Évaluer la protection des données d'un logiciel de gestion suisse

Ce que l’on évalue réellement dans un logiciel de gestion

Un logiciel de gestion collecte au moins quatre catégories de données personnelles. La première concerne les collaborateurs : état civil, contrats, absences, salaires et communications internes. La seconde touche les clients et les fournisseurs : adresses, personnes de contact, commandes, factures et conditions contractuelles.

La troisième catégorie est constituée par les candidatures, que les déclarations suisses traitent souvent dans une section dédiée : CV, références, résultat de la sélection. La quatrième comprend des données importées de tiers, non collectées directement par l’entreprise. Les déclarations helvétiques citent des sources accessibles au public : registres du commerce, registres fonciers, registres des poursuites pour dettes, médias et Internet, y compris les réseaux sociaux.

Toujours dans cette quatrième catégorie figurent les données reçues d’autorités publiques, de l’employeur ou du mandant de la personne concernée. Un logiciel de gestion avec contrôle de solvabilité ou enrichissement des données d’état civil entre dans cette catégorie.

Le responsable du traitement est l’entreprise qui adopte le logiciel de gestion, et non l’éditeur du logiciel. Dans les déclarations suisses, le responsable est indiqué avec sa raison sociale, son adresse et un contact dédié à la protection des données. Le fournisseur du logiciel agit généralement en tant que sous-traitant pour le compte du client. Ce rôle doit être défini par écrit.

L’évaluation ne porte pas uniquement sur le produit, mais aussi sur les processus qui s’y appuient. Quels champs sont obligatoires et lesquels sont facultatifs ? Qui peut les saisir et les modifier ? Qui les exporte ? Combien de temps restent-ils dans le système ? Comment sont-ils supprimés ou bloqués sur demande ?

Avant la signature, faites-vous remettre la liste des champs traités par module ainsi que la description des procédures d’exportation et de suppression. Ce sont ces documents qui indiquent si le logiciel de gestion soutient véritablement les obligations du responsable du traitement.

LPD, OPDa et RGPD : le cadre dans lequel évolue un fournisseur suisse

Les politiques de confidentialité des fournisseurs suisses font généralement référence à la Loi fédérale sur la protection des données (LPD), à l’Ordonnance sur la protection des données (OPDa) et aux autres dispositions applicables. Parmi celles-ci figure le Règlement général sur la protection des données (RGPD) de l’UE, lorsque le traitement relève de son champ d’application.

Certaines déclarations précisent la technique rédactionnelle. Les concepts sont utilisés au sens de la LPD et, dans le cadre du RGPD, interprétés selon ce dernier. C’est un détail utile lors du comparatif des documents : un même terme, par exemple « traitement », peut être défini différemment dans les deux textes.

Pour comprendre ce que le logiciel doit savoir faire, il faut la définition opérationnelle du traitement. Selon l’art. 5 let. d LPD, cela comprend, entre autres, la conservation, l’utilisation et la suppression des données. Un logiciel de gestion qui ne permet pas de supprimer ou de limiter dans le temps une donnée ne couvre donc pas une partie de cette notion. Cela vaut indépendamment de ce que le fournisseur déclare en matière de sécurité.

Concernant les transferts, la Commission européenne a reconnu, par décision du 26 juillet 2000, que la législation suisse en matière de protection des données garantit un niveau de protection adéquat. Dans son rapport du 15 janvier 2024, la Commission a confirmé cette décision d’adéquation.

Pour une entreprise suisse ayant des clients ou des succursales dans l’UE, le cadre helvétique n’est donc pas considéré automatiquement comme déficient. Cela ne dispense pas d’une analyse. Si le RGPD s’applique directement à votre traitement dépend du cas concret. Avec le fournisseur, il convient de vérifier quelles clauses contractuelles sont prévues pour les flux de données vers l’UE et vers les pays tiers.

Comparaison des réglementations : LPD, OPDa et RGPD

PFPDT, autorités cantonales et canaux de vérification

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est une autorité indépendante. Il a des compétences en matière de protection des données et du principe de transparence.

En tant qu’autorité de contrôle pour la protection des données, il veille à ce que les organes fédéraux et les entreprises privées ne traitent pas les données personnelles de manière illégale.

En tant que responsable de la transparence, il est le centre de médiation pour l’accès aux documents officiels. Sur demande, il assure la médiation entre les particuliers et les autorités fédérales lorsque l’accès est refusé. Si aucun accord n’est trouvé, il émet des recommandations.

Il a son siège à Feldeggweg 1, 3003 Berne. Pour les questions relatives à la protection des données, une hotline est active du lundi au vendredi de 10 h à 11 h 30, au numéro 058 462 43 95. Il existe également un formulaire de contact.

Trois outils publics sont directement utilisables pour évaluer un fournisseur. Les recommandations, y compris celles selon la loi sur la transparence ; les communiqués d’actualité ; et le rapport d’activité.

Le rapport d’activité est présenté annuellement à l’Assemblée fédérale, transmis au Conseil fédéral et publié conformément à l’art. 57 LPD. Le site annonce la publication du prochain rapport pour le 30 juin 2026.

Pour les organes cantonaux et communaux, les législations cantonales s’appliquent également. Elles sont mentionnées conjointement avec la LPD dans la description des services de conseil en conformité présents sur le marché helvétique, qui mentionne aussi les communes.

Que les décisions du PFPDT touchent également la gestion quotidienne des contacts est illustré par un cas de marketing direct. Selon Privacy Desk Suisse, par décision du 17 avril 2026, devenue définitive après l’expiration du délai de recours, le PFPDT a sanctionné Cream della Cream et Philipp Plein. La sanction concerne le marketing direct et le droit d’opposition.

Celui qui évalue un logiciel de gestion avec un module campagnes ou CRM devrait vérifier comment le système enregistre les consentements et les oppositions. Il doit également contrôler si un refus reste tracé dans le temps.

Événements clés dans l’évolution de la protection des données en Suisse

Lire les mesures de sécurité déclarées par le fournisseur

Les mesures de sécurité des données personnelles dans la LPD font l’objet d’analyses spécifiques de la part de cabinets d’avocats et de consultants suisses. Dans les déclarations des fournisseurs, le sujet apparaît généralement dans une section « Sécurité des données ». C’est le premier document à lire : s’il manque ou se limite à des formules génériques, c’est déjà un critère d’exclusion.

Les points à exiger concernent la gestion des accès : profils et rôles distincts par fonction, authentification multifacteur, révocation immédiate des identifiants lorsqu’un collaborateur quitte l’entreprise.

Sont ensuite nécessaires le chiffrement des données en transit et au repos, avec indication de qui gère les clés, l’enregistrement des accès et des modifications, les procédures de sauvegarde et de restauration, la conservation et la suppression.

La vérification utile n’est pas la liste des technologies, mais la configurabilité. Peut-on définir une durée de conservation différente pour les candidatures, les clients et les données du personnel ? La suppression se propage-t-elle aussi aux copies de sauvegarde et aux services tiers connectés ? Est-il possible de savoir qui a consulté ou exporté un dossier et quand ? Les exports vers des fichiers ou des feuilles de calcul sont-ils limitables et traçables ?

Le fournisseur devrait répondre avec une documentation technique. Sur demande, il devrait fournir une annexe contractuelle qui fixe les obligations de sécurité, et non une page marketing.

Indicateurs clés pour évaluer la conformité d’un logiciel de gestion

Où finissent les données : hébergement, transferts et sous-traitants

Les déclarations suisses traitent généralement les données personnelles à l’étranger dans une section dédiée. L’emplacement des serveurs et des sauvegardes n’est pas neutre.

Les questions à poser au fournisseur sont concrètes. Dans quel pays se trouvent les serveurs de production et ceux de sauvegarde ? Où passe le trafic ? Quelles données sortent du système vers des services connectés, tels que la messagerie électronique, la facturation, l’analytique et l’assistance ? Sur quelle base juridique et avec quelles garanties contractuelles chaque transfert a-t-il lieu ?

Un hébergement déclaré en Suisse n’exclut pas qu’un sous-traitant de maintenance ou de surveillance accède aux données depuis un autre pays. Demandez la liste nominative des sous-traitants, avec emplacement et fonction. Demandez également la clause qui régit la communication des changements.

Pour les fournisseurs ayant des clients dans l’UE, la nomination d’un représentant dans l’Espace économique européen conformément à l’art. 27 du RGPD apparaît souvent. C’est un point de contact supplémentaire pour les autorités de contrôle et les personnes concernées.

Les déclarations précisent que le champ d’application couvre l’Union européenne, la Principauté du Liechtenstein, l’Islande et la Norvège. Si votre entreprise traite des données de personnes concernées dans l’UE, demandez si le fournisseur a effectué cette nomination et avec quels coordonnées. C’est un élément vérifiable, pas une déclaration de principe.

Un point de responsabilité doit être distingué. Les tiers qui transmettent à un fournisseur des données relatives à d’autres personnes doivent garantir eux-mêmes la protection des données de ces personnes concernées. Cela vaut dans les deux sens.

Si vous importez dans le logiciel de gestion des listes ou des fichiers d’état civil reçus de tiers, la responsabilité de leur licéité reste la vôtre. Si le fournisseur confie des données de votre personnel à un sous-traitant, il doit être clair qui répond d’éventuelles violations. Les délais dans lesquels le fournisseur est tenu de vous informer doivent également être clairs.

Avantages et risques d’un hébergement à l’étranger pour un logiciel de gestion suisse

Modules automatisés et intelligence artificielle dans le logiciel de gestion

La position du PFPDT est explicite. Dans une contribution du 24 septembre 2025, le Préposé souligne que la loi suisse sur la protection des données s’applique directement au traitement des données basé sur l’intelligence artificielle. Il n’existe donc pas de zone franche pour les fonctions « intelligentes » d’un logiciel de gestion.

Parallèlement, les déclarations des fournisseurs suisses ont commencé à inclure des sections dédiées à l’automatisation et à l’intelligence artificielle. Elles apparaissent à côté de celles sur la communication, les candidatures et la sécurité des données.

Traduit en questions sur le produit : quels modules utilisent l’IA ? Prévision des encaissements, scoring de clients ou de fournisseurs, classification automatique des candidatures, routage des tickets, assistants intégrés dans l’interface ? Quelles données entrent dans le modèle et où sont-elles traitées ? Les données de votre logiciel de gestion sont-elles utilisées pour entraîner des modèles du fournisseur ou de tiers ?

Le système produit-il des décisions automatisées qui ont un impact sur les employés ou les clients ? Dans ce cas, est-il possible d’obtenir une révision humaine ? Le module est-il désactivable sans perdre d’autres fonctions ? La désactivation est-elle documentée ?

Si le fournisseur ne répond pas de manière précise sur les entrées, le lieu de traitement et la réutilisation des données, la fonction doit être considérée comme non évaluable.

Déclaration de confidentialité et droits des personnes concernées : ce qu’il faut exiger

La déclaration du fournisseur doit être lue comme une liste de mentions obligatoires. Les déclarations suisses complètes indiquent l’adresse de contact du responsable et l’éventuelle représentation dans l’EEE. Elles indiquent également les termes utilisés et les bases légales du traitement, le type, l’ampleur et le but du traitement.

Suivent la communication des données à des tiers, la sécurité des données, les données personnelles à l’étranger, les droits des personnes concernées avec les revendications correspondantes et les voies de recours.

Si l’une de ces mentions manque, ou est remplacée par un renvoi générique aux conditions générales de contrat, le fournisseur n’offre pas la documentation nécessaire pour l’évaluer.

Du côté du logiciel, les droits des personnes concernées se traduisent par des fonctions vérifiables. Produire dans des délais raisonnables toutes les données attribuables à une personne — employé, client, candidat — dans un format lisible. Corriger une donnée erronée sans la réécrire manuellement dans chaque module. Supprimer ou bloquer les données qui ne sont plus nécessaires, y compris les pièces jointes et les documents numérisés. Gérer et conserver les oppositions, par exemple au marketing direct.

Ce dernier point a une concrétisation tangible. La décision du PFPDT du 17 avril 2026, devenue définitive après l’expiration du délai de recours, concerne Cream della Cream et Philipp Plein. Elle concerne précisément le marketing direct et le droit d’opposition. Un logiciel de gestion qui ne permet pas d’enregistrer durablement le refus d’un contact n’est pas adapté à ce profil.

Questions à apporter à la table avec le fournisseur

Regroupées en une liste unique, les vérifications qui comptent sont : la liste des champs traités par module, avec indication de ceux qui sont obligatoires ; la définition contractuelle des rôles entre votre entreprise en tant que responsable du traitement et le fournisseur en tant que sous-traitant ; la gestion des accès avec des profils distincts, l’authentification multifacteur et la révocation immédiate.

Sont encore nécessaires : le chiffrement en transit et au repos avec indication claire de qui détient les clés ; l’enregistrement des accès et des modifications ; des durées de conservation configurables par catégorie de données ; une suppression qui atteigne aussi les sauvegardes et les services connectés.

Demandez la liste nominative des sous-traitants avec emplacement et fonction ; l’emplacement des serveurs et des sauvegardes et la description des transferts à l’étranger ; la nomination d’un représentant dans l’EEE conformément à l’art. 27 du RGPD, si vous avez des personnes concernées dans l’UE.

Vérifiez la liste des modules qui utilisent l’IA, avec les données en entrée, le lieu de traitement et la possibilité de désactivation. Vérifiez les fonctions d’exportation, de rectification, de suppression et de gestion des oppositions.

À cela s’ajoutent deux vérifications sur le fournisseur lui-même. Comment documente-t-il ses propres mesures de sécurité, avec des annexes techniques et non avec des pages promotionnelles ? Comment vous informe-t-il en cas de violation de données, avec des délais et des canaux définis avant la signature ?

Une dernière étape de contrôle est publique et gratuite. Les communiqués, les recommandations et le rapport d’activité du PFPDT, ainsi que les publications de cabinets d’avocats et de consultants suisses qui commentent les décisions et les mesures de sécurité, fournissent des éléments indépendants. Ils doivent être comparés avec ce que déclare le fournisseur lors des négociations.

Vérifications clés à apporter à la table avec le fournisseur