Protection des données pour les factures : ce qu’exige la LPD suisse

Une facture contient des données personnelles : noms, adresses, parfois davantage. La loi suisse sur la protection des données (nLPD) fixe les règles de leur traitement.

Ce que contiennent les factures

Les noms des clients, leurs adresses, leurs coordonnées et leurs informations de paiement sont autant de données personnelles. Vous êtes responsable de la manière dont ces données sont collectées, conservées et protégées.

Une facture contient couramment un nom, une adresse, un e-mail et des informations de paiement. En vertu de la loi suisse révisée sur la protection des données, tout cela constitue des données personnelles.

La définition des données personnelles est large : toute information se rapportant à une personne identifiée ou identifiable. Vos factures en regorgent, et c’est pourquoi la loi s’applique.

La responsabilité vous incombe en tant que responsable du traitement. La manière dont vous collectez, conservez, protégez et, au final, supprimez ces données relève de votre obligation légale, pas d’une simple politesse facultative.

• Noms et adresses.
• Coordonnées.
• Informations de paiement.

Vos obligations

Ne collectez que ce dont vous avez besoin, protégez les données contre tout accès non autorisé et supprimez-les lorsque vous n’en avez plus besoin, sous réserve de l’obligation de conservation de 10 ans des pièces comptables.

Le principe de minimisation des données signifie que vous ne devez conserver que les données personnelles réellement nécessaires à votre facturation. Les champs superflus sont autant de risques supplémentaires.

Protégez les données par des contrôles d’accès, de sorte que seules les personnes qui en ont besoin puissent les consulter. Un dossier non chiffré accessible à tous est une violation en puissance.

La suppression est requise dès que les données ne sont plus nécessaires, mais le droit comptable vous oblige à conserver les factures pendant 10 ans. L’obligation de conservation prime sur le devoir de suppression durant cette période.

• Ne collectez que le nécessaire.
• Protégez contre les accès non autorisés.
• Supprimez lorsque ce n’est plus nécessaire (après les délais de conservation).

Mesures pratiques

Utilisez des systèmes de facturation et de stockage qui appliquent des contrôles d’accès et une journalisation. Savoir qui a consulté un enregistrement participe à démontrer que vous protégez les données.

Envoyez les factures et les documents de paiement par des canaux sécurisés plutôt que par simple e-mail non chiffré lorsque c’est possible. Le chiffrement ou un portail client sécurisé est le choix par défaut le plus sûr.

Formez toute personne qui manipule des factures aux règles de base. La plupart des manquements à la protection des données sont des négligences humaines, pas des vulnérabilités techniques.

• Utilisez des systèmes dotés de contrôles d’accès.
• Envoyez par des canaux sécurisés.
• Formez toute personne manipulant des factures.

Gérez les demandes et les violations

La LPD révisée confère aux personnes des droits sur leurs données et vous impose d’y répondre. Sachez comment réagir lorsqu’un client s’interroge sur ses données.

Un client peut demander quelles données personnelles vous détenez à son sujet et en exiger la correction ou la suppression, sous réserve de vos obligations légales de conservation. Mettez en place un processus simple pour répondre à ces demandes.

Si une violation de données touche des données de facturation, la loi peut vous imposer de la signaler. Prévoyez qui notifier et quand, plutôt que d’improviser pendant un incident.

Gardez votre effort de protection des données proportionné à votre taille. Une petite entreprise a besoin d’habitudes claires et d’un registre de traitement de base, pas d’un service de conformité complet.