Checklist de conformité nLPD pour formulaires et sondages

La plupart des articles sur la nLPD expliquent la loi. Celui-ci suppose que vous les avez lus et que vous devez désormais prouver quelque chose. C'est la liste qu'un contrôleur déroule lorsqu'il s'installe devant l'un de vos formulaires en ligne : treize vérifications, la disposition qui les fonde et la pièce précise qu'on vous demandera de produire. Si vous répondez aux treize par un document plutôt que par une opinion, un contrôle suisse de protection des données ne vous réserve aucune surprise.

Le pendant explicatif de cet article est notre guide de conformité nLPD pour les formulaires en ligne, qui expose la raison d'être de chaque devoir. Ici, l'accent porte uniquement sur ce que vous devez pouvoir montrer.

La nLPD s'applique-t-elle seulement à votre formulaire ?

Presque certainement, et peut-être même si vous n'êtes pas en Suisse. La loi fédérale révisée sur la protection des données (nLPD, RS 235.1) régit le traitement de données personnelles de personnes physiques par des responsables privés et des organes fédéraux. Deux points de champ d'application piègent régulièrement. D'abord, elle saisit les états de fait qui déploient leurs effets en Suisse, quel que soit le siège du responsable : une entreprise allemande ou autrichienne exploitant un formulaire destiné à des participants suisses y est soumise. Ensuite, l'art. 14 impose au responsable privé domicilié à l'étranger de désigner une représentation en Suisse lorsque le traitement est lié à l'offre de biens et de services ou à l'observation du comportement de personnes en Suisse, qu'il est de grande ampleur, régulier, et présente un risque élevé. Selon l'art. 15, cette représentation tient le registre des activités de traitement et répond au PFPDT comme aux personnes concernées.

Points 1 à 4 : avant la mise en ligne

1. La finalité est déterminée et chaque champ la sert

L'art. 6 exige un traitement licite, effectué de bonne foi et proportionné ; les données ne peuvent être collectées que pour une finalité déterminée et reconnaissable pour la personne concernée, et traitées de manière compatible avec elle. Pour un formulaire, cela devient un test champ par champ : pour chaque question, nommez la finalité qu'elle sert. La date de naissance sur une inscription à un événement échoue le plus souvent au test, tout comme le numéro de téléphone que vous n'avez jamais composé. Preuve réclamée : la liste des champs avec une finalité par champ — et la suppression de ceux qui n'en avaient pas.

2. Vous savez nommer le motif justificatif — et ce n'est en général pas le consentement

Le droit suisse n'exige pas des responsables privés une base légale au sens du RGPD : il exige qu'une atteinte à la personnalité soit justifiée, selon l'art. 31, par le consentement, un intérêt privé ou public prépondérant, ou par la loi. L'exécution du contrat et un intérêt commercial réel portent la plupart des formulaires ordinaires. Lorsque vous vous fondez sur le consentement, l'art. 6 al. 6 exige qu'il soit donné librement pour un ou plusieurs traitements déterminés après une information adéquate, et l'art. 6 al. 7 qu'il soit exprès pour les données sensibles et le profilage à risque élevé. Preuve : un motif justificatif consigné en une ligne par formulaire ; en cas de consentement, le libellé exact, le mode de recueil et la voie de révocation.

3. Analyse d'impact là où le risque est élevé

L'art. 22 impose une analyse d'impact préalable lorsque le traitement peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux, et retient notamment le traitement à grande échelle de données sensibles ainsi que la surveillance systématique de grande ampleur de domaines publics. Un questionnaire d'admission de patients, un canal de signalement ou une grande enquête de santé s'y trouvent de plein droit. L'art. 23 règle ensuite quand consulter le PFPDT. Preuve : l'analyse elle-même — traitement prévu, évaluation des risques, mesures de protection — datée avant le lancement et non reconstituée après coup.

4. La déclaration de confidentialité dit ce qu'exige l'art. 19

L'art. 19 vous oblige à informer adéquatement la personne concernée de la collecte, en indiquant au minimum l'identité et les coordonnées du responsable, la finalité et, le cas échéant, les destinataires ou catégories de destinataires. L'art. 19 al. 4 ajoute l'exigence que presque tout le monde oublie : en cas de communication à l'étranger, il faut indiquer aussi l'État et, s'il y a lieu, les garanties de l'art. 16 al. 2 ou la dérogation de l'art. 17 invoquée. Preuve : la déclaration liée depuis le formulaire lui-même — et non enfouie à trois clics sur le site institutionnel — nommant le pays de votre prestataire. Le manquement au devoir d'informer est punissable selon l'art. 60 d'une amende pouvant atteindre 250 000 francs.

Points 5 à 7 : les pièces à produire sur demande

5. Registre des activités de traitement — et l'exemption PME que vous n'avez probablement pas

L'art. 12 impose au responsable et au sous-traitant de tenir chacun un registre de leurs activités de traitement, comprenant au minimum l'identité du responsable, la finalité, une description des catégories de personnes concernées et de données traitées, les catégories de destinataires, si possible la durée de conservation ou les critères pour la déterminer, si possible une description générale des mesures de sécurité de l'art. 8 et — en cas de communication à l'étranger — l'État ainsi que les garanties de l'art. 16 al. 2.

6. Un contrat de sous-traitance pour chaque prestataire de la chaîne

L'art. 9 permet la délégation à un sous-traitant par contrat ou par la législation, pour autant que les données soient traitées uniquement comme vous pourriez le faire vous-même et qu'aucune obligation légale ou contractuelle de garder le secret ne l'interdise ; il vous impose de vous assurer que le sous-traitant peut garantir la sécurité. L'art. 9 al. 3 exige votre autorisation préalable avant toute délégation ultérieure. Preuve : le contrat, la liste des sous-traitants ultérieurs dans son état au moment de votre accord — et la même chose pour le service de courriel, le stockage de fichiers et toute fonction d'IA. Le détail figure dans notre guide du contrat de sous-traitance pour les outils de formulaires.

7. Une base nommée pour chaque transfert à l'étranger

L'art. 16 al. 1 autorise la communication à l'étranger lorsque le Conseil fédéral a constaté une protection adéquate — annexe 1 de l'ordonnance. À défaut s'appliquent les garanties de l'art. 16 al. 2 ou, dans des cas particuliers, les dérogations de l'art. 17. L'art. 61 let. a punit le transfert illicite d'une amende pouvant atteindre 250 000 francs prononcée contre la personne responsable. Preuve : pour chaque prestataire, son pays et l'instrument invoqué, cohérents avec votre déclaration de confidentialité. Notre guide des transferts à l'étranger déroule le test.

Points 8 à 10 : la sécurité et les devoirs de documentation qui la sous-tendent

L'art. 8 impose au responsable et au sous-traitant d'assurer une sécurité adéquate au risque par des mesures techniques et organisationnelles, et l'art. 7 exige la protection des données dès la conception et par défaut, dès la planification. L'ordonnance rend les deux concrets — et c'est là qu'un contrôleur techniquement compétent passe son temps.

1. 8. Besoin de protection déterminé, mesures ajustées. L'art. 1 OPDo impose de déterminer le besoin de protection des données et de définir les mesures appropriées au risque, apprécié selon la nature des données et la finalité, la nature, l'étendue et les circonstances du traitement. L'art. 2 OPDo fixe les quatre objectifs : confidentialité, disponibilité, intégrité et traçabilité. L'art. 3 OPDo nomme les contrôles — contrôle de l'accès aux données, contrôle de l'accès aux locaux, contrôle des utilisateurs, et mesures de disponibilité et d'intégrité. Preuve : une courte appréciation écrite par catégorie de formulaires et une description de sécurité qui se met en regard de l'art. 3.
2. 9. Journalisation là où l'art. 4 OPDo l'exige. Lorsque des données sensibles sont traitées de manière automatisée à grande échelle, ou qu'un profilage à risque élevé est effectué et que les mesures préventives ne suffisent pas, l'enregistrement, la modification, la lecture, la communication, l'effacement et la destruction doivent être journalisés. Preuve : la configuration des journaux, leur durée de conservation et la personne qui les examine.
3. 10. Règlement de traitement là où l'art. 5 OPDo l'exige. Le responsable privé et son sous-traitant privé doivent établir un règlement pour les traitements automatisés lorsqu'ils traitent des données sensibles à grande échelle ou pratiquent un profilage à risque élevé, portant sur l'organisation interne, la procédure de traitement et de contrôle et les mesures de sécurité — tenu à jour et mis à disposition du conseiller à la protection des données désigné selon l'art. 10. Preuve : le document, avec une date de révision de moins d'un an.

Points 11 à 13 : pendant que le formulaire tourne

11. La conservation est une décision, la suppression se prouve

L'art. 6 al. 4 impose de détruire ou d'anonymiser les données personnelles dès qu'elles ne sont plus nécessaires à la finalité du traitement. Cette obligation ne connaît ni délai de grâce ni exception « on pourrait en avoir besoin un jour », et c'est le point que ratent le plus souvent les organisations dont le reste du dossier est irréprochable. Les réponses s'accumulent dans la plateforme, dans le tableur lié, dans les notifications par courriel et dans des exports sur des portables. Preuve : une durée par catégorie de formulaires, le mécanisme qui l'applique et la preuve qu'une cohorte passée a effectivement été supprimée — sauvegardes comprises, avec leur durée de rétention indiquée. Notre article sur la conservation des données de formulaires explique comment fixer les durées.

12. Vous répondez à une demande d'accès en 30 jours

L'art. 25 donne à toute personne le droit de savoir si des données la concernant sont traitées et d'obtenir les informations nécessaires à l'exercice de ses droits — les données elles-mêmes, la finalité, la durée de conservation ou ses critères, l'origine, les destinataires, et les informations de l'art. 19 al. 4 sur les transferts. Le renseignement est gratuit (art. 25 al. 6), on ne peut pas renoncer d'avance à ce droit (art. 25 al. 5) et le recours à un sous-traitant ne vous en libère pas (art. 25 al. 4). L'art. 25 al. 7 fixe en règle générale 30 jours, et l'art. 18 OPDo précise : 30 jours dès réception de la demande, avec obligation d'informer la personne et d'indiquer un nouveau délai si vous ne pouvez pas tenir. L'art. 28 ajoute le droit à la remise dans un format électronique courant ou au transfert, lorsque le traitement est automatisé et repose sur le consentement ou un contrat. Preuve : une personne responsable, une procédure écrite et le journal des demandes passées avec des dates montrant que le délai a été tenu.

13. Un processus d'annonce qui commence avant l'incident

L'art. 24 al. 1 impose au responsable d'annoncer au PFPDT dans les meilleurs délais toute violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux, en indiquant au minimum la nature de la violation, ses conséquences et les mesures prises ou prévues. L'art. 24 al. 3 oblige votre sous-traitant à vous annoncer une violation dans les meilleurs délais — un devoir légal, pas seulement contractuel. L'art. 24 al. 4 règle l'information de la personne concernée. Preuve : la procédure écrite avec noms et contacts hors heures de bureau, l'engagement de notification de votre prestataire et le modèle d'évaluation que vous rempliriez dès la première heure. L'interaction avec le chiffrement est traitée dans notre article sur la notification des violations et le chiffrement.

Le tableau des preuves

La version condensée. Imprimez-la, remplissez la troisième colonne avec un emplacement de fichier, et les lacunes sautent aux yeux.

Les cinq défaillances qui font réellement couler un contrôle

• Des documents qui décrivent un système que vous n'exploitez plus. Un registre mentionnant un outil abandonné il y a dix-huit mois est pire que pas de registre : il prouve que le processus n'est pas entretenu.
• Des réponses au niveau de l'entreprise à des questions au niveau du formulaire. « Nous avons une politique de confidentialité » ne dit pas ce que collecte le formulaire de candidature, qui le reçoit ni combien de temps il est conservé.
• La conservation comme intention. Une durée annoncée que personne n'applique, avec quatre années de réponses encore dans le compte et dans un tableur lié.
• Des champs libres qui relèvent discrètement la classe de risque. Une seule case « autre chose à nous signaler ? » sur un formulaire d'inscription transforme un traitement ordinaire en traitement de données de santé — ce qui change d'un coup les réponses sur l'analyse d'impact, le registre et le règlement de traitement.
• Présumer que l'exemption PME s'applique. L'art. 24 OPDo est une exemption conditionnelle, et les données sensibles à grande échelle la font tomber. C'est le faux négatif le plus fréquent dans les auto-évaluations des PME suisses.

Un premier passage en 90 minutes

Si la liste complète dépasse ce que vous pouvez entreprendre aujourd'hui, cette séquence vous mène en un après-midi de « aucune idée » à un plan de travail défendable.

Une plateforme à connaissance nulle raccourcit-elle cette liste ?

Elle raccourcit certains points et n'en supprime aucun. Vous devez toujours le test de finalité, le motif justificatif, la déclaration de confidentialité, le registre, le contrat de sous-traitance, la décision de conservation et la procédure d'accès — le chiffrement de bout en bout n'est pas une dispense, et tout fournisseur qui le laisse entendre en fait trop.

Ce qu'il change, c'est le poids de trois vérifications. L'appréciation de sécurité raccourcit, parce que l'objectif de confidentialité de l'art. 2 OPDo est atteint par l'architecture plutôt qu'en faisant confiance aux contrôles d'accès du prestataire. L'analyse des transferts se simplifie, parce que ce qui quitte votre maîtrise est du texte chiffré et non du contenu lisible. Et le processus d'annonce change de forme, puisqu'un incident chez le prestataire expose des données que personne ne peut lire — une autre discussion sous l'art. 24. Là où la plateforme ne peut rien pour vous, c'est la discipline de conservation et la réponse aux demandes d'accès : cela reste à vous, et aucune architecture ne le fait à votre place.

En résumé

La conformité nLPD des formulaires n'est pas un certificat et il n'existe aucune « déclaration de conformité » à déposer : la Suisse ne connaît pas d'enregistrement de ce type pour les traitements ordinaires de formulaires. Ce qui existe, c'est une position probatoire : treize questions, chacune susceptible d'être appuyée par un document, par activité de traitement. Les organisations qui échouent à un contrôle ont rarement mal lu un article ; elles échouent parce que personne n'a pu produire le registre, la preuve de suppression ou l'analyse datée au moment où on l'a demandée.

Commencez donc par le formulaire qui vous mettrait le plus mal à l'aise, déroulez les treize points et notez ce qui manque. Puis supprimez les champs dont vous n'avez jamais eu besoin : le chemin le plus rapide à travers une checklist de conformité consiste à avoir moins de choses à rendre conformes.