Les courtiers et les fiduciaires gèrent en permanence des données clients qui vont bien au-delà du nom et de l'adresse : situation de revenu, informations de santé dans les dossiers d'assurance, éléments de fortune, parfois même extraits de poursuites. Depuis l'entrée en vigueur de la loi révisée sur la protection des données (nLPD), de nombreux petits et moyens bureaux se posent les mêmes questions : quelles données sont réellement considérées comme particulièrement sensibles ? Que signifie concrètement une « sécurité des données appropriée » dans le quotidien d'un bureau de courtage ou fiduciaire ? Et où commence la propre responsabilité dans le traitement des données personnelles ? Cet article fait le point sur les principaux éléments – à titre d'orientation, et non comme un conseil juridique pour un cas particulier.
Quelles données clients sont particulièrement sensibles
La loi sur la protection des données distingue les données personnelles « ordinaires » des données personnelles particulièrement sensibles. La seconde catégorie comprend notamment les informations relatives à la santé – par exemple dans le cadre d'assurances d'indemnités journalières en cas de maladie, d'assurances-vie ou d'assurances complémentaires. D'autres informations, comme les extraits de poursuites ou une situation de fortune détaillée, ne relèvent pas obligatoirement de cette catégorie légale, mais exigent elles aussi, dans la pratique, une vigilance accrue. Lorsque des données particulièrement sensibles sont traitées, les exigences en matière de restriction d'accès, de sécurité des données et de documentation sont plus strictes que pour de simples coordonnées.
Concrètement, cela signifie que toutes les collaboratrices n'ont pas besoin d'accéder à chaque dossier, et qu'une simple pièce jointe par e-mail contenant un questionnaire de santé n'est que rarement le mode de classement approprié. Qui structure clairement ses dossiers et règle l'accès par client de manière traçable a déjà franchi une étape importante.
Les principes de base en bref : finalité, sécurité, conservation
- Limitation de la finalité : les données ne peuvent être traitées que dans le but pour lequel elles ont été collectées. Un dossier ouvert pour une assurance maladie n'autorise pas à réutiliser sans autre les mêmes informations pour une offre de vente croisée indépendante.
- Sécurité des données : la loi exige des mesures techniques et organisationnelles appropriées, adaptées au risque que présentent les données traitées. Cela comprend typiquement le chiffrement, un accès contrôlé et la possibilité de retracer ultérieurement qui a consulté quoi.
- Conservation et suppression : les données personnelles ne devraient pas être conservées plus longtemps que nécessaire. Il convient de respecter les délais de conservation usuels dans la branche et prévus par la loi ; passé ce délai, les documents doivent être systématiquement supprimés ou correctement archivés.
- Transparence : les clientes et clients doivent pouvoir savoir qui traite leurs données et dans quel but – une déclaration de protection des données compréhensible en fait partie.
Votre responsabilité – y compris envers les prestataires externes
Pour leurs propres mandats, les courtiers et fiduciaires agissent en règle générale eux-mêmes en tant que responsables du traitement : ce sont eux qui décident quelles données sont collectées et dans quel but. Dans le même temps, la plupart des bureaux utilisent des outils externes – du programme de messagerie au portail client – qui traitent des données pour leur compte. Qui fait appel à de tels prestataires reste responsable vis-à-vis de ses propres clients et devrait veiller à ce que les systèmes utilisés soient hébergés en Suisse, chiffrent les données et séparent clairement les mandats les uns des autres. La question de savoir si un contrat de sous-traitance est en plus nécessaire dans un cas concret, et comment qualifier précisément sa propre situation, dépend des détails – en cas de doute, il vaut la peine de consulter un ou une spécialiste.
Comment un portail client sécurisé facilite la mise en œuvre
Bon nombre des exigences mentionnées ci-dessus sont difficiles à respecter durablement avec de simples règles organisationnelles – un document sensible a tôt fait d'atterrir dans la mauvaise boîte e-mail ou sur un appareil privé. Un portail client sécurisé allège nettement cette charge : les clients transmettent leurs documents directement via une check-list de demandes plutôt que par pièce jointe, chaque validation de dossier se fait de manière numérique et traçable, et un journal des accès permet de savoir a posteriori qui a consulté quel dossier et à quel moment.
La séparation technique entre les mandats est tout aussi importante : chaque client ne voit que ses propres documents, et chaque collaboratrice uniquement les dossiers dont elle est responsable. Combinée à un hébergement exclusivement en Suisse et à un chiffrement systématique, cette approche permet de couvrir au quotidien une grande partie des exigences de sécurité des données de la nLPD, sans que chaque collaboratrice doive connaître les détails du texte de loi.
Un portail client bien structuré ne remplace pas un conseil juridique – mais il rend la mise en œuvre technique des devoirs de diligence sensiblement plus simple.
Un premier pas pour votre bureau
finra est un portail client suisse destiné aux bureaux de courtage et fiduciaires, qui réunit en un seul endroit dossiers, contacts, contrats et échéances – hébergé exclusivement en Suisse, avec séparation des mandats, chiffrement et un journal des accès par dossier. Si vous souhaitez examiner comment cela pourrait s'appliquer à votre bureau, vous pouvez tester finra gratuitement pendant 30 jours – sans carte de crédit, avec des tarifs dès CHF 29 par mois.