LPD et données comptables : ce qu'un dirigeant de PME doit exiger de son prestataire

La comptabilité d'une PME suisse, c'est bien plus qu'un grand livre et un décompte TVA. C'est un concentré d'informations sensibles : salaires, marges, endettement, identité des clients et fournisseurs, détails des contrats. Dès qu'une fiduciaire ou un prestataire externe manipule ces données, la Loi fédérale sur la protection des données (LPD) entre en scène — et la responsabilité du dirigeant avec elle.

Depuis le 1ᵉʳ septembre 2023, la LPD révisée impose des obligations claires à toute entité qui traite des données personnelles. Pour un dirigeant de PME qui confie sa comptabilité à un tiers, la question n'est pas « est-ce que je suis concerné ? » mais « mon prestataire est-il en règle — et puis-je le prouver ? ».

Voici ce qu'il faut vérifier, exiger et documenter.

1. La comptabilité d'une PME contient-elle des données personnelles ?

Oui, presque toujours. La LPD définit une donnée personnelle comme toute information se rapportant à une personne identifiée ou identifiable. En comptabilité, cela inclut :

• Noms et adresses des clients, fournisseurs, employés
• Salaires, primes, déductions AVS/LPP
• Coordonnées bancaires (IBAN, références QR)
• Données d'identification fiscale (n° TVA, n° IDE)
• Contrats, factures, avoirs

Même les données d'une personne morale peuvent indirectement identifier une personne physique (le gérant, l'actionnaire unique). Dès qu'un prestataire externe accède à ces données, la LPD s'applique.

2. La fiduciaire est-elle responsable ? Le dirigeant aussi

C'est un point souvent mal compris. Lorsque vous confiez votre comptabilité à une fiduciaire, vous restez le responsable du traitement au sens de la LPD. La fiduciaire est un sous-traitant.

Cela signifie que :

• Vous déterminez les finalités et les moyens du traitement.
• La fiduciaire exécute — mais vous restez juridiquement responsable.
• En cas de fuite de données, votre entreprise peut être tenue pour responsable, en plus de la fiduciaire.

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) peut infliger des amendes jusqu'à 250 000 CHF à la personne physique responsable des manquements — typiquement le dirigeant ou l'administrateur.

3. Les 6 points qu'un dirigeant doit exiger de son prestataire

3.1. Un contrat de sous-traitance écrit

La LPD exige que la relation entre responsable du traitement et sous-traitant soit encadrée par un contrat écrit (art. 9 LPD). Ce contrat doit préciser :

• Quelles données sont traitées et dans quel but
• Les mesures de sécurité techniques et organisationnelles (MSTO) mises en œuvre
• L'interdiction de sous-traiter à son tour sans votre accord
• L'obligation de signaler toute violation de données sans délai

Votre contrat de mandat fiduciaire actuel contient-il ces clauses ? Si ce n'est pas le cas, il n'est pas conforme à la LPD révisée.

3.2. La localisation des serveurs

Où vos données comptables sont-elles stockées ? Chez la fiduciaire, dans un logiciel SaaS, sur un cloud public ?

La LPD permet le transfert de données à l'étranger, mais uniquement si le pays de destination offre un niveau de protection adéquat (reconnu par le Conseil fédéral) ou si des garanties contractuelles appropriées sont en place.

Questions à poser à votre prestataire :

• Le traitement a-t-il lieu exclusivement en Suisse ?
• Si des données partent à l'étranger (cloud AWS, Azure, Google), quel est le pays de destination et quel encadrement contractuel est en place ?
• Les données sont-elles chiffrées au repos et en transit ?

3.3. Le secret professionnel et les données fiscales

Les fiduciaires sont soumises au secret professionnel au sens de l'art. 321 du Code pénal suisse. Cela ajoute une couche supplémentaire : toute sous-traitance de données protégées par le secret professionnel n'est autorisée que si la loi le permet explicitement ou si le client y consent.

Pour les données fiscales (TVA, impôt direct), la sous-traitance nécessite une autorisation légale explicite. Votre prestataire doit pouvoir documenter que ses propres sous-traitants (hébergeur, éditeur de logiciel, outil d'OCR, etc.) respectent cette chaîne de confidentialité.

3.4. La gestion des accès

Un stockage « dans le cloud suisse » ne suffit pas. Ce qui compte, c'est qui peut voir quoi :

• Les collaborateurs de la fiduciaire ont-ils des accès différenciés selon les mandats ?
• L'authentification à deux facteurs (2FA) est-elle obligatoire ?
• Un journal des accès est-il conservé (qui a consulté quel dossier, quand) ?
• Les anciens collaborateurs sont-ils révoqués immédiatement ?

Une fiduciaire sérieuse doit pouvoir vous présenter sa matrice des habilitations et la procédure de révocation.

3.5. L'obligation de notification en cas de violation

L'art. 24 LPD oblige le responsable du traitement à notifier le PFPDT dans les meilleurs délais en cas de violation de la sécurité des données entraînant un risque élevé pour les personnes concernées.

Votre contrat avec la fiduciaire doit prévoir que celle-ci vous informe immédiatement dès qu'elle détecte un incident, afin que vous puissiez remplir votre obligation légale de notification. Une clause du type « le sous-traitant informera le responsable dans les 24 heures » est un minimum.

3.6. La portabilité et la restitution des données

Que se passe-t-il si vous changez de fiduciaire ? La LPD prévoit un droit à la portabilité des données (art. 28 LPD). Concrètement :

• Votre prestataire doit pouvoir vous restituer l'intégralité de vos données comptables dans un format structuré et exploitable (CSV, XML, PDF).
• Les données ne doivent pas être retenues en otage (« vendor lock-in »).
• À la fin du mandat, les données doivent être restituées puis supprimées des systèmes du prestataire dans un délai convenu.

4. Le cas particulier de l'IA et de l'automatisation

De plus en plus de fiduciaires utilisent des outils d'OCR, de saisie assistée ou d'intelligence artificielle pour automatiser le traitement comptable. Ces outils impliquent souvent un sous-traitant supplémentaire (l'éditeur du logiciel, un fournisseur cloud).

Un dirigeant doit exiger de savoir :

• Les données transitent-elles par un modèle d'IA hébergé hors de Suisse ?
• Les données sont-elles utilisées pour entraîner le modèle (ce qui serait une finalité distincte non autorisée) ?
• Le prestataire a-t-il documenté une analyse d'impact relative à la protection des données (AIPD) si le traitement présente un risque élevé ?

La réponse de Pinnokio à ces questions est documentée : les traitements s'exécutent sur une infrastructure suisse, sans conservation des données à des fins d'entraînement externe, et chaque client maîtrise la destination de ses flux.

5. Checklist pratique pour le dirigeant

Avant de signer — ou de renouveler — un mandat fiduciaire, posez ces questions :

6. Ce n'est pas de la bureaucratie — c'est de la gestion du risque

La conformité LPD n'est pas un exercice théorique. Une fuite de données comptables peut exposer :

• Les salaires de vos collaborateurs (atteinte à la personnalité)
• La santé financière de votre entreprise (préjudice concurrentiel)
• Les données de vos clients (perte de confiance, responsabilité civile)

En cas de litige avec l'administration fiscale ou un partenaire commercial, la traçabilité et l'intégrité de vos données comptables sont votre première ligne de défense. La LPD vous y aide, à condition d'avoir fait les bons choix en amont.

Le mot de la fin

La protection des données n'est pas qu'une affaire de juristes. C'est un critère de sélection de vos prestataires, au même titre que leur expertise métier ou leurs tarifs. Un dirigeant de PME qui confie sa comptabilité sans avoir posé les six questions ci-dessus prend un risque juridique et financier évitable.

👉 Découvrez comment Pinnokio traite et protège vos données comptables sur notre page Sécurité et conformité ou explorez notre solution pour fiduciaires.