La plupart des PME suisses ne peuvent pas répondre à une question pourtant simple : où se trouvent leurs données, chez quels sous-traitants, sous quel droit ? CRM, messagerie, comptabilité, sauvegardes — chaque outil est un sous-traitant, et chaque sous-traitant a les siens. C'est précisément ce que la LPD attend de vous : savoir. Le registre des traitements, l'encadrement de la sous-traitance et le contrôle des transferts à l'étranger reposent tous sur cette connaissance. Un premier inventaire sérieux tient en une matinée.
Pourquoi presque aucune PME n'a fait cet inventaire
Les outils s'accumulent une décision à la fois. Une messagerie à la création de l'entreprise, un logiciel comptable recommandé par la fiduciaire, un CRM adopté avec le premier commercial, une plateforme RH pour les fiches de salaire, des sauvegardes automatiques activées un soir de prudence. Chaque choix, pris isolément, était raisonnable. Dix ans plus tard, personne ne détient la carte d'ensemble — parce que la tenir n'a jamais été le travail de personne.
Le point de départ le plus fiable n'est ni la mémoire du dirigeant ni le prestataire informatique : ce sont les paiements. Chaque abonnement laisse une trace dans la comptabilité ou sur la carte de l'entreprise, et la liste qui en sort est presque toujours plus longue que celle qu'on aurait écrite de tête. En 2026, votre PME utilise le cloud — c'est acquis. Reste à savoir chez qui, où, et sous quel droit. C'est devenu ma première question de cadrage : avant tout projet d'automatisation ou d'IA, le flux de données précède le choix de l'outil.
Que recouvrent, concrètement, « les données de votre PME » ?
Quatre familles couvrent l'essentiel. Les données clients : coordonnées, historique, correspondance, parfois des éléments financiers. Les données collaborateurs : salaires, certificats médicaux, évaluations — la LPD range une partie d'entre elles parmi les données sensibles, qui appellent une protection renforcée. Les données financières et fiscales de l'entreprise elle-même. Et les documents contractuels, qui relèvent moins de la protection des données que du secret des affaires, mais qu'aucun dirigeant n'a envie de voir circuler.
La distinction a son importance : la LPD protège les données personnelles, celles qui concernent des personnes physiques identifiables. Vos secrets commerciaux ne sont pas son objet. Ils partagent pourtant les mêmes disques, chez les mêmes sous-traitants — l'inventaire sert les deux préoccupations d'un même geste.
Ce que la LPD attend de vous, dit simplement
La Loi fédérale sur la protection des données — la version révisée, entrée en vigueur le 1ᵉʳ septembre 2023, que beaucoup appellent encore nLPD — repose sur une logique que je résume ainsi : vous restez responsable des données que vous traitez, y compris quand vous les confiez à d'autres[1].
Trois mécanismes touchent directement la question de la localisation. Le registre des activités de traitement, d'abord. C'est la carte documentaire de vos données : quelles catégories, pour quelles finalités, chez quels sous-traitants, dans quels pays, avec quelles mesures de protection. La loi prévoit une dispense pour les entreprises de moins de 250 collaborateurs dont les traitements présentent un risque limité — beaucoup de PME s'y retrouvent. L'exercice n'en reste pas moins la voie la plus courte pour reprendre la main, dispense ou pas.
La sous-traitance, ensuite. Confier des données à un prestataire est licite, à condition qu'un contrat l'encadre, que le prestataire offre des garanties de sécurité suffisantes, et qu'il ne délègue pas à son tour sans votre autorisation. Ce dernier point est le plus ignoré : votre outil de facturation a un hébergeur, qui a lui-même ses fournisseurs. La chaîne existe, que vous la connaissiez ou non.
Les transferts à l'étranger, enfin. Communiquer des données personnelles hors de Suisse suppose que l'État de destination assure une protection adéquate — le Conseil fédéral en tient la liste — ou que des garanties, le plus souvent contractuelles, compensent l'écart. Impossible d'appliquer cette règle sans savoir dans quels pays vos outils hébergent : tout ramène à l'inventaire. Pour les cas particuliers, le texte fait foi ; je décris ici la mécanique, pas votre situation.
Et si l'éditeur est américain ? La question extraterritoriale, sans drame
Une partie de vos sous-traitants opère sous droit étranger, et le cas le plus discuté est américain. Une loi fédérale de 2018, le CLOUD Act, permet aux autorités des États-Unis de requérir des données auprès des fournisseurs soumis à leur juridiction — indépendamment du pays où les serveurs se trouvent. Sa portée exacte face au droit suisse fait débat entre juristes, et je me garde de trancher ce que les tribunaux n'ont pas fini de clarifier.
Ce que j'en retiens pour une PME tient en un mot : classer. La question n'est pas de fuir tout éditeur américain — vous en utilisez probablement d'excellents —, mais d'identifier les données qui supporteraient mal un accès par une autorité étrangère : salaires, données de santé, certains dossiers clients, un contentieux en cours. Pour cette catégorie-là, le lieu d'hébergement et le droit applicable à l'éditeur redeviennent des critères de premier rang. J'ai détaillé ce que la localisation change réellement — et ce qu'elle ne règle pas — dans Héberger en Suisse : ce que ça change.
Par où commencer, en une matinée ?
L'exercice ne demande aucun logiciel. Sortez les relevés de paiement des douze derniers mois, surlignez chaque abonnement logiciel ou service en ligne, puis répondez à quatre questions par outil :
- Quelles données y vivent — clients, collaborateurs, finances, contrats ?
- Où sont-elles hébergées, et sous quel droit l'éditeur opère-t-il ? La réponse figure généralement dans les conditions générales ou la politique de confidentialité.
- Qui y a accès dans l'entreprise, et les départs de collaborateurs ont-ils été suivis d'une révocation des comptes ?
- Comment en sortiriez-vous — un export complet existe-t-il, dans quel format ?
Le résultat tient dans un tableur d'une page. C'est l'embryon d'un registre des traitements, et surtout un instrument de décision : ce qui reste où c'est, ce qui mérite d'être déplacé, ce qui exige un contrat corrigé. La dernière colonne — la sortie — prépare un sujet que j'ai traité séparément dans Comment migrer ses données hors d'un SaaS sans rien casser ; la question de fond, celle de la propriété, se joue dans À qui appartiennent votre outil, votre code, vos données ?.
C'est aussi par ce travail que je commence tout cadrage de solution sur-mesure : brancher une automatisation sur des flux que personne ne cartographie, c'est construire sur un terrain dont on ignore le propriétaire. Et pour situer l'inventaire parmi les autres chantiers numériques d'une PME, le cadre d'ensemble est posé dans Que doit faire une PME suisse face à l'IA en 2026 ?.
Ce qu'il faut retenir
— Chaque outil en ligne est un sous-traitant, et vous restez responsable des données personnelles que vous lui confiez. — Registre des traitements, contrats de sous-traitance, transferts à l'étranger : les trois mécanismes de la LPD supposent de savoir où vos données se trouvent. — Une matinée et un tableur suffisent pour le premier inventaire : relevés de paiement en main, quatre questions par outil.
FAQ
Ma PME de dix personnes doit-elle tenir un registre des traitements ? La LPD prévoit que les entreprises de moins de 250 collaborateurs peuvent être dispensées du registre lorsque leurs traitements présentent un risque limité, et beaucoup de PME entrent dans ce cadre. La dispense tombe notamment quand des données sensibles sont traitées à grande échelle. Mon conseil pratique : faites l'inventaire de toute façon — il coûte une matinée et sert bien au-delà de la conformité. Pour la qualification fine de votre situation, le texte fait foi.
Un hébergeur suisse me met-il automatiquement en conformité ? Non. L'hébergement en Suisse simplifie la question des transferts à l'étranger pour cette couche précise, mais la conformité tient d'abord à vos processus : information des personnes, proportionnalité de la collecte, contrats de sous-traitance, gestion des accès. Un excellent hébergeur ne rattrape pas un mot de passe partagé depuis des années.
Qu'est-ce qu'un transfert à l'étranger au sens de la LPD ? Toute communication de données personnelles hors de Suisse — y compris leur simple hébergement sur des serveurs situés à l'étranger. Le transfert est admis vers les États dont le Conseil fédéral reconnaît le niveau de protection ; vers les autres, des garanties supplémentaires, le plus souvent contractuelles, sont requises. En cas de doute sur un pays ou un outil, référez-vous au texte et à la liste officielle.
Que risque concrètement une PME qui ne fait rien ? La LPD prévoit des amendes pouvant atteindre 250'000 CHF pour certaines violations intentionnelles, dirigées contre les personnes physiques responsables plutôt que contre l'entreprise. Le risque le plus probable reste toutefois opérationnel : être incapable de répondre à une demande d'accès, de documenter une sous-traitance, ou de sortir proprement d'un outil au moment où il le faut.
Vous ne sauriez pas dire, aujourd'hui, où dorment vos données ? Le Diagnostic d'Usage IA : soixante minutes pour poser vos flux réels, identifier ce qui mérite du sur-mesure, ce qui reste en SaaS, et ce qui n'a pas besoin d'IA du tout. Réserver un diagnostic
Sources
[1] Loi fédérale sur la protection des données (LPD), révision du 25 septembre 2020, entrée en vigueur le 1ᵉʳ septembre 2023. www.fedlex.admin.ch/eli/cc/2022/491/fr [↩]
Jérôme Deshaie est CEO et fondateur de MCVA Consulting SA, agence augmentée basée en Valais. Quinze ans au service de grandes marques internationales, désormais en direct pour les PME suisses. Parcours.