LPD article 8 : ce qu'une PME doit réellement mettre en place

L'article 8 de la loi fédérale sur la protection des données tient en trois alinéas et ne contient aucune liste de mesures. C'est ce qui le rend inconfortable : il n'y a rien à cocher, et la charge de démontrer que le dispositif est suffisant repose sur l'entreprise. Ce guide expose ce que le texte attend réellement, ce que l'ordonnance précise, et ce qu'une PME de dix à cinquante postes doit pouvoir montrer.

Le responsable du traitement et le sous-traitant doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru.

Art. 8 al. 1 LPD

Les quatre objectifs à atteindre

L'ordonnance sur la protection des données précise ce que « sécurité adéquate » veut dire. Elle distingue les principes, les objectifs et les mesures. Les objectifs sont au nombre de quatre, et toute mesure prise doit servir au moins l'un d'entre eux.

La traçabilité est celle que les PME oublient le plus souvent. Elle ne demande pas un dispositif lourd, mais elle demande que la journalisation existe, qu'elle soit conservée, et qu'on puisse la produire. Sans journal, il est impossible de démontrer quoi que ce soit après un incident, y compris son innocence.

L'approche par le risque, en clair

La loi ne demande pas le maximum, elle demande le proportionné. Le niveau attendu dépend de la nature des données, de l'étendue du traitement, des risques encourus par les personnes concernées et de l'état de la technique. Concrètement, un cabinet médical de quatre personnes et un négociant de vingt personnes n'ont pas les mêmes obligations, parce que les données de santé sont des données sensibles au sens de la loi.

L'exercice attendu est donc en deux temps : établir le besoin de protection, puis en déduire les mesures. Ce raisonnement doit être écrit. Un dispositif technique excellent mais non documenté vous laisse sans preuve le jour où on vous demande de justifier vos choix.

Les mesures qu'une PME doit pouvoir montrer

Ce qui suit n'est pas une liste légale, puisqu'il n'en existe pas. C'est le socle qu'un contrôle ou un assureur s'attend à trouver dans une entreprise de cette taille, et l'ordre a son importance : chaque ligne suppose la précédente.

1. Un inventaire. Vous ne pouvez pas protéger ce que vous ne savez pas posséder. Postes, serveurs, téléphones, comptes, services en ligne, et pour chacun le responsable.
2. Un contrôle des accès nominatif. Un compte par personne, jamais de compte partagé, et le double facteur sur tout ce qui est accessible depuis internet, à commencer par la messagerie.
3. Une gestion des départs. La liste des accès à couper le jour où quelqu'un quitte l'entreprise, et la preuve qu'ils ont été coupés.
4. Des correctifs appliqués. Systèmes et logiciels tenus à jour, avec un délai cible pour les correctifs critiques, et une trace de ce qui a été posé.
5. Le chiffrement des supports. Portables et téléphones chiffrés, parce que la perte matérielle reste la première cause de fuite dans une PME.
6. Des sauvegardes testées. Une sauvegarde jamais restaurée n'est pas une sauvegarde, elle sert seulement à croire qu'on est couvert. Voir le guide sur la règle 3-2-1.
7. Une journalisation conservée. Accès, authentifications, actions d'administration, avec une durée de conservation décidée d'avance.
8. Une procédure d'annonce. Qui décide, qui prévient, dans quel ordre, en cas de fuite. Voir le guide sur l'annonce au PFPDT.
9. Des contrats de sous-traitance. Pour chaque prestataire qui touche vos données, y compris votre infogéreur et votre hébergeur.
10. Une sensibilisation des collaborateurs. Elle n'a pas à être un séminaire, mais elle doit exister et laisser une trace.
11. Une revue périodique. Une fois par an, on relit le dispositif et on note ce qui a changé. Sans revue, votre documentation devient fausse en silence.

Ce qui déclenche réellement une amende

C'est le point sur lequel presque toutes les publications commerciales exagèrent, alors la précision vaut mieux que la peur. Le régime pénal de la LPD ne sanctionne pas la négligence ordinaire : l'article 61 vise les violations intentionnelles, et dans trois cas seulement.

Deux conséquences pratiques. D'abord, l'amende frappe la personne physique responsable, et non la société : c'est le dirigeant qui est visé, et aucune assurance responsabilité civile ne couvre une amende pénale. Ensuite, l'article 64 prévoit que l'entreprise puisse être condamnée à la place de la personne, mais uniquement si l'amende ne dépasse pas 50 000 francs et si identifier le responsable exigerait des mesures d'instruction disproportionnées.

Ce que la loi ne dit pas

Elle n'impose pas de certification, pas de norme ISO, pas d'outil particulier, pas de fournisseur suisse et pas de délégué à la protection des données pour une PME ordinaire. Elle n'impose pas non plus de registre des activités de traitement aux entreprises de moins de 250 collaborateurs, sauf traitement de données sensibles à grande échelle ou profilage à risque élevé. Toute publication qui vous affirme le contraire vend quelque chose.

Ce qu'elle impose, en revanche, c'est de pouvoir démontrer que vous avez réfléchi, décidé, mis en place et vérifié. C'est un travail d'écriture autant que de technique, et c'est précisément la partie que les entreprises repoussent.