En Suisse, l’amende pour protection des données ne frappe pas l’entreprise. Elle frappe une personne.

Imaginez : une collaboratrice de votre clinique à Genève découvre un outil en ligne pratique, qui résume les demandes du formulaire de contact et y répond. Elle le configure en un après-midi, sans demander à personne. Personne ne signe de contrat avec le fournisseur. Depuis des mois, les demandes des patientes et des patients passent par un système dont personne à la direction n’a entendu parler.

Quand on pense protection des données, on pense au RGPD et à des amendes millionnaires contre les grands groupes. La loi suisse fonctionne autrement. Elle vise d’abord des personnes, et c’est précisément pour cela que cet outil doit arriver sur la table de la direction.

Ce que dit la loi.

Les articles 60 à 63 de la loi sur la protection des données prévoient des amendes de 250 000 francs au plus contre les « personnes privées ». Est punissable celui qui fournit intentionnellement des renseignements inexacts ou incomplets, ou qui omet intentionnellement d’informer la personne concernée lors de la collecte de ses données. De même celui qui, intentionnellement, communique des données à l’étranger sans que les conditions soient remplies, confie un traitement à un sous-traitant sans que les conditions de l’article 9 soient remplies, ou ne respecte pas les exigences minimales en matière de sécurité des données. S’y ajoutent la révélation intentionnelle de données secrètes connues dans l’exercice d’une profession et l’insoumission à une décision du PFPDT.

La plupart de ces infractions ne sont poursuivies que sur plainte, par exemple lorsqu’une personne concernée dépose plainte pénale. La poursuite relève des cantons, pas du PFPDT. Celui-ci peut toutefois dénoncer les faits et exercer dans la procédure les droits d’une partie plaignante. La poursuite pénale se prescrit par cinq ans.

Et l’entreprise ?

L’entreprise ne paie qu’à titre exceptionnel. Selon l’article 64, l’autorité peut condamner l’entreprise à la place des personnes responsables lorsque l’amende entrant en ligne de compte ne dépasse pas 50 000 francs et que la recherche de ces personnes exigerait des mesures d’instruction disproportionnées. Sinon, ce sont les règles du droit pénal administratif qui s’appliquent, et ce sont les personnes physiques qui ont agi qui sont punies.

Le commentaire en ligne de l’article 64 décrit justement la scène du début comme exemple. Une collaboratrice qui utilise sans autorisation l’outil d’un fournisseur en ligne traitant des données personnelles, sans se soucier d’un contrat de sous-traitance suffisant, se rend punissable selon l’article 61. L’article introduit en outre une forme de responsabilité du chef d’entreprise : dans certains cas, la personne supérieure qui aurait pu empêcher l’infraction peut aussi répondre. Jusqu’où cela va pour les infractions purement intentionnelles est controversé, selon ce commentaire.

L’angle mort : l’intention.

Seule l’intention est punissable. Cela paraît rassurant. Mais selon la définition générale du Code pénal, l’auteur agit déjà intentionnellement lorsqu’il tient pour possible la réalisation de l’infraction et l’accepte au cas où celle-ci se produirait. Je ne suis pas juriste et je ne juge aucun cas particulier. Mais je ne compterais pas sur un « nous ne savions pas » quand quelqu’un dans l’équipe a déjà soulevé le problème et que rien ne s’est passé.

C’est exactement là que la protection des données rencontre les outils numériques. Chaque formulaire, chaque chat, chaque automatisation et chaque outil d’IA que votre équipe met en place elle-même est un traitement de données, avec un fournisseur, un lieu et un contrat, ou sans contrat. La question n’est pas de savoir si votre équipe utilise de tels outils. La question est de savoir si quelqu’un sait lesquels.

L’outil se configure en un après-midi. La responsabilité reste à des personnes.

Ma position.

Je ne crois pas à l’interdiction des outils. Les équipes qui veulent aller plus vite les trouvent de toute façon. Je ferais plutôt en sorte que chaque outil qui touche à des données personnelles passe par un seul chemin vérifié, avec contrat, lieu de traitement et responsable désigné. Un registre des outils protège mieux votre équipe que n’importe quelle interdiction.

Ce que je vérifierais.

• Le registre des outils. Chaque système qui reçoit des données du site, d’un formulaire, d’un chat ou d’un courriel, avec fournisseur, lieu et personne responsable.
• Les contrats. Pour chaque fournisseur, un contrat de sous-traitance qui remplit les exigences de l’article 9.
• La déclaration de protection des données. Qui vous êtes, pourquoi vous traitez les données et à qui vous les communiquez, comme l’exige l’article 19.
• Le chemin des nouveaux outils. Une règle simple pour proposer un outil et savoir qui le valide.
• Le droit d’accès. Qui répond à la demande d’une personne concernée, de façon complète et en règle générale dans les 30 jours.

Par où commencer.

1. Cette semaine

   Interroger l’équipe

   Quels outils en ligne chacune et chacun utilise au quotidien, sans chercher de coupable, pour obtenir une liste complète.

2. Ce mois-ci

   Clarifier contrats et lieux

   Pour chaque outil, vérifier le contrat, le lieu du traitement et la communication à l’étranger.

3. Ce trimestre

   Fixer le chemin de validation

   Une personne responsable, une courte liste de contrôle et un délai de réponse, pour que personne ne cherche de détour.

4. Chaque année

   Revoir

   Outils, contrats et déclaration de protection des données, avec votre conseil juridique.

Écrivez le nom de la personne de votre entreprise qui a approuvé le dernier outil traitant des données de clients. Demandez-vous maintenant si cette personne sait qu’en Suisse, l’amende pourrait porter son nom et non celui de l’entreprise.

Et si personne ne l’a approuvé, parce que quelqu’un l’a simplement installé, la question devient plus intéressante : qui répond d’une décision que personne n’a prise ?

Si vous voulez que je vérifie où vont aujourd’hui les données de votre site et de vos automatisations, commencez par le Diagnostic stratégique. L’existence d’un risque pénal dans votre cas relève de votre conseiller juridique, pas d’un designer.