Secret professionnel et formulaires en ligne en Suisse (art. 321 CP)
Le droit de la protection des données dit comment traiter des données personnelles. L'art. 321 du Code pénal dit aux médecins, avocats, dentistes, psychologues, pharmaciens et à leurs auxiliaires que révéler ce qu'ils ont appris est une infraction pénale passible de trois ans. Il lie aussi les auxiliaires — et c'est là qu'entre votre fournisseur de logiciel. Qui est couvert (et qui ne l'est pas, comme les vétérinaires), ce que doit contenir une levée du secret valable, pourquoi un contrat de sous-traitance signé ne règle pas la question, et la seule architecture qui garde un fournisseur entièrement hors du périmètre du secret.
La plupart des discussions sur les outils de formulaires dans un cabinet médical ou une étude d'avocats se tiennent entièrement dans le vocabulaire de la protection des données : base légale, contrat de sous-traitance, communication à l'étranger. C'est le mauvais vocabulaire de départ. Avant que tout cela ne s'applique, il y a une norme pénale qui dit que le praticien ne peut pas révéler ce qui lui a été confié — et contrairement à la nLPD, elle se sanctionne par une peine privative de liberté, non par une amende administrative.
En bref
L'art. 321 du Code pénal fait de la violation du secret professionnel une infraction pénale, punie sur plainte d'une peine privative de liberté de trois ans au plus ou d'une peine pécuniaire. Il lie les auxiliaires autant que le professionnel — l'assistante médicale, le remplaçant, le secrétariat, et sans doute le prestataire informatique. La levée exige le consentement de la personne titulaire du secret ou l'autorisation écrite de l'autorité supérieure — rien d'autre, et aucun contrat avec un fournisseur n'y supplée. La question disputée est de savoir si confier des données lisibles à un prestataire cloud constitue une révélation : l'opinion dominante voit dans le prestataire un auxiliaire, donc non, sous réserve de véritables devoirs de diligence ; une opinion minoritaire sérieuse considère qu'on ne peut pas qualifier un prestataire d'« auxiliaire » dans le seul but de contourner la protection. La sortie du débat consiste à faire en sorte que le prestataire ne détienne jamais de données lisibles.
Qui est réellement lié — la liste est plus longue qu'on croit, et plus courte
L'art. 321 nomme ses professions expressément, et la liste s'est étoffée au fil des ans jusqu'à couvrir une grande partie du secteur de la santé : ecclésiastiques, avocats, défenseurs en justice, notaires, conseils en brevet, réviseurs tenus au secret par le Code des obligations, médecins, dentistes, chiropraticiens, pharmaciens, sages-femmes, psychologues, infirmiers, physiothérapeutes, ergothérapeutes, diététiciens, optométristes et ostéopathes — ainsi que leurs auxiliaires.
Deux points souvent mal compris
D'abord, « ainsi que leurs auxiliaires » n'est pas décoratif. L'assistante médicale, la secrétaire juridique, le stagiaire et le remplaçant sont personnellement exposés à la même norme pénale. Quiconque touche aux données d'admission est dans le périmètre. Ensuite, la liste est exhaustive, et certaines professions qui sembleraient y appartenir n'y sont pas — les vétérinaires, par exemple, ne sont pas nommés à l'art. 321, ni les enseignants dans la plupart des configurations (le personnel de l'école publique relève en général du secret de fonction). Leur devoir de discrétion est réel, mais il découle du mandat, des règles professionnelles et du droit de la protection des données, pas de cet article. Savoir sous quel devoir on se trouve détermine ce que coûte une violation et qui peut vous en délier.
Trois régimes voisins comptent dans le même souffle. L'art. 320 CP couvre le secret de fonction dans le secteur public. L'art. 47 LB le secret bancaire. Et pour les avocats, l'art. 13 LLCA crée un devoir de secret professionnel distinct, illimité dans le temps et étendu aux auxiliaires — un domaine de secret différent de l'art. 321 et non sa copie, ce qui compte lorsqu'une étude décide de ce qu'elle peut mettre dans un système partagé.
Ce qui compte comme révélation
L'infraction consiste à révéler un secret confié en raison de la profession ou appris dans son exercice. Trois conséquences intéressent un formulaire :
- Le fait même de la relation est secret. Que quelqu'un soit patient d'un cabinet d'oncologie ou client d'une étude pénale est protégé avant tout contenu. L'existence d'un formulaire d'admission dans une boîte donnée peut porter le secret.
- La révélation n'exige pas la publication. Rendre l'information accessible à une seule personne hors du périmètre suffit. C'est précisément pourquoi la question du fournisseur est une question de secret et non seulement de protection des données.
- L'infraction se poursuit sur plainte. En pratique, le risque se matérialise quand une relation tourne mal : un litige, une dénonciation à l'autorité cantonale de surveillance, un ancien employé mécontent. Personne ne vous audite jusqu'à un cas art. 321 ; c'est une personne qui l'ouvre.
La levée du secret — et ce que doit contenir la déclaration
Il existe exactement deux voies : le consentement de la personne titulaire du secret, ou l'autorisation écrite de l'autorité supérieure. D'où les déclarations de levée du secret — et d'où l'inutilité fréquente des modèles qui circulent : un « je délie le Dr X du secret professionnel » global n'est un consentement éclairé à rien de particulier.
Une déclaration qui résiste à une contestation est précise sur cinq points :
- Qui est délié — le praticien ou le cabinet nommément désigné, pas « l'équipe soignante » dans l'abstrait.
- Envers qui — le destinataire nommé. Une levée envers un assureur n'est pas une levée envers un employeur, et une levée envers un spécialiste n'est pas une levée envers un groupe de cliniques.
- Quoi exactement — le rapport, la période, les constats précis. « Toute information médicale » invite à plaider plus tard que le consentement n'était pas éclairé.
- Pour quelle finalité et combien de temps — une finalité qui prend fin, et une date à laquelle la levée s'éteint.
- La révocabilité — mentionnée clairement, car elle est révocable, et la personne doit le savoir en signant.
Où les levées de secret échouent en pratique
Une levée signée sous pression — au comptoir, groupée avec la prise de rendez-vous, comme condition du traitement — est exactement le consentement qui cède au moment critique. La position du PFPDT sur le consentement en situation de déséquilibre s'applique ici pleinement. Séparez la levée de l'admission : deux documents, deux moments, deux décisions. Et ne conditionnez jamais un traitement à une levée qui n'est pas strictement nécessaire à ce traitement.
Une note pratique sur la collecte numérique : une levée est un document qui doit être attribuable à une personne déterminée, conservé inaltéré et produit des années plus tard. Cela plaide pour un enregistrement signé avec horodatage plutôt qu'une case à cocher dans un tableur. Sur la capture du consentement, voir le consentement éclairé à l'ère numérique ; pour les formulaires d'admission que ces déclarations accompagnent, voir nos modèles — nous ne publions pas aujourd'hui de modèle de levée du secret, et une version passe-partout serait pire que rien.
La question du fournisseur — réellement disputée, et digne d'être comprise
Voici la question qui décide si votre formulaire en ligne pose problème : lorsque des données de patients ou de clients arrivent en clair sur un serveur tiers, le secret a-t-il été révélé ?
L'opinion dominante répond non. Un prestataire informatique ou cloud auquel on recourt pour soutenir l'activité professionnelle est traité comme un auxiliaire au sens de l'art. 321 — et les auxiliaires sont dans le périmètre, pas dehors ; ils y sont eux-mêmes liés. Selon cette vue, l'usage d'un service cloud n'est pas en soi une violation. Il s'accompagne de devoirs énoncés de manière constante dans la littérature professionnelle et cantonale : choisir soigneusement le prestataire, garantir contractuellement le secret, veiller à ce que les données ne servent qu'à l'exécution du contrat, et surveiller le respect de ces engagements dans une mesure raisonnable.
Il existe un courant dissident sérieux, à prendre au sérieux plutôt qu'à écarter. Son argument : communiquer un fait protégé à un auxiliaire peut déjà constituer une révélation, et définir un prestataire informatique comme « auxiliaire » précisément pour contourner la protection du secret n'est pas un procédé admissible. Selon cette vue, la doctrine de l'auxiliaire vise des personnes intégrées à l'activité professionnelle — l'assistante, le remplaçant — et s'étire inconfortablement appliquée à une plateforme étrangère de milliers de salariés dotée de ses propres intérêts commerciaux.
Vous n'avez pas à trancher le débat
Vous devez décider quoi faire tant qu'il n'est pas tranché. Notez que les deux positions s'accordent sur un point : l'analyse ne mord que là où le prestataire peut réellement lire les données. S'il ne détient que du texte chiffré et jamais de clé, la question de la révélation ne se pose selon aucune des deux vues — il n'y a rien à révéler. Ce n'est pas une astuce d'argumentation, c'est l'absence du fait dont on discute.
C'est aussi le raisonnement retenu par les préposés suisses à la protection des données pour les organes publics. En novembre 2025, privatim, la conférence des préposés suisses à la protection des données, a adopté une résolution sur les services cloud internationaux faisant de l'accès du fournisseur le critère décisif, avec une exception étroite lorsque l'organe chiffre lui-même les données et que le fournisseur ne détient aucune clé. Les hôpitaux publics et les institutions cantonales portent en outre l'art. 320 CP et le droit cantonal de la protection des données : cette résolution est donc l'énoncé le plus net disponible sur l'endroit où la ligne se trace. Le tableau d'hébergement complet est dans quels outils de formulaires sont hébergés en Suisse.
Pourquoi un contrat de sous-traitance signé ne règle rien
Un contrat de sous-traitance est un instrument de protection des données. Il répartit les rôles, impose des obligations de sécurité et de confidentialité et liste les sous-traitants ultérieurs. Il est nécessaire — mais il opère dans un autre système juridique que l'art. 321 et accomplit deux choses régulièrement surinterprétées :
| Ce que fait un contrat de sous-traitance | Ce qu'il ne fait pas |
|---|---|
| Lier contractuellement le fournisseur à la confidentialité et au traitement sur vos seules instructions | Vous délier du secret professionnel — seuls la personne titulaire ou l'autorité de surveillance le peuvent |
| Documenter votre position en protection des données face à une autorité | Changer si le personnel du fournisseur peut techniquement lire le contenu |
| Vous donner une prétention contre le fournisseur en cas de manquement | Empêcher le manquement, ou défaire la révélation une fois survenue |
| Nommer les sous-traitants pour que vous connaissiez la chaîne | Lier ces sous-traitants au droit pénal suisse d'une manière pratiquement utile |
Dit brutalement : un contrat de sous-traitance est une promesse plus un recours. Le secret professionnel n'est pas un domaine où un recours console beaucoup — la patiente dont le dossier a été lu ne veut pas de dommages-intérêts, et la norme pénale n'est pas satisfaite par le fait que vous aviez un bon contrat avec celui qui l'a lu. Ce à quoi un contrat sert vraiment est décrit dans avez-vous besoin d'un contrat de sous-traitance pour votre outil de formulaires ; cet article traite du devoir qui se situe au-dessus.
Un standard praticable pour un cabinet ou une étude
Écrivez sous quel devoir de secret vous êtes réellement
Art. 321 CP, art. 320 CP, art. 13 LLCA, secret bancaire, ou un devoir contractuel de discrétion. Ils diffèrent quant à qui peut vous délier et à ce que coûte une violation. Un paragraphe dans votre documentation.
Listez tout le monde dans le périmètre, auxiliaires compris
Assistantes, remplaçants, la comptabilité externe, le prestataire informatique avec accès à distance. Ils sont personnellement liés ; cela doit figurer par écrit dans l'accueil des nouveaux, pas relever de la tradition orale.
Demandez de chaque outil : le fournisseur peut-il lire ceci ?
Pas « est-ce chiffré » — tout l'est d'une manière ou d'une autre. Mais : son personnel, ses outils de support ou ses sous-traitants voient-ils le contenu ? Cette seule question trie vos outils bien mieux que tout logo de certification.
Sortez d'abord le contenu de la messagerie
La plus grosse exposition au secret, dans la plupart des cabinets, n'est pas l'outil de formulaires mais les réponses arrivant par courriel dans plusieurs boîtes et synchronisées sur plusieurs téléphones. Notifier sans contenu, lire dans le système.
Séparez la levée de l'admission
Une déclaration de levée précise, révocable et limitée dans le temps, signée comme un acte propre — jamais intégrée au formulaire de rendez-vous ni posée comme condition du traitement.
Restreignez l'accès au sein de votre équipe
Le secret est plus souvent violé de l'intérieur que de l'extérieur. Qui, dans le cabinet, peut ouvrir quelle admission — et est-ce imposé techniquement ou par convention ?
Préférez l'architecture au papier quand c'est possible
Pour les formulaires au contenu le plus sensible, choisissez un outil où le fournisseur ne peut pas lire les envois. Alors la question doctrinale disputée ci-dessus ne se pose tout simplement pas pour ces données.
La protection des données demande si vous aviez le droit de traiter. Le secret professionnel demande qui d'autre a pu voir. La seconde question a une liste de réponses acceptables bien plus courte.
L'essentiel
Si vous êtes médecin, dentiste, pharmacien, psychologue, physiothérapeute, avocat, notaire ou membre d'une autre profession nommée à l'art. 321 — ou si vous travaillez pour l'un d'eux — votre obligation de confidentialité relève du droit pénal, elle vous lie personnellement comme auxiliaire, et seuls le patient ou le client, ou l'autorité de surveillance, peuvent vous en délier.
Savoir si déposer des données lisibles de clients sur une plateforme tierce constitue une révélation reste réellement disputé. Vous pouvez suivre ce débat pendant des années, ou le rendre sans objet pour vos formulaires les plus sensibles en choisissant un outil qui ne détient jamais de données lisibles. La seconde option coûte moins cher, se défend aujourd'hui, et possède la propriété utile de rester juste quelle que soit l'issue doctrinale.
Schweizerform chiffre les réponses dans le navigateur du répondant avant l'envoi ; nous détenons du texte chiffré et aucune clé — il n'existe de notre côté aucune copie lisible à révéler. Les envois chiffrés sont stockés en Suisse. Voir les cas d'usage prise en charge avocat, santé, psychothérapie et cabinet dentaire, et ce qui se passe quand l'État demande pour le volet réquisitions.
Avertissement : cet article est une information générale et un contenu marketing, non un conseil juridique, et ne crée aucune relation mandant-mandataire. Les renvois aux art. 320 et 321 CP, à l'art. 47 LB, à l'art. 13 LLCA, à la nLPD et à la résolution privatim de novembre 2025 sont des résumés simplifiés d'un état vérifié en juillet 2026. Le traitement des prestataires informatiques comme auxiliaires est une question doctrinale disputée, présentée ici comme telle — prenez un conseil juridique suisse sur vos propres dispositions avant de vous fier à l'une ou l'autre position. La pratique cantonale de surveillance varie.