque, le consentement requis doit être octroyé de manière expresse (art. 6 al. 7 LPD).
Pour les PME, la conséquence pratique est claire. Il est généralement plus important d'informer de manière transparente, de collecter les données avec parcimonie et de mettre en place des processus sécurisés, plutôt que d'insérer partout de manière globale une case à cocher « J'accepte ». Mais si une entreprise choisit de s'appuyer sur un consentement pour des newsletters, de la publicité personnalisée, des données particulièrement sensibles ou des utilisations inhabituelles, le texte doit être concret.
Que doit contenir une déclaration de confidentialité ?
Une déclaration de confidentialité doit au minimum indiquer qui est responsable, à quelles fins les données clients sont traitées et à qui elles sont, le cas échéant, communiquées. En cas de communication à l'étranger, des indications supplémentaires sont nécessaires.
Le devoir d'information est l'une des obligations les plus importantes pour les PME suisses. Le responsable du traitement doit informer la personne concernée de manière adéquate sur la collecte de données personnelles, même lorsque ces données ne sont pas collectées directement auprès d'elle (art. 19 al. 1 LPD). Cette obligation s'applique en principe à toute collecte de données personnelles, et pas seulement aux données particulièrement dignes de protection.
Doivent au minimum être communiqués l'identité et les coordonnées du responsable du traitement, le but du traitement ainsi que, le cas échéant, les destinataires ou les catégories de destinataires (art. 19 al. 2 LPD). Lorsque les données ne sont pas collectées auprès de la personne concernée, les catégories de données personnelles traitées doivent en outre être mentionnées (art. 19 al. 3 LPD). Si des données personnelles sont communiquées à l'étranger, il faut également indiquer l'État ou l'organisme international concerné, le cas échéant avec les garanties ou les exceptions applicables (art. 19 al. 4 LPD).
Pour une PME, la déclaration de confidentialité ne devrait donc pas être un simple modèle copié. Elle doit correspondre au traitement de données réellement effectué. Une petite entreprise artisanale a besoin d'indications différentes de celles d'une boutique en ligne avec traçage, outil de newsletter, prestataire de paiement et logistique externe. L'essentiel est que l'information soit compréhensible, facilement accessible et pas inutilement compliquée. Sur le web, une déclaration de confidentialité bien visible dans le pied de page du site constitue en règle générale un standard judicieux.
Quiconque viole intentionnellement le devoir d'information s'expose à une amende pouvant aller jusqu'à CHF 250'000 (art. 60 al. 1 LPD). Cela montre que la transparence en matière de protection des données clients en Suisse ne devrait pas être traitée comme une simple formalité.
Qu'en est-il du cloud, des CRM, des outils de newsletter et des autres prestataires ?
Quiconque fait traiter des données clients par des prestataires externes reste tenu à ses obligations en tant que responsable du traitement. La PME doit vérifier que le prestataire ne traite les données que dans la mesure autorisée et qu'il est en mesure de garantir une sécurité des données appropriée.
De nombreuses PME externalisent une partie du traitement des données. L'hébergement, le stockage dans le cloud, les logiciels de comptabilité, les systèmes CRM, les outils de newsletter, le support informatique externe, les prestataires de paiement ou les partenaires d'expédition en sont des exemples typiques. Du point de vue de la protection des données, il s'agit fréquemment d'un traitement par un sous-traitant. Selon l'art. 9 LPD, celui-ci est admissible lorsque les données sont traitées de la manière dont le responsable du traitement serait lui-même en droit de le faire et qu'aucune obligation légale ou contractuelle de garder le secret ne l'interdit (art. 9 al. 1 LPD).
Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données (art. 9 al. 2 LPD). En pratique, un contrat de sous-traitance écrit est recommandé. Celui-ci devrait notamment régler le but et l'étendue du traitement, le droit de donner des instructions, les mesures techniques et organisationnelles, le recours à des sous-traitants ultérieurs, les obligations d'annonce en cas d'incident de sécurité ainsi que l'effacement ou la restitution des données à la fin du contrat.
Une attention particulière s'impose lorsque des prestataires traitent des données à l'étranger. Des données personnelles peuvent être communiquées à l'étranger lorsqu'une protection adéquate y est assurée (art. 16 al. 1 LPD). En l'absence d'une telle décision, des garanties appropriées sont nécessaires, par exemple des clauses types de protection des données reconnues (art. 16 al. 2 LPD). Pour les PME, cela signifie ceci : dans le cas d'outils cloud ou marketing internationaux, il vaut la peine d'examiner de près la documentation contractuelle et les informations sur la protection des données du fournisseur.
Comment les données clients doivent-elles être protégées ?
Les données clients doivent être protégées par des mesures techniques et organisationnelles appropriées. Ces mesures se déterminent en fonction du risque, du type de données, du but, de l'étendue et des circonstances du traitement.
La sécurité des données n'est pas seulement une affaire informatique, c'est une obligation légale. Les responsables du traitement et les sous-traitants doivent assurer une sécurité des données adéquate au regard du risque (art. 8 al. 1 LPD). Les mesures doivent contribuer à éviter les violations de la sécurité des données (art. 8 al. 2 LPD).
L'ordonnance sur la protection des données concrétise cette approche fondée sur les risques. Les responsables du traitement et les sous-traitants doivent déterminer le besoin de protection des données personnelles et définir les mesures techniques et organisationnelles appropriées (art. 1 al. 1 OPDo). Entrent notamment en ligne de compte le type de données, le but, la nature, l'étendue et les circonstances du traitement (art. 1 al. 2 OPDo). L'état de la technique et les coûts de mise en œuvre peuvent également être pris en considération (art. 1 al. 4 OPDo).
Pour une PME, les mesures n'ont pas à être identiques à celles d'un grand groupe. Mais certains fondamentaux devraient être en place. Il s'agit notamment de mots de passe robustes, de l'authentification à deux facteurs pour les systèmes importants, d'accès basés sur les rôles, de mises à jour régulières, de sauvegardes, d'appareils chiffrés, de responsabilités clairement définies, de la formation des collaborateurs et d'un processus d'urgence simple en cas de fuite de données.
En cas de violation de la sécurité des données, le responsable du traitement doit l'annoncer aussi rapidement que possible au PFPDT lorsque cette violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 24 al. 1 LPD). Le sous-traitant doit annoncer toute violation au responsable du traitement dans les meilleurs délais (art. 24 al. 3 LPD). L'annonce au PFPDT doit notamment indiquer, dans la mesure du possible, la nature de la violation, le moment où elle est survenue, les données et les personnes concernées, les conséquences, les risques et les mesures prises (art. 15 al. 1 OPDo).
Les PME doivent-elles tenir un registre des activités de traitement ?
Toutes les PME ne sont pas tenues de tenir un registre des activités de traitement. Les entreprises de moins de 250 collaborateurs en sont dispensées, pour autant qu'elles ne traitent pas de données personnelles particulièrement dignes de protection à grande échelle et qu'elles n'effectuent pas de profilage à haut risque.
En principe, la LPD prévoit que les responsables du traitement et les sous-traitants tiennent un registre de leurs activités de traitement (art. 12 al. 1 LPD). Ce registre contient notamment l'identité, le but du traitement, les catégories de personnes concernées, les catégories de données personnelles, les destinataires, la durée de conservation, les mesures de sécurité des données ainsi que les indications relatives aux communications à l'étranger (art. 12 al. 2 LPD).
Pour de nombreuses PME, il existe toutefois un allègement important. Les entreprises et autres organisations de droit privé comptant moins de 250 collaborateurs sont libérées de cette obligation lorsqu'elles ne traitent pas de données personnelles particulièrement dignes de protection à grande échelle et qu'elles n'effectuent pas de profilage à haut risque (art. 24 OPDo).
Un simple inventaire interne des données reste néanmoins souvent judicieux. Il n'est pas nécessaire d'en faire un document juridique volumineux. Une vue d'ensemble indiquant quelles données clients se trouvent où, qui y a accès, quels prestataires interviennent, combien de temps les données sont conservées et ce qu'il convient de faire en cas d'incident aide déjà énormément. La protection des données devient ainsi moins abstraite et plus facile à maîtriser au quotidien.
Questions fréquentes sur la protection des données clients
La loi suisse sur la protection des données s'applique-t-elle aussi aux petites entreprises ?
Oui. La LPD s'applique également aux petites entreprises dès lors qu'elles traitent des données personnelles. La taille de l'entreprise ne détermine pas l'existence d'obligations en matière de protection des données. Elle peut en revanche jouer un rôle pour certaines obligations particulières et pour l'étendue des mesures requises, par exemple s'agissant du registre des activités de traitement (art. 24 OPDo).
Une déclaration de confidentialité sur le site web suffit-elle ?
Une déclaration de confidentialité sur le site web constitue souvent un élément essentiel, mais elle ne suffit que si elle reflète correctement les traitements de données réellement effectués et qu'elle est facilement accessible. Si des données clients sont également collectées hors ligne, par téléphone, au moyen de formulaires papier ou lors d'événements, l'information doit y être fournie de manière tout aussi adéquate (art. 19 al. 1 LPD).
Une PME peut-elle utiliser des données clients pour une newsletter ?
Cela peut être admissible si les clientes et clients ont été informés de manière adéquate et si les autres exigences légales sont respectées. Selon le type de newsletter et le cercle des destinataires, des exigences découlant du droit de la concurrence déloyale peuvent en outre s'appliquer. Sous l'angle de la protection des données, il importe que le but soit clairement reconnaissable et qu'aucune utilisation inattendue ou disproportionnée n'ait lieu (art. 6 al. 2 LPD, art. 6 al. 3 LPD).
Quelle est la première étape la plus importante pour une PME ?
La première étape la plus importante est un état des lieux honnête. Une PME devrait savoir quelles données clients elle collecte, à quelles fins elle les utilise, où elles sont stockées, qui y a accès, quels prestataires interviennent et combien de temps les données sont conservées. Ce n'est qu'ensuite que la déclaration de confidentialité, les contrats, les délais d'effacement et les mesures de sécurité peuvent être adaptés de manière pertinente.
