Données dans le cloud : obligations des PME suisses selon la LPD

Champ d'application de la LPD pour une PME qui met ses données dans le cloud

La loi fédérale sur la protection des données (LPD) est en vigueur depuis le 1er septembre 2023, avec son ordonnance d’application (OPDo). La base légale est la LPD et l’OPDo. Une PME qui traite des données personnelles doit donc respecter la LPD, y compris lorsque l’hébergement est confié à un prestataire cloud.

L'autorité de surveillance est le Préposé fédéral à la protection des données et à la transparence (PFPDT). Il veille à ce que les entreprises privées ne procèdent pas à des traitements illicites de données personnelles.

Une donnée est personnelle si elle concerne une personne identifiée ou identifiable.

La personne concernée est la personne physique dont les données personnelles font l'objet d'un traitement. C'est vers elle que remontent les droits prévus par la LPD, y compris lorsque les données sont hébergées chez un fournisseur de nuage.

Le traitement couvre toute opération relative à des données personnelles, quels que soient les moyens et procédés : collecte, enregistrement, conservation, utilisation, modification, communication, archivage, effacement ou destruction. Le stockage chez un fournisseur de nuage entre dans cette définition.

Certaines données sont sensibles : opinions ou activités religieuses, philosophiques, politiques ou syndicales, données sur la santé, la sphère intime, l'origine raciale ou ethnique, données génétiques, données biométriques identifiant une personne de manière équivoque, poursuites et sanctions pénales ou administratives, mesures d'aide sociale.

Fichiers clients, dossiers du personnel ou données salariales désignent des personnes et entrent dans le champ de la loi. Peu importe qu'ils soient stockés sur les serveurs de l'entreprise ou chez un fournisseur.

La loi s'applique à toutes les entreprises de Suisse, quelles que soient leurs tailles. Elle repose sur les principes de licéité, de bonne foi, de finalité, de transparence, de proportionnalité, d'exactitude et de sécurité des données.

Concrètement, la PME doit identifier son rôle, appliquer les principes de licéité, bonne foi, finalité, transparence, proportionnalité, exactitude et sécurité, et documenter ses flux de données.

Les obligations concrètes comprennent aussi la sécurité des données confiées à un sous-traitant, la traçabilité des accès et le respect des droits des personnes concernées.

Deux rôles doivent être distingués. Le responsable de traitement détermine les finalités et les moyens du traitement ; le sous-traitant traite les données pour son compte. Un fournisseur de services de nuage agit comme sous-traitant de la PME qui lui externalise des fonctions informatiques.

Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque faible.

La mise en conformité commence par l’identification des rôles. L’entreprise détermine si elle agit comme responsable de traitement ou sous-traitant pour les données de ses clients, de ses collaborateurs ou de ses fournisseurs.

Obligations LPD pour une PME utilisant un fournisseur cloud

Souveraineté des données : une attente forte des entreprises suisses

En Suisse, les secteurs bancaire, assurantiel et industriel manipulent des données sensibles et doivent garantir une traçabilité absolue. Ils privilégient par nature la souveraineté des données et la maîtrise des coûts.

La maîtrise des coûts se joue aussi au dimensionnement. Les grands modèles de langage exigent des GPU ou TPU puissants pour l'inférence, avec des factures cloud élevées et des budgets d'exploitation difficiles à anticiper ; les petits modèles délivrent jusqu'à 90 % de précision avec 5 % des ressources.

L'inférence des petits modèles descend sous 50 millisecondes en périphérie ou sur site, ce qui réduit la quantité de données qui doivent sortir de l'entreprise. Chaque traitement évité en nuage est un flux de moins à documenter.

Avant de confier ses données, la PME doit savoir où elles sont hébergées, sur quel territoire et chez quels sous-traitants éventuels. Elle doit aussi déterminer qui peut y accéder, et à quelles conditions.

La documentation des flux précise quelles données partent, vers quel service, à quelle fréquence et par quel canal.

L'information due à la personne concernée nomme les destinataires ou les catégories de destinataires auxquels les données ont été communiquées.

Lorsque des données personnelles partent à l'étranger, l'information due à la personne concernée doit préciser l'État concerné et, le cas échéant, les garanties prévues ou l'application d'une exception.

Un hébergement en Suisse écarte en principe la question du transfert. La documentation des flux et des accès reste due dans tous les cas.

La souveraineté des données ne dispense pas la PME de ses obligations LPD. Elle doit documenter les flux, les accès et les destinataires, y compris en cas d'hébergement en Suisse.

Petits modèles vs grands modèles d'IA : dimensions et coûts pour les PME suisses

Avantages et contraintes de l'hébergement en Suisse vs à l'étranger

Le contrat avec le fournisseur cloud : ce qui doit être cadré

Le contrat précise la localisation de l'hébergement, le périmètre des accès et les personnes autorisées à consulter les données, y compris chez le fournisseur.

Il doit aussi couvrir la journalisation des accès, le droit d'audit, la procédure en cas d'incident, ainsi que la restitution des données et les conditions de sortie en fin de relation.

Lorsque la paie est externalisée, le prestataire gère les calculs, les cotisations sociales, l'impôt à la source et le certificat de salaire suisse. Le contrat doit garantir la documentation adéquate et l'assistance en matière d'audit.

Si le prestataire recourt à des sous-traitants, la PME doit connaître la chaîne et obtenir des engagements équivalents à ceux négociés avec son interlocuteur direct.

Le responsable du traitement doit s'assurer que son sous-traitant est en mesure de garantir la sécurité des données. Ces obligations découlent de la LPD et de son ordonnance d'application (OPDo).

Le sous-traitant est la personne privée qui traite des données personnelles pour le compte du responsable du traitement. Le fournisseur en service de nuage agit à ce titre lorsque la PME lui externalise des fonctions informatiques.

Le contrat doit permettre à la PME de démontrer que le sous-traitant garantit la sécurité des données.

Étapes clés pour la conformité LPD lors de l’externalisation du traitement de données

Traçabilité, journaux d'accès et audits : préparer la preuve avant l'incident

La conformité à la LPD exige des traçages détaillés, des journaux d'accès et des audits réguliers.

Concrètement, il faut pouvoir dire qui a consulté quelles données et à quel moment. Ces traces doivent être conservées assez longtemps pour couvrir un contrôle ou une demande d'information.

Journaux d'accès et rapports d'audit se préparent avant l'incident. Les reconstituer après coup est rarement possible, surtout lorsque les accès passent par un service cloud.

Ces journaux et rapports d'audit constituent les mécanismes de preuve de la conformité LPD.

Les secteurs bancaire, assurantiel et industriel exigent une traçabilité absolue. Cette exigence recoupe les obligations de documentation et de preuve qui pèsent déjà sur la PME.

La responsabilité reste chez la PME, même quand un prestataire exécute

L'externalisation de la gestion des salaires illustre ce partage : le prestataire se charge des calculs et des déclarations, mais vous restez l'employeur de vos salariés. La responsabilité légale ne se transfère pas.

Le prestataire inscrit et déclare auprès de l'AVS, de l'EO et de l'ALV, affilie à la LPP, gère l'assurance-accidents LAA (SUVA ou assureur privé), l'impôt à la source et le certificat de salaire suisse. Ces opérations portent sur des données de collaborateurs et restent soumises à la LPD.

Le portage salarial est un cas distinct : la société de portage devient l'employeur légal. Ce modèle exige une licence de mise à disposition de main-d'œuvre délivrée par le SECO. Dans le cloud, il en va de même : le fournisseur héberge les données pour le compte de la PME, qui reste responsable du traitement. Elle doit pouvoir le démontrer, traces et documentation à l'appui.

Toute personne peut demander au responsable du traitement si des données la concernant sont traitées, et peut les faire effacer ou rectifier. La personne concernée doit agir elle-même pour exercer ce droit. Le renseignement est en principe gratuit et fourni dans un délai de trente jours. Des efforts disproportionnés peuvent être facturés, à 300 francs au maximum.

Le renseignement porte sur l'identité et les coordonnées du responsable du traitement, les données traitées, la finalité du traitement, la durée de conservation ou les critères pour la fixer, ainsi que sur l'origine des données.

Il indique également les destinataires ou les catégories de destinataires et, le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle elle se fonde.

Le droit d'accès peut être refusé, restreint ou différé lorsque des intérêts prépondérants privés ou publics s'y opposent. Le responsable du traitement indique alors le motif de son refus. La motivation doit permettre de vérifier si la restriction est justifiée.

La personne qui exerce son droit n'a pas à motiver sa demande. La LPD prévoit en outre la suppression des frais judiciaires en procédure civile, pour faciliter l'accès à la justice.

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est l'autorité indépendante de surveillance. Il est chargé de surveiller la bonne application des dispositions fédérales de protection des données. Il veille à ce que les entreprises privées ne procèdent pas à des traitements illicites de données personnelles. Son adresse est Feldeggweg 1, 3003 Berne.

Le PFPDT rappelle que le droit suisse de la protection des données est directement applicable aux traitements recourant à l'intelligence artificielle.

Le PFPDT met à disposition un formulaire de contact ainsi qu'une hotline, joignable du lundi au vendredi de 10h à 11h30 au 058 462 43 95. Il remet chaque année un rapport d'activités à l'Assemblée fédérale.

En tant que Préposé à la transparence, le PFPDT est l'organe de médiation pour l'accès aux documents officiels. Il émet des recommandations lorsqu'aucun accord n'a pu être trouvé.