La protection des données pour les PME : l’essentiel en pratique

La LPD s’applique à toutes les entreprises privées, quelle que soit leur taille – du salon de coiffure à la boutique en ligne, en passant par le cabinet médical. Pour vous, en tant que client, cela signifie que vous disposez des mêmes droits face à une petite entreprise. Il existe quelques allègements pour les PME, mais pas d’exception générale.

Où les PME sont allégées

Registre des activités de traitement : les entreprises de moins de 250 collaborateurs ne sont pas tenues d’en tenir un, tant qu’elles ne traitent pas de données sensibles à grande échelle et n’effectuent pas de profilage à risque élevé (art. 12 LPD, art. 24 OPDo).
Conseiller à la protection des données : sa désignation est facultative (art. 10).
L’analyse d’impact et l’obligation d’annoncer ne s’appliquent qu’en cas de risque élevé (art. 22 et 24).

Une démarche pragmatique en neuf étapes

Faire le point : quelles données personnelles détenons-nous, où se trouvent-elles, qui y a accès ?
Rédiger ou mettre à jour la déclaration de protection des données (art. 19).
Examiner les prestataires : fiduciaire, support informatique, cloud ou outil de newsletter sont le plus souvent des sous-traitants ; la collaboration doit satisfaire aux exigences de l’art. 9.
Clarifier les transferts à l’étranger : dans quels États les données se trouvent-elles, et les conditions des art. 16 et 17 sont-elles remplies ?
Mettre en place une protection de base : mots de passe robustes, authentification à deux facteurs, mises à jour, sauvegardes, appareils chiffrés (art. 8).
Prévoir le traitement des demandes d’accès : qui y répond dans un délai de 30 jours ?
Plan d’urgence en cas de violation de données : qui décide d’une annonce au PFPDT ?
Concept d’effacement : effacer les données dès qu’elles ne sont plus nécessaires (art. 6, al. 4) – en respectant les obligations légales de conservation, par exemple dix ans pour les livres et les pièces comptables (art. 958f CO).
Vérifier la publicité : newsletters uniquement avec consentement ou dans le cadre de l’exception pour les clients prévue par la LCD (voir partie 6).

Écueils fréquents

Des déclarations de protection des données copiées qui ne correspondent pas à la pratique de l’entreprise.
Des collaborateurs qui utilisent des messageries ou des services cloud privés pour des données de clients.
L’absence de responsable désigné lorsqu’une demande d’accès arrive.

La protection des données ne doit pas forcément coûter cher à une PME. L’essentiel est de connaître ses propres flux de données et d’appliquer au quotidien les principes de l’art. 6.

Vous trouverez d’autres conseils pour les entreprises dans la rubrique Pour les entreprises.