Minimisation des données en PME : collecter moins, gérer moins

Un salon de coiffure à Neuchâtel tient un fichier clients depuis des années. Au début : le nom et le numéro de téléphone. Puis sont venus l’adresse pour la carte de Noël, la date de naissance pour un rabais d’anniversaire, la profession parce que quelqu’un trouvait cela utile, et une colonne « remarques » où figure désormais aussi qui est enceinte et qui a une maladie de peau. Personne ne l’a prévu ainsi. Chaque colonne a eu, un jour, sa raison.

C’est ainsi que grandissent les fichiers dans les petites entreprises : non par intention, mais par occasion. La loi fédérale sur la protection des données (LPD) leur oppose une idée étonnamment libératrice au quotidien — seulement ce que la finalité exige.

Ce que la LPD entend par proportionnalité

Les principes figurent à l’art. 6 LPD, et trois d’entre eux s’emboîtent.

Proportionné. Le traitement doit être conforme au principe de la bonne foi et proportionné (art. 6, al. 2, LPD). Le Préposé fédéral à la protection des données et à la transparence (PFPDT) l’explique ainsi dans un aide-mémoire : ne pas collecter plus de données que nécessaire et ne pas les utiliser plus que nécessaire. Le principe vise donc la collecte comme l’utilisation.

Lié à une finalité. Les données personnelles ne peuvent être collectées que pour une finalité déterminée et reconnaissable pour la personne concernée, et traitées seulement de manière compatible avec cette finalité (art. 6, al. 3, LPD).

Limité dans le temps. Elles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement (art. 6, al. 4, LPD).

S’y ajoute un devoir souvent oublié : celui qui traite des données doit s’assurer qu’elles sont exactes et prendre les mesures appropriées pour que les données inexactes ou incomplètes soient rectifiées ou effacées (art. 6, al. 5, LPD). Chaque colonne de plus est aussi une colonne qui doit être juste.

Le terme « minimisation des données » ne figure pas tel quel dans la LPD. C’est le raccourci de ce que ces trois alinéas signifient ensemble.

Collecter moins : la question du « pour quoi faire ? »

Le lieu le plus simple pour minimiser, c’est le moment où les données naissent : le formulaire, la fiche client, la feuille d’inscription. Le PFPDT donne un exemple parlant dans son aide-mémoire sur les formulaires de patients. La collecte systématique d’indications comme le nom de jeune fille, l’état civil, la nationalité, le téléphone professionnel, la profession et le nom de l’employeur n’est en principe pas nécessaire. Cela ne signifie pas qu’elles ne puissent jamais être demandées — la profession peut compter en cas de mal de dos. Ce qui pose problème, c’est la collecte systématique.

Cette distinction vaut pour toute entreprise. Pour chaque champ, une question aide : à quoi cela nous sert-il, et en avons-nous besoin pour tout le monde ?

Champ du fichier	Raison habituelle	La question derrière
Téléphone	Déplacer un rendez-vous	Est-il nécessaire, ou l’e-mail suffit-il ?
Adresse postale	Carte de Noël	La personne souhaite-t-elle du courrier, ou est-ce saisi par défaut ?
Date de naissance	Rabais d’anniversaire	Le jour et le mois suffisent-ils, et seulement si elle le souhaite ?
Profession	« ça peut servir »	Y a-t-il une finalité concrète et reconnaissable ?
Remarques libres	Aide-mémoire	Qu’y a-t-il d’écrit, et la personne serait-elle d’accord ?

La dernière ligne mérite l’attention. Dans les champs libres atterrissent souvent des indications que la loi qualifie de sensibles, comme les données sur la santé (art. 5, let. c, LPD). Personne n’a décidé de les collecter — elles sont simplement là. Un champ libre est donc celui qu’il vaut le plus la peine de relire de temps en temps.

Ne pas garder plus longtemps que nécessaire

Le second lieu, c’est la fin. Les données dont la finalité est atteinte sont détruites ou anonymisées (art. 6, al. 4, LPD). La loi ne fixe pas de délai, parce que le délai dépend de la finalité.

Là où d’autres lois exigent une conservation, elles s’appliquent. La plus connue se trouve dans le Code des obligations : les livres et les pièces comptables, ainsi que le rapport de gestion et le rapport de révision, sont conservés pendant dix ans (art. 958f, al. 1, CO). La facture d’une cliente en fait partie, sa couleur préférée non.

En pratique, la conservation devient vite indifférenciée : comme la comptabilité reste dix ans, tout reste dix ans. La question inverse aide — qu’est-ce qui doit rester pour une raison précise, et combien de temps ? Tout le reste a une date d’échéance, même si personne ne l’a encore fixée.

Utiliser moins : paramètres par défaut et accès

La minimisation ne concerne pas seulement les données qui existent, mais aussi qui les voit et à quoi elles servent. La LPD oblige le responsable à garantir, par des paramètres par défaut appropriés, que le traitement soit limité au minimum requis par la finalité, pour autant que la personne concernée n’en dispose pas autrement (art. 7, al. 3, LPD). Et il doit en tenir compte dès la conception (art. 7, al. 1, LPD).

Au quotidien d’une petite entreprise, cela signifie par exemple :

• La case de la newsletter reste vide jusqu’à ce que la personne la coche elle-même.
• L’aide à l’accueil voit les rendez-vous et les noms, mais pas les remarques.
• Un export fournit les colonnes nécessaires à la finalité, pas tout le tableau.

Les employeurs connaissent la même idée. Dans sa FAQ, le PFPDT renvoie à l’art. 328b CO, selon lequel seul est permis le traitement de données qui portent sur les aptitudes du travailleur à remplir son emploi ou qui sont nécessaires à l’exécution du contrat de travail — l’employeur ne doit traiter que les données nécessaires.

Moins de données, moins de travail

La minimisation est souvent perçue comme une contrainte. Pour une petite entreprise, c’est plutôt l’inverse, car presque chaque obligation de la LPD croît avec la quantité de données.

Sécurité des données. Les responsables garantissent une sécurité adaptée au risque (art. 8, al. 1, LPD). Ce qui n’est pas enregistré n’a pas besoin d’être protégé.

Droit d’accès. Toute personne peut demander si des données la concernant sont traitées (art. 25, al. 1, LPD). Un fichier léger se parcourt plus vite et s’explique plus facilement.

Exactitude. Chaque indication doit être juste ou corrigée (art. 6, al. 5, LPD). Moins d’indications, moins d’entretien.

Violations de la sécurité des données. Si quelque chose se perd ou parvient à des personnes non autorisées, la nécessité d’annoncer au PFPDT dépend de la probabilité d’un risque élevé pour les personnes concernées (art. 24, al. 1, LPD). Une liste de noms et de rendez-vous n’est pas une liste de remarques sur la santé.

Par où commencer

Mettre de l’ordre dans un fichier est rarement un projet ; plutôt une heure avec un café. Le salon de Neuchâtel pourrait procéder ainsi :

1. Lister les champs du fichier et noter la finalité à côté de chacun. Les champs sans finalité disparaissent.
2. Relire les remarques et retirer ce dont le travail n’a pas besoin — surtout les indications de santé que personne n’a collectées sciemment.
3. Fixer pour chaque type de données sa durée de conservation, en séparant la comptabilité du suivi clientèle.
4. Adapter la feuille d’inscription ou le formulaire en ligne pour qu’il ne demande plus que ce qui reste.

Pour les particuliers, l’idée joue dans l’autre sens : quand un formulaire demande beaucoup d’indications, on peut demander pourquoi. Des champs obligatoires sans rapport avec l’affaire en sont l’occasion.

Nous construisons nos applications selon le même principe : ne collecter que ce dont une application a besoin pour sa tâche. C’est l’une des raisons pour lesquelles chacune de nos applications fait exactement une chose.