nLPD : les mesures informatiques à prévoir en PME

La loi fédérale révisée sur la protection des données (nLPD) est entrée en vigueur le 1er septembre 2023. Elle n'impose pas une liste d'outils, mais exige des mesures techniques et organisationnelles appropriées au risque pour protéger les données personnelles que vous traitez : clients, collaborateurs, fournisseurs.

Cet article présente le volet informatique. Il ne remplace pas un conseil juridique pour les questions propres à votre activité.

Ce que la loi demande, en résumé

• Une sécurité des données adaptée au risque.
• La protection des données dès la conception et par défaut.
• Un registre des activités de traitement, dont les entreprises de moins de 250 collaborateurs sont dispensées, sauf traitement à grande échelle de données sensibles ou profilage à risque élevé.
• L'annonce au PFPDT, dans les meilleurs délais, des violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour les personnes concernées.
• Des règles claires avec les sous-traitants, y compris le prestataire informatique et les services cloud.
• Un encadrement des communications de données à l'étranger.

Les mesures techniques concrètes

• Des comptes nominatifs, la double authentification et des droits d'accès définis par rôle, revus régulièrement.
• Le chiffrement des disques des ordinateurs portables et des supports amovibles.
• Des postes protégés et maintenus à jour.
• Des sauvegardes régulières et une restauration testée.
• La journalisation des accès aux données sensibles.
• Des règles de conservation et de suppression des données qui ne sont plus nécessaires.

Les mesures organisationnelles

• Savoir où se trouvent les données personnelles : applications métier, partages de fichiers, Microsoft 365, CRM, e-mails.
• Une procédure écrite en cas de violation de données : qui décide, qui annonce, dans quel délai.
• Une procédure d'arrivée et de départ des collaborateurs.
• La sensibilisation des équipes.
• Des contrats de sous-traitance avec les prestataires qui accèdent aux données.

La question de l'hébergement

La nLPD n'impose pas d'héberger les données en Suisse. Elle autorise les transferts vers les pays dont le Conseil fédéral reconnaît le niveau de protection, et prévoit des garanties pour les autres. Pour les États-Unis, les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework sont couvertes.

Héberger en Suisse simplifie toutefois l'analyse et répond souvent aux attentes des clients. Dans tous les cas, sachez où vos prestataires stockent vos données et sauvegardes.

Et les sanctions ?

La loi prévoit des amendes pouvant atteindre 250 000 francs, prononcées contre les personnes physiques responsables en cas de violation intentionnelle de certaines obligations. Pour une PME, le risque principal reste souvent l'incident lui-même : interruption d'activité, perte de confiance des clients, coûts de remise en état.