nLPD pour PME : les 7 chantiers qui comptent vraiment

La nouvelle loi sur la protection des données s’applique depuis septembre 2023, sans période transitoire. Voici ce qu’elle exige concrètement d’une PME suisse, sans catastrophisme. Information générale : ne constitue pas un avis juridique.

Le registre des activités de traitement est la colonne vertébrale de votre conformité : quelles données, pour quelle finalité, avec quels destinataires, conservées combien de temps. Les entreprises de moins de 250 collaborateurs en sont dispensées sauf traitements à risque, mais en pratique vos clients et assureurs le demanderont. Un registre vivant vaut mieux qu’un document parfait et périmé.

L’information des personnes suppose une déclaration de confidentialité complète et accessible : quelles données vous collectez, pourquoi, qui les reçoit, dans quels pays elles sont traitées. La nLPD exige d’indiquer les États destinataires : si vos outils envoient des données aux États-Unis, vous devez le dire.

Les sous-traitants sont le premier point que vérifie un auditeur, et le plus souvent négligé. Chaque prestataire qui traite des données pour vous (hébergeur, CRM, paie, support) doit être sous contrat, offrir des garanties suffisantes, et figurer dans votre registre. Privilégier des sous-traitants suisses ou européens simplifie mécaniquement le dossier.

En cas de violation de données présentant un risque élevé pour les personnes, vous devez annoncer au PFPDT dans les meilleurs délais. Cela suppose de détecter la violation, de l’évaluer et de documenter la décision d’annoncer ou non. Sans registre des violations, chaque incident devient une improvisation.

L’analyse d’impact (DPIA) est obligatoire quand un traitement présente un risque élevé : données sensibles à grande échelle, profilage, surveillance. Pour une clinique, un laboratoire ou une fintech, c’est un passage quasi obligé.

La sécurité des données exige des mesures techniques et organisationnelles adaptées au risque : contrôle d’accès, chiffrement, sauvegardes, journalisation. Le point clé : il faut pouvoir démontrer que ces mesures existent et fonctionnent, pas seulement l’affirmer dans une politique.

Les droits des personnes (accès, rectification, effacement, remise des données) doivent être traités en 30 jours. Testez le circuit une fois par an avec une demande fictive.

La nLPD prévoit des amendes jusqu’à CHF 250 000, prononcées contre les personnes physiques responsables, pas contre l’entreprise. Le risque réel pour une PME est ailleurs : perdre un client important faute de pouvoir répondre à son questionnaire de sécurité, ou perdre la confiance de ses patients ou clients après une violation mal gérée.

PREVORN outille ces sept chantiers : registre vivant, preuves de sécurité collectées automatiquement, registre des violations et DPIA guidée, le tout hébergé en Suisse.