Clés des clients et notes d’accès dans une entreprise de nettoyage

Une entreprise de nettoyage de Winterthour s’occupe de onze ménages et de deux bureaux. Pour la plupart, elle détient une clé ; pour quelques-uns, elle sait seulement que la clé se trouve dans la boîte à clés à côté de la porte d’entrée. Les clés pendent dans une armoire du bureau, chacune avec une étiquette portant le nom de famille et la rue. Les indications pour entrer sont sur une feuille dans un classeur, et la collaboratrice qui nettoie le bureau de la Seestrasse le lundi prend elle-même la clé.

Cela fonctionne tant que tout le monde se connaît. Cela devient plus délicat quand deux personnes de plus rejoignent l’équipe, quand quelqu’un emporte une clé pour le week-end ou quand un client résilie et que personne ne sait plus si la clé a été rendue. Cet article décrit les informations qui se rejoignent ici et les manières de les gérer.

Trois informations qui en disent plus ensemble que séparément

Une entreprise de nettoyage qui travaille dans des logements et des bureaux consigne trois choses qui, prises seules, sont banales :

Information	Ce qu’elle dit seule
Adresse du lieu	où l’on nettoie
Note d’accès	comment entrer, par exemple boîte à clés ou porte
Clé et son état	qui la détient en ce moment

Ensemble, elles indiquent comment entrer dans un logement précis. C’est pourquoi de telles informations sont traitées avec plus de soin qu’une liste de prix, par exemple. Sur le plan juridique, ce sont des données personnelles : l’art. 5 let. a de la loi fédérale sur la protection des données (LPD, DSG en allemand) y range toutes les informations qui se rapportent à une personne physique identifiée ou identifiable, et une adresse de domicile avec des indications d’accès en fait partie. Le registre des clés concerne lui aussi des personnes, puisqu’il consigne quels collaborateurs ont eu une clé et quand.

Pour l’entreprise, il n’en découle rien d’extraordinaire. Les principes généraux de la LPD s’appliquent, et deux d’entre eux marquent particulièrement la gestion des clés.

Ce que la loi exige en général

Proportionnalité et finalité. Selon l’art. 6 al. 2 et 3 LPD, le traitement doit être proportionné et ne peut avoir lieu que pour une finalité déterminée et reconnaissable. Pour la note d’accès, la finalité est étroite : elle dit comment la personne du passage entre dans le lieu. Tout ce qui va au-delà, comme les habitudes des habitants ou des indications sur leur santé, n’y a pas sa place.

Sécurité des données. L’art. 8 LPD exige du responsable qu’il prenne des mesures techniques et organisationnelles appropriées au risque pour la sécurité des données. L’ordonnance sur la protection des données (OPDo, DSV en allemand) mentionne à l’art. 3 al. 1 let. a le contrôle de l’accès : les personnes autorisées ne doivent avoir accès qu’aux données personnelles dont elles ont besoin pour accomplir leurs tâches. Pour une entreprise de nettoyage, cela revient à dire que celui ou celle qui nettoie une cage d’escalier le mardi a besoin de sa note d’accès, mais pas de celles des autres lieux.

Ce qui figure dans une note d’accès

La note d’accès porte une phrase : où trouver la clé ou de quelle porte il s’agit. Certaines entreprises consignent volontairement ce qu’elles n’y écrivent pas, à savoir les codes de porte et d’alarme. Elles les transmettent à leurs collaborateurs par un autre moyen, par exemple oralement ou par téléphone. L’idée est simple : une note que plusieurs personnes lisent ne contient rien qui permette d’entrer sans autre dans un lieu.

La police a une observation sur l’endroit où l’on garde les clés. Dans sa brochure « Riegel vor! », la Prévention Suisse de la Criminalité (PSC) écrit que les cambrioleurs supposent toujours, devant un coffre à clés, qu’une clé de réserve est cachée quelque part dans la maison ; ils la cherchent et la trouvent le plus souvent. La brochure le dit à propos d’un coffre dans son propre logement, pas à propos d’entreprises de nettoyage. Elle montre toutefois que les cachettes sont considérées comme des endroits que d’autres connaissent ou trouvent. Certaines entreprises décrivent donc l’emplacement d’une boîte à clés sur la maison seulement aussi précisément que le passage l’exige.

Des numéros neutres plutôt que des noms sur la clé

L’étiquette de la clé est la partie qu’on perd le plus facilement. Si elle porte un nom et une adresse, une clé perdue est tout de suite rattachée à un lieu. Si elle ne porte qu’un numéro, par exemple « K-014 », il faut le registre pour savoir où elle va.

Un tel système comprend trois éléments :

• Le numéro. Un identifiant continu et neutre, sans nom, rue ni localité.
• Le registre. Pour chaque numéro, le lieu, le nombre de clés et la date de remise par le client.
• L’historique. Qui a pris la clé, l’a rendue ou l’a déclarée perdue, et quand, chaque fois avec la date.

L’historique répond à la question qui revient le plus souvent au quotidien : où est K-014 ? Il a aussi un second effet. Comme il contient les noms des collaborateurs, il constitue lui-même des données personnelles et relève du principe de finalité : il sert à gérer les clés, pas à surveiller le personnel.

Qui voit quoi

Dans une entreprise de cinq personnes, des besoins différents apparaissent :

Personne	A besoin de
Personnel en passage	la note d’accès du lieu où il travaille, le jour du passage
Planification	toutes les notes et le registre, pour planifier
Propriétaire	tout, avec la trace de qui a consulté quoi

Le guide du Préposé fédéral à la protection des données et à la transparence (PFPDT, EDÖB en allemand) sur les mesures techniques et organisationnelles décrit cette logique avec l’exemple des salles de serveurs : moins il y a de personnes autorisées, mieux la sécurité est assurée, et l’accès est journalisé. Une salle de serveurs n’est pas le logement d’un client, mais le raisonnement se transpose aux clés et aux notes : aussi peu de personnes que nécessaire, et une trace de qui a eu accès.

La visibilité peut aussi être limitée dans le temps. Une collaboratrice a besoin de la note le jour de son passage ; après le passage, ou après une réaffectation, elle n’en a plus besoin.

Quand un mandat se termine

L’art. 6 al. 4 LPD s’applique ici : les données personnelles sont détruites ou rendues anonymes dès qu’elles ne sont plus nécessaires au regard de la finalité du traitement. La finalité de la note d’accès est l’accès pour les passages. Quand le mandat se termine, elle disparaît.

En pratique, deux questions se posent, et on peut les séparer :

• La clé. Elle retourne au client. L’historique consigne qu’elle a été rendue, et une courte confirmation au client peut le documenter.
• La note. Elle peut être supprimée après un délai fixé, par exemple quelques semaines après la fin du mandat, pour qu’elle ne reste pas des années dans le classeur ou le système.

L’historique des remises de clés est un autre cas que la note, car il documente aussi qu’une clé a été rendue. La durée pendant laquelle une entreprise le conserve est sa propre décision. Un délai fixé peut être indiqué quand quelqu’un veut savoir combien de temps les données sont conservées.

Ce qui s’applique en cas de perte d’une clé, sur le plan contractuel et en matière d’assurance, dépend du mandat et de la police de l’entreprise. Cet article ne le traite pas.

Un ordre qui convient à l’entreprise

En bref, un ordre pour les clés des clients comprend quelques éléments : des notes qui disent seulement comment entrer, des clés à numéros neutres, un historique de qui les a eues, une visibilité selon le besoin et un délai de suppression. La LPD donne le cadre ; la mise en œuvre revient à l’entreprise et dépend de sa taille et de ses clients.

L’idée pour les entreprises de nettoyage sur laquelle nous travaillons reprend cet ordre : l’application tiendra pour chaque lieu une note d’accès qui reste masquée tant que quelqu’un ne l’affiche pas, et elle ne la montrera au personnel que le jour de son passage. Les clés recevront des numéros neutres, et chaque remise figurera dans l’historique. Quand un lieu prend fin, la note devrait être supprimée après un délai. L’application stockera les données sur une infrastructure en Suisse.