nLPD : ce qu'une petite application doit respecter

Toute application qui traite des données personnelles en Suisse est soumise à la loi fédérale sur la protection des données révisée (nLPD), en vigueur depuis le 1er septembre 2023, quelle que soit la taille de l'entreprise. Pour une petite application, l'essentiel tient en cinq points : informer les utilisateurs, ne collecter que le nécessaire, sécuriser, encadrer les sous-traitants et les transferts à l'étranger, et savoir réagir à une violation de sécurité.

Cet article présente des notions générales ; il ne remplace pas un conseil juridique. Faites valider vos documents par un juriste.

Ce qu'est une donnée personnelle

Toute information qui se rapporte à une personne identifiée ou identifiable : un nom, une adresse électronique, un identifiant d'utilisateur, un document à son nom, une adresse IP dans certains cas. Certaines données sont dites sensibles et demandent des précautions renforcées, notamment les données sur la santé, les opinions religieuses ou politiques, ou les poursuites pénales.

Cinq principes appliqués à une application

1. Transparence. Informez au moment de la collecte : qui vous êtes, quelles données, pourquoi, à qui elles sont communiquées et dans quels pays.
2. Finalité. Utilisez les données pour le but annoncé, pas pour un autre.
3. Proportionnalité. Ne collectez que ce qui est nécessaire. Un numéro de téléphone inutile est une donnée de trop.
4. Sécurité. Des mesures adaptées au risque : règles d'accès testées, secrets protégés, chiffrement des échanges, sauvegardes.
5. Droits des personnes. Elles peuvent notamment demander l'accès à leurs données ; prévoyez une adresse de contact et une procédure.

La politique de confidentialité

Le devoir d'informer se traduit concrètement par une politique de confidentialité accessible depuis chaque formulaire et chaque page. Elle indique au minimum l'identité du responsable, les données traitées, les finalités, les destinataires, les pays de traitement et les garanties, les durées de conservation et la manière d'exercer ses droits.

Le registre des activités de traitement

La nLPD prévoit un registre des traitements. Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf traitement présentant un risque élevé, par exemple le traitement à grande échelle de données sensibles. Même quand il n'est pas obligatoire, un registre simplifié est l'outil le plus utile pour écrire une politique juste : traitement, données, finalité, durée de conservation, sous-traitants, pays.

Sous-traitants et transferts à l'étranger

Les services que vous utilisez traitent des données pour votre compte : hébergement de la base, hébergement de l'application, paiement, envoi de courriels. Listez-les, vérifiez leurs conditions de traitement des données, et notez le pays où les données sont traitées.

Une communication de données à l'étranger est possible vers les pays dont le Conseil fédéral reconnaît le niveau de protection adéquat, ce qui est notamment le cas des États de l'Union européenne. Pour d'autres pays, des garanties particulières sont nécessaires. Héberger la base en Suisse, par exemple dans la région de Zurich d'un fournisseur, simplifie cette partie.

Violation de la sécurité des données

Si une violation entraîne vraisemblablement un risque élevé pour les personnes concernées, elle doit être annoncée au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais. Préparez dès maintenant une courte procédure : qui décide, comment évaluer le risque, qui informer.

Sanctions

La nLPD prévoit des amendes pouvant atteindre CHF 250'000. Elles visent en principe les personnes physiques responsables, pour certaines violations intentionnelles, par exemple du devoir d'informer. C'est une raison supplémentaire de traiter le sujet sérieusement, même dans une petite structure.

Et le RGPD ?

Si votre application s'adresse à des personnes dans l'Union européenne, le règlement européen peut s'appliquer en plus. Il impose notamment d'indiquer la base juridique de chaque traitement, et une entreprise établie hors de l'Union doit parfois désigner un représentant dans l'Union. Les deux textes sont proches : une politique bien conçue peut couvrir les deux, avec l'avis d'un juriste.

La checklist

• Politique de confidentialité publiée et liée depuis chaque formulaire.
• Registre simplifié tenu à jour.
• Données minimales, durées de conservation fixées et appliquées.
• Sous-traitants et pays listés.
• Règles d'accès testées, secrets protégés, sauvegardes testées.
• Procédure en cas de violation.
• Adresse de contact pour les demandes des personnes.

Questions fréquentes

Une très petite entreprise est-elle concernée ?

Oui. La nLPD s'applique quelle que soit la taille ; seules certaines obligations, comme le registre, prévoient des allègements.

Faut-il un délégué à la protection des données ?

La nLPD ne l'impose pas aux entreprises privées ; il est facultatif.

Où trouver le texte de la loi ?

Sur Fedlex, sous la référence RS 235.1, et les explications du PFPDT sur son site.

Sources : loi fédérale sur la protection des données (RS 235.1) ; site du PFPDT.