LPD 2026: PME romande et demandes d’accès aux données (DSAR) – comment répondre sans risque et sans trop en dire

Une demande d’accès aux données selon la législation suisse se traite avec une logique simple. Vous devez donner à la personne concernée une réponse compréhensible sur ses données personnelles, mais vous n’êtes pas obligé de “ouvrir vos dossiers” sans filtre. Le risque principal, en pratique, n’est pas de trop peu répondre, c’est de répondre trop vite et trop large, en divulguant des données de tiers, des éléments hors périmètre, ou des documents mal relus.

1. Comprendre ce qu’est une demande d’accès (et ce que ce n’est pas)

En langage courant, on parle souvent de DSAR, surtout quand la demande vient d’un modèle trouvé en ligne. En Suisse, on raisonne d’abord avec la LPD et l’idée centrale reste la même. La personne veut savoir si vous traitez ses données personnelles, lesquelles, et obtenir une copie ou des informations pertinentes sur ce traitement, selon les modalités prévues par la législation suisse. En revanche, une demande d’accès n’est généralement pas un droit illimité à obtenir tous vos documents internes “au complet”. Beaucoup de PME confondent copie de données personnelles et transmission de dossiers entiers, avec des échanges internes qui contiennent aussi des données d’autres personnes, des appréciations, ou des informations qui dépassent le strict périmètre.

2. Qualifier la demande et sécuriser le cadre dès le départ

Votre premier objectif est de transformer une demande parfois agressive en processus clair. Cela vous fait gagner du temps et réduit fortement le risque d’erreur. Dans la plupart des cas, vous pouvez répondre en deux temps, avec un message d’accusé de réception puis une réponse de fond.

• Vérifiez l’identité du demandeur avant de transmettre des informations sensibles, surtout si la demande arrive par email non habituel, via un avocat, ou depuis l’étranger.
• Demandez une précision raisonnable si la demande est très large, par exemple sur la période concernée, les systèmes visés, ou le contexte. En pratique, cela aide à livrer une réponse plus pertinente.
• Fixez un canal de réponse sécurisé et traçable, et annoncez que les données de tiers seront protégées et que certains éléments peuvent être caviardés.
• Bloquez les suppressions liées au cycle normal (nettoyage de boîtes mail, purge CRM) tant que la demande est en cours, afin d’éviter un incident de gouvernance.

3. Cartographier vite les données concernées (sans se noyer)

Le piège classique, surtout dans une PME dans le canton de Vaud ou dans le canton de Fribourg, est de partir dans une collecte exhaustive et désorganisée. Vous voulez plutôt une collecte structurée, avec un périmètre explicite. Concrètement, commencez par lister les emplacements probables des données, puis identifiez un responsable de collecte par outil.

• RH : dossier du collaborateur, évaluations, absences, correspondance formelle, attestations.
• Messagerie : emails entrants et sortants, pièces jointes, éventuellement calendrier si pertinent.
• CRM et support : tickets, notes de suivi, historique des demandes, enregistrements d’appels si vous en faites.
• Comptabilité : factures, paiements, rappels, correspondance commerciale.
• Accès et sécurité : logs et historiques, si vous en conservez, et si cela est pertinent au regard de la demande.
• Documents partagés : dossiers projets, contrats, annexes, tableaux de suivi.

Dans la plupart des cas, une réponse bien cadrée n’implique pas de livrer “tout l’historique de tous les emails”. Votre objectif est de donner une copie des données personnelles concernées et des informations utiles sur le traitement, tout en protégeant les tiers et la confidentialité de l’entreprise lorsque c’est légitime. Si vous sentez que la frontière est floue, faites valider votre périmètre. Vous pouvez créer un dossier gratuit sur JuriUp et obtenir un retour rapide d’un juriste LPD.

4. Rédiger une réponse utile, mais maîtrisée

Une bonne réponse a un ton neutre, une structure simple, et des annexes lisibles. Elle évite de se justifier et évite aussi de “raconter l’histoire”. Vous répondez à la demande, point.

• Expliquez votre compréhension de la demande, avec la période et les systèmes couverts, pour éviter les malentendus.
• Décrivez les catégories de données et le contexte (client, fournisseur, employé, candidat), sans entrer dans des appréciations.
• Fournissez une copie des données personnelles pertinentes dans un format exploitable, quand c’est possible, et regroupez les documents plutôt que d’envoyer 40 pièces disparates.
• Caviardez les données de tiers, par exemple noms de collègues, coordonnées d’autres clients, identifiants internes, ou passages qui révèlent des informations sur d’autres personnes.
• Expliquez les retraits de manière générale, par exemple “certaines informations ont été masquées pour protéger les données personnelles de tiers”, sans entrer dans un bras de fer.

5. Cas sensibles : RH, ex-employés et emails internes

Les demandes venant d’employés ou d’ex-employés sont souvent les plus délicates. Elles portent sur des évaluations, des notes managériales, des échanges internes, et parfois des communications impliquant plusieurs personnes. En Suisse romande, ce type de demande surgit aussi dans des contextes d’incapacité de travail, de licenciement contesté, ou de conflit relationnel. Si votre contexte est lié à une fin de rapports de travail, il est utile de garder une vision d’ensemble. Vous trouverez aussi des contenus pratiques sur le blog JuriUp, notamment quand la protection des données se mélange avec le droit du travail, ou quand un dossier devient contentieux. Par exemple, selon la situation, l’article sur l’incapacité de travail et le licenciement en Suisse romande peut aider à comprendre les enjeux, même si la réponse à une demande d’accès reste un sujet LPD distinct. Sur les emails internes, la prudence est de mise. Un email peut contenir des données personnelles du demandeur, mais aussi celles d’un collègue, d’un client, ou d’un autre employé, avec des appréciations qui ne doivent pas se retrouver “en clair”. En pratique, vous pouvez souvent extraire les passages pertinents ou fournir une copie avec masquage ciblé. Si vous hésitez entre “tout transmettre” et “tout refuser”, évitez les extrêmes et demandez un avis.

6. Documenter le processus pour réduire votre risque

Même si vous répondez correctement, vous devez pouvoir démontrer votre méthode. En cas de contestation, une documentation minimale fait la différence, surtout quand la demande arrive dans un contexte litigieux. Sans entrer dans une lourdeur administrative, gardez une trace claire du traitement.

• Date de réception et canal, puis personne en charge en interne.
• Vérification d’identité effectuée, et éléments reçus.
• Périmètre retenu, outils consultés, et mots-clés utilisés si une recherche a été nécessaire.
• Documents collectés, éléments caviardés, et raison générale de chaque masquage.
• Version finale envoyée, canal d’envoi, et accusé de réception.

Si vous voulez sécuriser votre réponse avant envoi, la voie la plus simple est de faire valider le cadrage et le pack de documents par un juriste LPD. Vous pouvez décrire votre situation en quelques clics et être mis en relation avec un expert juridique sélectionné en Suisse romande. C’est particulièrement utile pour une PME dans le canton de Genève, dans le canton de Vaud ou dans le canton de Fribourg, où les pratiques internes varient et où le risque RH peut être élevé.