Nouvelle LPD : la preuve ouvre le marché

Le contrat semblait proche. Le produit répondait au besoin, le prix était accepté et l’équipe commerciale connaissait le prochain geste. Puis le questionnaire du donneur d’ordre est arrivé : quelles données personnelles sont traitées, dans quels pays, par quels sous-traitants, pendant combien de temps, et qui décide en cas de violation ? La politique de confidentialité existait. Les réponses, elles, étaient dispersées entre le métier, l’informatique, le fournisseur cloud et la direction. Depuis le 1er septembre 2023, la nouvelle loi suisse sur la protection des données impose de regarder précisément ce fonctionnement réel. Mais l’enjeu ne s’arrête pas à la conformité. Pour un prestataire B2B, la capacité à réunir des preuves claires peut aussi rassurer un acheteur, accélérer un référencement ou rendre accessible un marché plus exigeant. Cette lecture suit un cas concret — un traitement de données clients — depuis sa cartographie jusqu’à la décision. Elle montre ensuite comment getfishnet évaluerait une stratégie d’acquisition fondée sur la confiance, sans transformer une obligation légale en promesse de vente.

La nouvelle LPD suisse oblige l’entreprise à pouvoir expliquer ses traitements de données, attribuer les responsabilités et démontrer les mesures prises. Elle ne se résume ni à une politique de confidentialité ni à un projet terminé le jour de son entrée en vigueur.

Le Parlement a adopté la loi totalement révisée le 25 septembre 2020. Le nouveau droit est entré en vigueur le 1er septembre 2023, avec ses ordonnances d’exécution. L’Office fédéral de la justice présente cette réforme comme une adaptation de la protection des données aux usages numériques et aux flux transfrontières croissants.

Trois ans plus tard, la date reste un repère, mais elle ne décrit pas l’état d’une entreprise. Un nouveau logiciel de relation client, un portail employeur, un fournisseur cloud, un système de prospection ou une fonctionnalité d’intelligence artificielle peuvent modifier les données collectées, leurs destinataires et les risques. La question utile n’est donc plus « avons-nous préparé septembre 2023 ? », mais « pouvons-nous expliquer le traitement qui fonctionne aujourd’hui ? ».

Le PFPDT rappelle notamment les devoirs d’information, le droit d’accès, la protection des données dès la conception et par défaut, ainsi que l’annonce de certaines violations. Ces obligations ne s’appliquent pas toutes de manière identique à chaque situation. Elles fournissent plutôt les points de contrôle à relier aux faits : finalité, données, personnes concernées, systèmes, fournisseurs, pays, durée, risques et décision.

Le traitement à cartographier en premier est celui qui combine un changement réel, une décision proche et un risque suffisamment important pour mobiliser l’entreprise. Commencer par un flux précis évite l’inventaire abstrait qui ne débouche sur aucune action ni preuve exploitable.

Prenons un exemple simple : une société de services veut remplacer son outil de gestion commerciale. Le futur système recevra les coordonnées des prospects, l’historique des échanges, des notes de qualification et peut-être des données issues de partenaires. Une partie de l’hébergement et de l’assistance sera confiée à des fournisseurs externes. Le projet possède un budget, une date de décision et des responsables identifiables : il constitue un meilleur point de départ qu’une revue générale de tous les documents.

Lecture du schéma. La donnée n’appartient pas à l’informatique simplement parce qu’elle se trouve dans un logiciel. Le métier définit l’usage, la technique maîtrise une partie du fonctionnement, les prestataires exécutent des tâches encadrées et la direction assume les arbitrages qui dépassent une équipe.

La cartographie suit le chemin des données, pas l’organigramme. Elle commence au moment où une information entre dans le dispositif et se termine lorsqu’elle est effacée, restituée ou anonymisée. À chaque étape, elle relie l’action à une personne responsable et à une preuve accessible.

Le PFPDT précise, dans ses informations sur l’informatique en nuage, que le client reste responsable de la conformité lorsqu’il confie un traitement à un fournisseur cloud. Il doit notamment vérifier les conditions de sous-traitance, les communications à l’étranger, la sécurité, les sous-traitants ultérieurs et l’assistance en cas de demande ou d’incident. Le contrat est donc une pièce de la cartographie, pas un substitut à celle-ci.

Les données et responsabilités que la cartographie doit relier couvrent la finalité, les systèmes, les destinataires, les durées, la sécurité et les personnes qui décident. Une liste d’applications reste insuffisante si elle ne permet pas de savoir pourquoi le traitement existe et qui peut le modifier.

Un dossier exploitable répond à sept questions. Chacune prépare une décision concrète plutôt qu’une accumulation documentaire.

Cette cartographie révèle souvent une différence entre ce que l’entreprise croit faire et ce que le système permet réellement. Une durée de conservation peut être écrite sans être configurée. Un fournisseur peut être connu sans que ses propres sous-traitants le soient. Un responsable peut être nommé sans disposer du pouvoir d’arrêter le traitement.

La preuve attendue n’est pas nécessairement un long rapport. Selon la question, il peut s’agir d’un contrat, d’un paramètre, d’un journal, d’une décision datée ou d’un test. Sa valeur vient de la relation entre le fait observé, le propriétaire de la décision et l’action suivante.

La protection dès la conception change le projet numérique en intégrant la minimisation, les accès, la conservation et la sécurité avant le lancement. Les réglages par défaut doivent limiter le traitement à ce qui est nécessaire pour la finalité annoncée.

L’article 7 LPD place ainsi la protection des données dans la conception du service. Le PFPDT l’illustre clairement pour le cloud : si le service standard ne permet pas de maîtriser les risques, l’entreprise doit rechercher des mesures adaptées, choisir une autre solution ou renoncer à l’externalisation concernée.

Dans notre exemple de gestion commerciale, cette approche produit des questions très concrètes. Toutes les notes libres sont-elles nécessaires ? Un commercial doit-il voir les dossiers d’une autre région ? Les contacts sans activité doivent-ils rester accessibles indéfiniment ? Une exportation complète peut-elle être téléchargée sans alerte ? Que devient le compte d’un employé qui quitte l’entreprise ?

Le projet gagne alors un ordre de décision : éliminer les données inutiles, limiter les accès, fixer la durée, documenter les fournisseurs, tester les opérations sensibles et préparer la réponse à un incident. La conformité devient visible parce qu’elle modifie le produit et son exploitation.

Un registre ou une analyse d’impact devient nécessaire lorsque les conditions prévues par la LPD sont réunies ; leur utilité opérationnelle commence toutefois avant le seuil juridique, dès qu’un traitement important ne peut plus être expliqué, documenté ni arbitré avec fiabilité.

Le registre des activités de traitement organise notamment les finalités, catégories de personnes et de données, destinataires, durées et mesures de sécurité. Les exceptions prévues pour certaines entreprises privées empêchent d’en faire une obligation universelle sans examiner le cas. Mais même lorsqu’une exemption peut s’appliquer, une cartographie proportionnée reste utile pour piloter un projet, répondre à un client ou instruire une demande d’accès.

L’analyse d’impact relative à la protection des données intervient lorsqu’un traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux. Elle oblige à décrire le projet, apprécier le risque et examiner les mesures. Le PFPDT indique également que la nomination d’un conseiller à la protection des données est facultative pour les entreprises privées, avec des conditions précises lorsqu’elles souhaitent bénéficier des facilités prévues en matière d’analyse d’impact.

La distinction compte commercialement. Un prestataire ne doit pas vendre automatiquement une analyse lourde à partir d’un mot-clé. Il doit d’abord reconnaître le traitement, le niveau de risque, les travaux déjà disponibles et la décision attendue. Une mission courte peut parfois conclure qu’un chantier plus profond est nécessaire ; elle peut aussi éviter un audit disproportionné.

Le responsable du traitement décide après une violation de la sécurité des données, à partir des faits techniques, du contexte des personnes concernées et d’une évaluation du risque. Le sous-traitant doit l’informer rapidement et fournir les éléments disponibles ; il ne remplace pas sa décision.

Selon l’article 24 LPD, une violation susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux doit être annoncée au PFPDT dans les meilleurs délais. Les personnes concernées doivent aussi être informées lorsque cela est nécessaire à leur protection. Le guide du PFPDT publié le 23 avril 2025 distingue précisément le risque élevé qui déclenche l’annonce et le besoin de protection qui peut justifier l’information des personnes.

Lecture du schéma. La vitesse ne justifie pas une décision sans faits. L’équipe technique documente ce qui s’est produit ; le métier explique l’usage des données ; la fonction compétente prépare l’évaluation ; le responsable du traitement conserve la décision et sa justification.

Le 33e rapport d’activités 2025/2026 du PFPDT signale plus de 2 000 annonces de violations potentielles de la protection des données, 156 interventions auprès de responsables, 22 examens préliminaires et 9 enquêtes pendant l’année sous revue. Ces catégories ne forment pas un entonnoir commercial et ne mesurent pas le nombre total d’incidents en Suisse. Elles montrent néanmoins que le cadre produit désormais une pratique de surveillance concrète.

La priorisation des traitements combine l’impact potentiel et l’écart de preuve. Un traitement important mais bien maîtrisé n’appelle pas la même urgence qu’un flux sensible, mal documenté et lié à une décision imminente. Elle sert à choisir l’effort suivant, pas à prononcer seule un verdict juridique.

La matrice suivante peut être utilisée lors d’un premier atelier. Son placement est indicatif : chaque organisation doit justifier ses propres critères et ne peut pas déduire une qualification juridique de la position d’un point.

Pour placer un traitement, l’équipe examine au minimum la sensibilité, le volume, les personnes concernées, le nombre de destinataires, les communications à l’étranger, la dépendance opérationnelle, l’imminence d’un changement et la qualité des preuves. Le score ne remplace pas le jugement. Il permet de rendre l’arbitrage explicite et de comparer des dossiers sur la même base.

La matrice révèle aussi le bon format d’intervention. La zone « traiter maintenant » appelle un propriétaire, une échéance et une décision. La zone « corriger la preuve » peut relever d’un travail documentaire ou technique limité. La zone « vérifier et surveiller » exige une revue ciblée. La zone « maintenir simplement » ne justifie pas une mission lourde.

Les preuves LPD peuvent faciliter l’accès à un nouveau marché lorsqu’un acheteur, un partenaire ou un donneur d’ordre doit évaluer la fiabilité d’un fournisseur avant de lui confier des données. Elles réduisent une incertitude documentable, mais ne garantissent jamais un référencement ni une vente.

Dans une relation B2B, la confiance doit souvent être traduite en pièces vérifiables : schéma des flux, liste des fournisseurs, mesures de sécurité, règle de conservation, procédure d’incident, rôles et réponses aux demandes. La loi ne promet aucun contrat à l’entreprise qui réunit ces éléments. En revanche, l’absence de réponse peut allonger l’évaluation, provoquer des demandes supplémentaires ou rendre impossible une décision positive.

L’Office fédéral de la cybersécurité souligne dans son rapport annuel 2025 l’importance de chaînes d’approvisionnement sécurisées. Ce constat concerne la cybersécurité au sens large ; il ne transforme pas toute preuve LPD en exigence d’achat. Il confirme toutefois le déplacement de la confiance : un fournisseur n’est plus évalué uniquement sur son produit, mais aussi sur les dépendances et les risques qu’il introduit.

À partir de ce point de la lecture, la comparaison avec l’annonce des cyberattaques aux infrastructures critiques devient utile. Les deux sujets distribuent des faits entre technique, métier et direction, mais ils ne répondent pas au même déclencheur ni à la même autorité.

getfishnet construirait une acquisition fondée sur la confiance en partant des marchés visés, des preuves réellement demandées et de la capacité du partenaire à produire un premier livrable utile. La stratégie resterait à tester ; elle ne serait présentée ni comme une campagne exécutée ni comme un résultat acquis.

La première étape identifierait un moment commercial précis : appel d’offres, référencement fournisseur, entrée dans un secteur réglementé ou demande d’un grand compte. Une obligation sans acheteur, sans échéance et sans offre livrable ne constitue pas encore une opportunité d’acquisition.

La deuxième étape distinguerait trois niveaux d’offre : diagnostic court du blocage, mise en place des preuves prioritaires, puis suivi seulement si de nouveaux projets ou fournisseurs créent régulièrement des décisions. La récurrence n’est jamais ajoutée pour embellir le modèle économique.

La troisième étape confronterait l’angle au terrain avec un partenaire capable de préciser rapidement périmètre, délai, exclusions et capacité disponible. Sans cette réactivité, l’intérêt généré peut dégrader l’expérience des prospects.

Les canaux à tester dépendent du moment où la preuve devient décisive : recherche en ligne, prospection de comptes, téléphone, courriels, réseaux professionnels, partenaires, événements et contenus peuvent jouer des rôles complémentaires. Aucun canal n’est retenu par habitude ni évalué sur le seul volume de contacts.

La recherche peut révéler une demande déjà formulée. La prospection ciblée atteint les fournisseurs visant des donneurs d’ordre exigeants. Les partenaires juridiques, cyber, cloud, assurance ou logiciels peuvent détecter le changement plus tôt. Événements et contenus rendent ensuite les objections observées plus faciles à comprendre.

Lecture du schéma. Les canaux alimentent la même qualification. Le premier indicateur utile n’est pas le clic ni le rendez-vous, mais la proportion de situations où un traitement réel, une preuve manquante et une décision commerciale se rencontrent.

Le coût d’acquisition additionne médias, données, outils, production et temps humain. Il se compare à une marge attribuable, au délai d’encaissement et à la capacité de livraison. Sans ces données, getfishnet propose un test, pas un rendement.

Les résultats que l’on peut modéliser avant une campagne sont des seuils de décision, jamais des performances observées : taille du bassin accessible, taux de dossiers réellement qualifiés, valeur du premier livrable, coût maximal d’acquisition, capacité mensuelle et délai d’encaissement. Chaque hypothèse doit pouvoir être remplacée par une mesure.

Une modélisation indicative pourrait par exemple comparer trois scénarios sans leur attribuer de probabilité fictive : prudent, central et capacité maximale. Chaque scénario part du nombre de comptes réellement accessibles et descend jusqu’aux missions que le partenaire peut livrer. Les taux de réponse ou de signature ne sont intégrés qu’après avoir été mesurés par un test.

Cette discipline évite deux erreurs. La première consiste à convertir les plus de 2 000 annonces mentionnées par le PFPDT en prospects. La seconde consiste à présenter la valeur totale d’un contrat espéré comme un revenu produit par l’acquisition. Seuls les revenus signés, encaissés et attribuables peuvent valider le modèle après exécution.

Un revenu récurrent est réellement justifié lorsque de nouveaux projets, fournisseurs, traitements ou exigences d’acheteurs créent des décisions régulières que le partenaire doit préparer et suivre. Une mise à jour automatique sans travail utile ne constitue pas une offre durable.

Le suivi peut couvrir changements, nouveaux sous-traitants, questionnaires clients, exercices d’incident ou analyses d’impact. Son périmètre précise ce qui est examiné, qui décide et quel livrable est fourni.

Le client doit aussi désigner les propriétaires, signaler les changements et prendre ses décisions. Un partenaire externe ne peut pas maintenir seul une gouvernance que l’organisation n’alimente pas.

La page du marché suisse de l’IT et de la cybersécurité rassemble les autres fenêtres utiles pour distinguer protection des données, sécurité opérationnelle et obligations d’annonce. Les lectures corrélées sont ensuite proposées dynamiquement selon le marché et la décision recherchée.

La décision à retenir est de cartographier un traitement réel avant de parler de conformité ou d’acquisition. Si cette cartographie révèle une preuve manquante qui bloque une décision commerciale, getfishnet peut alors évaluer une stratégie de conquête avec le partenaire compétent.

La nouvelle LPD fournit un cadre exigeant. La confiance commerciale lui ajoute un enjeu de développement, mais uniquement lorsqu’un acheteur attend réellement les preuves et que l’entreprise peut les produire. Entre les deux se trouve le travail décisif : relier données, responsabilités, risques, documents et décision.

Cette lecture ne certifie aucune organisation et ne promet aucune vente. Elle montre comment transformer une question trop large en dossier vérifiable, puis comment décider si ce dossier mérite un test d’acquisition multicanal. Les hypothèses économiques restent indicatives jusqu’à la signature, l’encaissement et l’attribution de revenus observables.