Comptabilité et protection des données : faites-vous ces erreurs avec vos données commerciales ?
En comptabilité, la protection des données signifie que toutes les données personnelles que vous traitez dans le cadre de votre comptabilité doivent respecter les exigences légales. En Suisse, la nouvelle loi sur la protection des données (LPD) est en vigueur depuis 2023. Si vous ciblez spécifiquement une clientèle dans l'UE, vous devez en plus respecter le règlement général européen sur la protection des données (RGPD). Les logiciels de comptabilité dans le cloud jouent ici un rôle central, car les données sont stockées sur des serveurs externes.
Que signifie la protection des données dans la comptabilité ?
Toute personne qui tient une comptabilité traite quotidiennement des données personnelles : noms et adresses de clients et de fournisseurs, coordonnées bancaires ainsi que décomptes de salaire. La loi suisse sur la protection des données (LPD) s'applique depuis le 1er septembre 2023 à toutes les entreprises en Suisse qui traitent des données concernant des personnes, quelle que soit la taille de l'entreprise ou sa forme juridique.
L'utilisation d'un logiciel de comptabilité dans le cloud confie le stockage des données à un prestataire externe. La loi exige donc que tu règles le traitement des données par le prestataire au moyen d'un contrat (un contrat de traitement des données sous-traité) ; dans la pratique, cela se fait par écrit, et la forme écrite est même obligatoire sous le RGPD. Si le traitement des données entraîne un risque élevé pour les personnes concernées, une analyse d'impact écrite peut en outre s'avérer nécessaire. Si, malgré toutes les précautions, une violation grave de la sécurité des données survient, tu dois la signaler à l'autorité compétente.
LPD suisse ou RGPD européen : quelle loi s'applique à ton entreprise ?
La question de savoir si tu dois respecter la loi suisse sur la protection des données, les règles européennes ou les deux dépend de tes relations d'affaires.
Caractéristique | LPD suisse | RGPD européen |
|---|---|---|
Qui est concerné ? | Toutes les entreprises ayant leur siège en Suisse | En plus, si tu proposes de manière ciblée des biens ou des services à des personnes dans l'UE ou si tu y observes leur comportement |
Amendes possibles | Jusqu'à CHF 250’000 contre les personnes responsables | Jusqu'à 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros contre l'entreprise, le montant le plus élevé étant retenu |
Charge de travail | Obligations de documentation moins étendues | Davantage d'obligations de documentation et de preuve |
Stockage des données à l'étranger | Le Conseil fédéral établit la liste des pays sûrs | La Commission européenne établit la liste des pays sûrs |
Pour le stockage de données dans des pays sans niveau de protection reconnu, les deux réglementations exigent des garanties contractuelles particulières avec le prestataire. Une entreprise suisse qui s'adresse de manière ciblée à des clients dans l'UE doit respecter les deux réglementations simultanément. Cet aspect est essentiel lors du choix du logiciel et de la rédaction du contrat avec le prestataire.
Pourquoi le stockage des données en Suisse est un avantage
Le fait que tes données comptables soient stockées sur un serveur suisse ou à l'étranger a des conséquences juridiques concrètes.
Lorsque tes données sont stockées en Suisse, tu bénéficies de plusieurs avantages :
Pas de transfert transfrontalier de données pour le stockage : toute personne transmettant des données à l'étranger doit s'assurer que le pays de destination dispose d'un niveau de protection reconnu ou que des garanties contractuelles particulières sont convenues avec le prestataire. Avec un serveur situé en Suisse, cette démarche n'est pas nécessaire pour les données stockées.
Conformité simplifiée : la loi suisse sur la protection des données s'applique directement et sans détour. Aucun cadre juridique étranger ne vient ajouter d'exigences pour le lieu de stockage lui-même. L'application éventuelle du RGPD dépend du fait que tu t'adresses ou non de manière ciblée à des personnes dans l'UE, et non de l'emplacement du serveur.
Compétence claire : le Préposé fédéral à la protection des données et à la transparence (PFPDT) est compétent pour le respect de la LPD suisse. Si le RGPD s'applique également à ton entreprise parce que tu sers de manière ciblée des clients dans l'UE, des autorités de protection des données de l'UE peuvent également être compétentes, quel que soit l'endroit où tes données sont stockées.
Standards suisses de protection des données : les données stockées en Suisse sont soumises au droit suisse de la protection des données, reconnu au niveau international comme strict et fiable.
D'un point de vue technique, un serveur situé dans l'UE est également envisageable, pour autant que le pays concerné soit reconnu comme sûr par la Suisse. L'élément déterminant est que tu saches où tes données sont stockées et que cela soit clairement documenté dans la politique de confidentialité du prestataire.
Quelles données comptables sont particulièrement sensibles ?
Toutes les données d'une comptabilité ne présentent pas le même niveau de sensibilité, mais les dossiers de salaires, les coordonnées bancaires et les informations fiscales font partie des catégories les plus délicates.
Données salariales y compris les numéros AVS : les documents de salaire exigent un soin particulier. Le numéro AVS est un identifiant personnel unique et ne peut être utilisé qu'aux fins prévues par la loi.
Coordonnées bancaires des clients et des fournisseurs : les numéros de compte permettent d'effectuer des paiements directs et doivent être particulièrement bien protégés contre tout accès non autorisé.
Données de chiffre d'affaires pertinentes pour la fiscalité : ces données sont transmises aux autorités fiscales. Tant l'exactitude des données que leur protection lors de l'envoi doivent être garanties.
Données de rappel et de recouvrement : le comportement de paiement des clients constitue une information personnelle qui permet de déduire leur situation financière et doit donc être traitée de manière confidentielle.
La loi suisse sur la protection des données distingue les données personnelles ordinaires des données personnelles particulièrement sensibles. Ces dernières comprennent notamment les données sur la santé, les opinions religieuses ou les activités syndicales, ainsi que les données relatives à des poursuites et sanctions administratives ou pénales ; des règles plus strictes s'appliquent à ces catégories. Cela concerne directement ta comptabilité : traiter des données salariales liées à des maladies revient à traiter des données particulièrement sensibles. Bien que les données de recouvrement n'entrent pas dans cette catégorie légale, leur sensibilité justifie le même niveau de prudence.
Obligation de conservation et obligation d'effacement : comment les concilier ?
Le Code des obligations prescrit que les livres de commerce et les pièces comptables doivent être conservés pendant dix ans. La loi sur la protection des données exige dans le même temps que les données soient effacées dès qu'elles ne sont plus nécessaires. La contradiction entre ces deux règles n'est qu'apparente : tant que le délai légal de conservation de dix ans court, cette obligation prime. Les données doivent être conservées parce que la loi l'impose. À l'expiration de ces dix ans, ce motif disparaît et les données doivent être effacées ou modifiées de manière à ce qu'aucun lien avec des personnes ne puisse plus être établi.
L'autorité de protection des données peut intervenir en cas de non-respect des obligations d'effacement. Il est donc recommandé de définir par écrit les délais de suppression dès la mise en place d'un logiciel.
À retenir : l'obligation de conservation te protège contre une suppression prématurée. Une fois le délai expiré, la loi sur la protection des données protège les personnes concernées contre un stockage inutilement long. Un bon logiciel de comptabilité intègre cet équilibre en signalant automatiquement le besoin d'effacement après l'échéance du délai de conservation ou en anonymisant les données sans intervention manuelle.
Mesures techniques de protection pour les données comptables
La protection des données n'est pas seulement un enjeu juridique, c'est aussi une responsabilité technique. La loi sur la protection des données oblige expressément à mettre en œuvre des mesures techniques appropriées. Les cinq mesures suivantes constituent le standard minimal pour toute solution comptable dans le cloud.
Transmission chiffrée des données
Mesure : connexion chiffrée entre ton navigateur et le serveur du prestataire
Objectif : empêche l'interception des données lors de leur transfert.
Point de vigilance : la barre d'adresse de ton navigateur doit afficher « https » et un symbole de cadenas.
Authentification à deux facteurs
Mesure : lors de la connexion, une deuxième étape de confirmation est requise en plus du mot de passe (p. ex. un code par SMS ou par application).
Objectif : protège l'accès, même si quelqu'un connaît ton mot de passe.
Point de vigilance : cette option devrait pouvoir être configurée de manière obligatoire pour tous les utilisateurs, et pas seulement de façon optionnelle.
Droits d'accès par rôle
Mesure : les différents utilisateurs n'ont accès qu'aux données strictement nécessaires à leur travail.
Objectif : empêche par exemple une personne du service des ventes de consulter les données salariales des collaborateurs.
Point de vigilance : vérifie si tu peux paramétrer les droits d'accès de manière flexible et détaillée.
Sauvegarde automatique des données
Mesure : le prestataire effectue régulièrement et automatiquement des copies de sauvegarde de toutes les données.
Objectif : prévient la perte de données en cas de problème technique ou de cyberattaque.
Point de vigilance : renseigne-toi sur la fréquence des sauvegardes, leur durée de conservation et la rapidité avec laquelle les données peuvent être restaurées en cas d'urgence. La gestion documentaire assistée par IA de nextesy automatise l'archivage des pièces comptables afin que les sauvegardes restent complètes.
Stockage chiffré des données
Mesure : les données stockées sur le serveur sont chiffrées.
Objectif : protège tes données même en cas d'accès non autorisé au serveur.
Point de vigilance : renseigne-toi sur le standard de chiffrement utilisé. Une référence solide est l'AES-256, considéré comme particulièrement sûr.
Ce à quoi prêter attention lors du choix d'un logiciel comptable conforme
Avant de choisir un logiciel de comptabilité, il convient de poser cinq questions concrètes avant de signer le contrat. Ces questions couvrent les difficultés les plus fréquentes dans la pratique : absence de base contractuelle, lieu de stockage imprécis et procédures de suppression non définies.
Où mes données sont-elles stockées ? (En Suisse, dans l'UE ou ailleurs ?)
Existe-t-il un contrat écrit avec le prestataire définissant la manière dont il traite et protège mes données ?
Quel chiffrement est utilisé ?
Comment les données sont-elles effacées à l'expiration du délai légal de conservation ?
D'autres prestataires externes interviennent-ils, par exemple pour les paiements, et respectent-ils également les règles de protection des données ?
nextesy a été développé dès le départ pour le marché suisse et s'appuie sur le stockage des données dans des centres de données certifiés en Suisse. Cela simplifie la conformité avec la LPD suisse. Le recours à d'autres prestataires est réglé contractuellement ; les détails figurent dans la politique de confidentialité de nextesy. Le décompte de TVA et la comptabilité salariale sont directement intégrés dans le système et non adaptés a posteriori. Grâce à l'IA, nextesy prend en charge l'essentiel de la comptabilité de manière automatisée, tu ne gères que les exceptions. Le tarif de départ est actuellement de CHF 29 par mois pour les PME (prix promotionnel) et de CHF 15 par mois pour les fiduciaires, avec un accès d'essai gratuit de 14 jours (état : août 2026).
Questions fréquentes sur la protection des données en comptabilité
Quelle est la différence entre la loi suisse sur la protection des données et les règles européennes ?
La loi suisse sur la protection des données (LPD) s'applique depuis le 1er septembre 2023 à toutes les entreprises ayant leur siège en Suisse. Le Règlement général sur la protection des données (RGPD) européen s'applique en plus lorsqu'une entreprise suisse propose de manière ciblée des biens ou des services à des personnes dans l'UE ou observe leur comportement sur place. Les règles européennes sont généralement plus strictes : en cas d'infraction, les amendes peuvent atteindre jusqu'à 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros pour l'entreprise. La loi suisse prévoit des amendes jusqu'à CHF 250’000 infligées aux personnes responsables. Pour les PME suisses actives sur le marché de l'UE, les deux réglementations s'appliquent donc fréquemment de manière simultanée.
Quels points dois-je respecter selon la loi suisse sur la protection des données ?
La loi t'oblige notamment à n'utiliser les données personnelles qu'aux fins prévues, à mettre en œuvre des mesures de protection technique adéquates et à signaler les violations graves de la sécurité des données à l'autorité compétente. Lors de l'utilisation d'un logiciel comptable dans le cloud, tu as également besoin d'un contrat de traitement des données avec le prestataire, puisque tu délègues le traitement à un tiers. En cas d'infraction, des amendes allant jusqu'à CHF 250’000 sont encourues.
Quels sont les principes fondamentaux de la loi suisse sur la protection des données ?
La loi exige que les données soient traitées de manière licite et transparente, qu'elles ne soient utilisées qu'aux fins prévues, qu'elles restent limitées au strict nécessaire et qu'elles soient techniquement bien protégées. La finalité signifie concrètement que les données salariales collectées pour la gestion des salaires ne peuvent pas être réutilisées à d'autres fins. La proportionnalité implique de ne collecter que les données personnelles strictement requises pour la tenue des comptes.
À quoi dois-je faire attention concernant la protection des données lors du choix d'un logiciel comptable ?
Tu devrais vérifier si le prestataire propose un contrat écrit sur la gestion de tes données, où celles-ci sont stockées, quel chiffrement est mis en œuvre et comment les données sont supprimées une fois le délai légal de conservation expiré. Pour les entreprises suisses, un serveur situé en Suisse ou dans un pays reconnu comme sûr est recommandé, car aucune garantie supplémentaire pour le transfert à l'étranger des données stockées n'est alors requise. Fais-toi transmettre tous les documents essentiels par écrit avant de signer le contrat.
Quelle est l'importance du stockage des données en Suisse ?
Un serveur situé en Suisse facilite considérablement le respect de la loi sur la protection des données : les données stockées ne quittent pas le pays et aucune mesure de protection supplémentaire n'est requise pour le transfert à l'étranger lié au stockage. Pour la LPD suisse, le PFPDT est l'autorité compétente ; si le RGPD s'applique en plus, les autorités de l'UE peuvent également être compétentes. Techniquement, un serveur dans l'UE est également possible, pour autant que le pays concerné soit reconnu comme sûr. L'essentiel est de savoir où tes données sont stockées et que cela soit clairement consigné dans la politique de confidentialité du prestataire.
Quel logiciel de comptabilité stocke toutes les données en Suisse ?
nextesy est une plateforme comptable suisse qui stocke toutes les données dans des centres de données certifiés en Suisse. Le traitement respecte la LPD suisse et est également conforme au RGPD. Une fois configurée, la comptabilité fonctionne en grande partie de manière autonome grâce à l'IA. Retrouve tous les détails concernant la gestion de tes données dans la politique de confidentialité de nextesy.
