Un cabinet de diagnostic manipule plus de données personnelles qu'il ne le pense : noms et adresses de propriétaires, de locataires, de régies ; photos de l'intérieur de logements habités ; parfois des informations sur la santé quand une mission fait suite à une plainte. La nouvelle loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, s'applique à tout cela, sans seuil de taille. Voici ce qu'elle exige, dans l'ordre où un cabinet le rencontre.
Ce que la nLPD change par rapport à l'ancienne loi
La loi de 1992 protégeait déjà les données. La révision rapproche la Suisse du RGPD européen sur quelques points qui touchent directement un cabinet :
- le devoir d'informer s'étend à toute collecte de données personnelles, plus seulement aux données sensibles ;
- les sous-traitants (hébergeur, logiciel, laboratoire quand il reçoit des données personnelles) doivent être encadrés ;
- les transferts à l'étranger ne sont libres que vers des États reconnus comme offrant une protection adéquate ;
- les violations de la sécurité doivent être annoncées au Préposé fédéral (PFPDT) quand elles présentent un risque élevé ;
- les sanctions sont pénales et visent les personnes physiques, jusqu'à 250 000 francs, pour des manquements intentionnels.
1. Le devoir d'informer (art. 19 LPD)
Toute personne dont vous collectez des données doit savoir qui vous êtes, ce que vous collectez, pourquoi, et à qui vous le transmettez. Pour un cabinet, cela se traduit par une déclaration de protection des données accessible (sur le site, dans les conditions de mandat) et, quand la collecte se fait ailleurs que chez la personne (par exemple des coordonnées de locataires transmises par la régie), une information à ces personnes.
Particularité suisse : l'information doit aussi indiquer l'État de destination des données quand elles sont transférées à l'étranger, et les garanties qui s'appliquent. Si votre logiciel héberge en Allemagne ou en France, dites-le.
2. Le registre des activités de traitement (art. 12 LPD)
Le registre est obligatoire, mais l'ordonnance en dispense les entreprises de moins de 250 collaborateurs dont les traitements présentent un risque limité d'atteinte à la personnalité. La plupart des cabinets sont dispensés. Le tenir reste une bonne idée : une page qui liste « clients, missions, photos, factures, où c'est stocké, combien de temps » est ce que l'on cherche le jour où quelqu'un pose la question.
3. Les sous-traitants (art. 9 LPD)
Vous pouvez confier des données à un tiers (hébergeur, éditeur de logiciel, service d'envoi de courriels) si un contrat le prévoit, si le tiers n'en fait que ce que vous faites vous-même, et s'il garantit la sécurité. Concrètement, demandez à chaque fournisseur :
- où sont hébergées les données (pays, fournisseur) ;
- ce qu'il en fait (rien d'autre que le service) ;
- comment elles sont isolées de celles d'autres clients ;
- comment elles sont sauvegardées et pour combien de temps ;
- ce qui se passe à la fin du contrat.
Une réponse écrite, c'est le contrat de sous-traitance. Une absence de réponse, c'est un fournisseur à changer.
4. Les transferts à l'étranger (art. 16 LPD)
Les données peuvent être communiquées à l'étranger si le Conseil fédéral a constaté que l'État garantit une protection adéquate. La liste figure à l'annexe 1 de l'ordonnance sur la protection des données ; les États de l'Union européenne et de l'EEE y figurent. Un hébergement en Allemagne ou en France ne demande donc pas de garantie supplémentaire ; un hébergement aux États-Unis en demande, sauf cadre reconnu.
C'est pourquoi la question « où sont hébergées mes données » a une réponse précise plutôt qu'un « dans le cloud ». Pour Diagflows, la réponse est : dans l'Union européenne, en France et en Allemagne.
5. La sécurité et les violations (art. 8 et 24 LPD)
Le cabinet doit assurer une sécurité adéquate : accès protégés, sauvegardes, chiffrement en transit, et une base par client plutôt qu'une base partagée quand l'outil le permet. En cas de violation (perte, vol, accès non autorisé) présentant vraisemblablement un risque élevé pour les personnes, l'annonce au PFPDT doit être faite dans les meilleurs délais, et les personnes concernées informées si nécessaire.
Un cabinet n'a pas à être expert. Il doit savoir qui appeler, et avoir un fournisseur capable de dire ce qui s'est passé.
6. Le droit d'accès (art. 25 LPD)
Toute personne peut demander quelles données vous détenez sur elle, et obtenir une réponse dans les 30 jours, en principe gratuitement. Un propriétaire, un locataire, un ancien client. La réponse suppose de pouvoir retrouver tout ce qui concerne une personne : missions, photos, courriels, factures. Un outil qui range par mission et par contact rend la réponse possible ; des dossiers éparpillés la rendent longue et incomplète.
7. La conservation
Les données ne sont conservées que tant que la finalité l'exige. Pour un rapport de diagnostic, cette finalité est longue : prouver ce qui a été diagnostiqué, pendant l'horizon de responsabilité. Nous expliquons pourquoi nous retenons 30 ans dans Combien de temps conserver un rapport de diagnostic ?. Ce qui n'est pas nécessaire à cette finalité (un numéro de téléphone privé d'un locataire, une photo d'un objet personnel) n'a pas à y être.
Les photos d'intérieur
Point souvent oublié : une photo de salon avec des objets personnels, des courriers, des portraits, est une donnée personnelle. Le diagnostic n'en a pas besoin. La discipline est de cadrer le matériau, pas la pièce, et de ne pas photographier ce qui identifie un occupant. Un outil qui rattache la photo à un élément (calorifuge, plinthe) plutôt qu'à « la pièce » aide à garder ce cadrage.
Ce que Diagflows en fait
Chaque cabinet dispose de sa propre base de données, isolée. Les données sont hébergées dans l'Union européenne (France et Allemagne), pays reconnus par le Conseil fédéral, et Diagflows agit comme sous-traitant du cabinet. Les rapports signés sont figés et conservés 30 ans ; le reste des données suit la vie de la mission. Les accès sont nominatifs, avec double authentification.
Sources
- Confédération suisse, Loi fédérale sur la protection des données (LPD, RS 235.1), art. 8, 9, 12, 16, 19, 24, 25
- Confédération suisse, Ordonnance sur la protection des données (OPDo, RS 235.11), annexe 1 (États à protection adéquate)
- Préposé fédéral à la protection des données et à la transparence, Communication de données à l'étranger
- Confédération suisse, portail PME, Nouvelle loi sur la protection des données
L'équipe Diagflows