Protection des données et externalisation : les bases de la nLPD suisse pour les PME

Déléguer du travail à un assistant à distance implique souvent de partager des données personnelles : e-mails de clients, listes de contacts, factures, informations sur les collaborateurs. En Suisse, ces données sont protégées par la loi fédérale sur la protection des données révisée, appelée nLPD (ou revDSG en allemand), entrée en vigueur le 1er septembre 2023. Si votre assistant est basé à l’étranger, des règles supplémentaires s’appliquent. Cet article donne aux PME un aperçu pratique des points à considérer avant et pendant l’externalisation.

Remarque : Cet article fournit des informations générales et ne constitue pas un conseil juridique. Les exigences en matière de protection des données dépendent de votre situation particulière. Veuillez consulter un avocat suisse qualifié ou un spécialiste de la protection des données avant de prendre des décisions concernant vos obligations.

Ce que couvre la nLPD

La nLPD s’applique au traitement de données personnelles concernant des personnes physiques par des entreprises privées et des organes fédéraux. La notion de « traitement » est large : la collecte, la conservation, l’utilisation, la communication ou la suppression de données en font toutes partie. L’autorité de surveillance est le Préposé fédéral à la protection des données et à la transparence (PFPDT, ou EDÖB en allemand).

Pour une PME, cela inclut généralement les données concernant les clients, les prospects, les personnes de contact chez les fournisseurs et les collaborateurs.

Responsable du traitement et sous-traitant

Lorsque vous externalisez une tâche impliquant des données personnelles, votre entreprise reste généralement responsable du traitement : c’est vous qui décidez pourquoi et comment les données sont traitées. Le prestataire agit en principe comme sous-traitant : il traite les données pour votre compte et selon vos instructions.

Selon la nLPD, vous pouvez confier un traitement à un sous-traitant si, dans les grandes lignes :

• Le sous-traitant ne traite les données que de la manière dont vous seriez vous-même en droit de le faire
• Aucune obligation légale ou contractuelle de garder le secret ne l’interdit
• Vous vous assurez que le sous-traitant est en mesure de garantir la sécurité des données

Contrats de sous-traitance

Un contrat de sous-traitance écrit (DPA) est la manière habituelle de documenter cette relation. Il définit généralement l’étendue et la finalité du traitement, les types de données concernés, les mesures de sécurité, la confidentialité, le recours à des sous-traitants ultérieurs et le sort des données à la fin du contrat. Les NDA sont utiles, mais ne remplacent généralement pas un contrat de sous-traitance.

Communication de données à l’étranger

C’est la question clé lorsque votre assistant travaille depuis un autre pays. La nLPD n’autorise la libre communication de données personnelles à l’étranger que si le Conseil fédéral a constaté que l’État de destination offre un niveau de protection adéquat. Le Conseil fédéral tient une liste de ces pays.

Au moment de la rédaction de cet article, les Philippines ne figurent pas sur cette liste. La communication vers des pays n’offrant pas une protection adéquate requiert en général des garanties appropriées. Une option courante consiste à utiliser des clauses contractuelles types reconnues par le PFPDT, souvent basées sur les clauses contractuelles types de l’UE avec des adaptations propres à la Suisse. D’autres mécanismes et des exceptions limitées existent, mais ils doivent être évalués avec l’aide d’un professionnel.

À noter : donner à un assistant à distance l’accès à des données stockées sur des serveurs en Suisse ou dans l’UE peut tout de même constituer une communication à l’étranger, puisque les données sont consultées depuis un autre pays.

Registre des activités de traitement

La nLPD exige des responsables du traitement et des sous-traitants qu’ils tiennent un registre des activités de traitement. Les entreprises de moins de 250 collaborateurs en sont exemptées, sauf si elles traitent des données personnelles sensibles à grande échelle ou effectuent un profilage à risque élevé. Même lorsque l’exemption s’applique, un simple registre indiquant quelles données vous traitez, pourquoi, où elles vont et qui y a accès est une bonne pratique et facilite les décisions d’externalisation.

Mesures de sécurité des données

Vous devez assurer une sécurité des données adaptée au risque. Lorsque vous travaillez avec un assistant à distance, les mesures pratiques comprennent :

Mesure	Concrètement
Contrôle des accès	Autorisations selon les rôles ; l’assistant ne voit que ce dont la tâche a besoin
Gestion des identifiants	Un gestionnaire de mots de passe professionnel plutôt que des mots de passe partagés
Authentification	Authentification à deux facteurs sur tous les comptes importants
Standards des appareils	Systèmes d’exploitation à jour, verrouillage d’écran, antivirus
Confidentialité	NDA signés et instructions claires sur le traitement des données
Fin de collaboration	Une check-list pour révoquer rapidement tous les accès à la fin du travail

Ce sont le genre de pratiques que nous intégrons à chaque placement ; consultez comment ça marche pour plus de détails. Aucune d’entre elles ne suffit à elle seule à rendre une entreprise conforme, mais ensemble, elles réduisent les risques.

Annonce des violations de la sécurité des données

Si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, le responsable du traitement doit l’annoncer au PFPDT dans les meilleurs délais. Les sous-traitants doivent informer le responsable du traitement de toute violation dans les meilleurs délais. Dans certains cas, les personnes concernées doivent également être informées. Votre contrat de sous-traitance devrait préciser comment et dans quel délai votre prestataire vous informera.

Le devoir d’informer

Lorsque vous collectez des données personnelles, vous devez en informer les personnes concernées, généralement au moyen d’une déclaration de protection des données. Si vous communiquez des données à l’étranger, cette déclaration doit en principe indiquer les pays concernés et, le cas échéant, les garanties sur lesquelles vous vous appuyez. Si vous commencez à externaliser vers les Philippines, vérifiez si votre déclaration de protection des données doit être mise à jour.

Check-list pratique pour les PME

1. Identifiez les données personnelles auxquelles votre assistant aura accès.
2. Signez un contrat de sous-traitance avec votre prestataire.
3. Mettez en place des garanties appropriées pour la communication à l’étranger, comme des clauses contractuelles types reconnues par le PFPDT.
4. Mettez à jour votre déclaration de protection des données.
5. Appliquez des contrôles d’accès, un gestionnaire de mots de passe et la 2FA.
6. Convenez d’une procédure d’annonce des violations.
7. Réexaminez régulièrement votre dispositif avec un conseiller qualifié.

Pour en savoir plus sur l’organisation du travail délégué, découvrez notre service de support administratif ou lisez comment les PME suisses réduisent leurs coûts administratifs grâce à un assistant virtuel.

À retenir

• La nLPD s’applique depuis le 1er septembre 2023 et couvre la plupart des données personnelles traitées par les PME.
• L’externalisation fait généralement de votre prestataire un sous-traitant ; documentez-le dans un contrat de sous-traitance.
• La communication de données vers les Philippines requiert en général des garanties, comme des clauses contractuelles types reconnues par le PFPDT.
• Les mesures de sécurité, les procédures en cas de violation et une déclaration de protection des données à jour font toutes partie du tableau.
• Demandez toujours conseil à un avocat suisse qualifié pour votre situation particulière.

Des questions sur la façon dont nous traitons les données avec nos assistants ? Réservez une consultation gratuite et nous vous présenterons nos pratiques.