Quand les données clients sont-elles pertinentes au sens de la protection des données ?
Les données clients sont pertinentes au regard de la protection des données dès lors qu'elles se rapportent à une personne physique identifiée ou identifiable. Cela ne s'applique pas uniquement aux informations sensibles, mais également aux données de contact et contractuelles ordinaires.
La LPD appréhende la notion de données personnelles de manière très large. Sont visées toutes les informations qui se rapportent à une personne physique identifiée ou déterminable (art. 5 let. a LPD). La notion de traitement est tout aussi large. Elle englobe notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données (art. 5 let. d LPD).
Pour une PME, cela signifie que : quiconque enregistre des données clients dans une liste Excel, les gère dans un CRM, les transmet à un logiciel de comptabilité, les utilise dans un outil de newsletter ou les rend accessibles à un prestataire de services d'expédition, traite des données personnelles. Nul besoin pour cela de profilage complexe ni d'intelligence artificielle. Une gestion de clientèle normale suffit amplement.
Toutes les données ne sont pas sensibles au même degré. Sont notamment considérées comme particulièrement dignes de protection les données sur la santé, les données biométriques, les données sur les opinions religieuses ou politiques, les données sur des poursuites pénales ou les données sur des mesures d'aide sociale (art. 5 let. c LPD). Un salon de coiffure, un cabinet médical, un studio de fitness, un intermédiaire d'assurance ou un prestataire dans le domaine de la santé et du social doit donc examiner avec une rigueur particulière quelles données clients sont collectées et comment elles sont protégées.
Quelles règles de base s'appliquent lors du traitement des données clients ?
Une PME suisse ne peut traiter les données clients que de manière licite, de bonne foi, proportionnée et finalisée. De plus, les données ne doivent pas être conservées plus longtemps que nécessaire au vu du but poursuivi.
Les principes centraux figurent à l'art. 6 LPD. Pour le quotidien d'une PME, ils se traduisent simplement.
Premièrement, tout traitement doit avoir un but objectif. Une entreprise ne peut collecter des données clients que pour un but déterminé et reconnaissable par la personne concernée (art. 6 al. 3 LPD). Quiconque collecte une adresse de livraison pour l'envoi d'une commande ne peut pas l'utiliser sans autre formalité à des fins totalement étrangères. Plus un nouveau but s'éloigne du but initial, plus il convient d'en informer à nouveau ou d'examiner une justification.
Deuxièmement s'applique le principe de proportionnalité. Une PME ne doit collecter que les données clients nécessaires au but visé (art. 6 al. 2 LPD). Pour une livraison, une boutique en ligne requiert typiquement le nom, l'adresse et les coordonnées. Demander la date de naissance, l'état civil ou les loisirs n'a de sens que s'il existe à cet effet un but concret, reconnaissable et proportionné. La protection des données ne commence donc pas au stade de la déclaration de confidentialité, mais dès la définition des champs d'un formulaire.
Troisièmement, les données personnelles doivent être détruites ou anonymisées dès qu'elles ne sont plus nécessaires au but du traitement (art. 6 al. 4 LPD). Cela ne signifie pas que chaque dossier client doit être effacé immédiatement après la fin du contrat. Les obligations légales de conservation, par exemple en comptabilité, peuvent justifier un stockage plus long. Mais collecter des données en réserve et les conserver indéfiniment n'est pas conforme à la LPD.
Quatrièmement, les données clients doivent être exactes. Quiconque traite des données personnelles doit s'assurer de leur exactitude et prendre des mesures appropriées pour que les données inexactes ou incomplètes soient rectifiées, effacées ou détruites (art. 6 al. 5 LPD). En pratique, cela signifie par exemple que les changements d'adresse doivent être mis à jour dans les systèmes concernés.
Le consentement est-il toujours nécessaire pour les données clients ?
Non. En droit suisse de la protection des données, un consentement n'est pas requis pour chaque traitement de données clients. Toutefois, lorsqu'un consentement est nécessaire, il doit être libre, éclairé et donné pour des traitements déterminés.
C'est une erreur fréquente. La LPD ne fonctionne pas de la même manière que le RGPD de l'UE. En droit suisse, une entreprise privée n'a pas besoin d'un consentement distinct pour tout traitement licite de données. L'essentiel est plutôt que le traitement ne porte pas une atteinte illicite à la personnalité de la personne concernée et que les principes légaux soient respectés (art. 30 al. 1 LPD, art. 30 al. 2 LPD).
Un consentement peut toutefois s'avérer nécessaire si un traitement constituait autrement une atteinte à la personnalité ou si la loi l'exige pour certaines situations. Lorsqu'un consentement est requis, il n'est valable que s'il est donné librement, pour un ou plusieurs traitements déterminés, après une information appropriée (art. 6 al. 6 LPD). Pour les données personnelles particulièrement dignes de protection ou un profilage à haut risque, le consentement requis doit être octroyé de manière expresse (art. 6 al. 7 LPD).
Pour les PME, la conséquence pratique est claire. Il est généralement plus important d'informer de manière transparente, de collecter les données avec parcimonie et de mettre en place des processus sécurisés, plutôt que d'insérer partout de manière globale une case à cocher
