Anonymiser un document en Suisse avec la nouvelle LPD

Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (LPD) s'applique aux documents qui concernent une personne identifiée ou identifiable. Un document n'y échappe que si personne ne peut le relier à quelqu'un sans effort disproportionné. Masquer le nom suffit donc rarement : numéro AVS, données sensibles et petits indices, comme un village ou un âge, demandent le même soin.

Que protège la nouvelle LPD ?

On parle souvent de nLPD, et de revDSG en Suisse alémanique. L'article 1 protège les personnes physiques, c'est-à-dire les êtres humains. Le portail PME de la Confédération le résume : seules les données des personnes physiques sont couvertes, et non plus celles des personnes morales. Le chiffre d'affaires d'une société fournisseur sort donc de la loi, mais pas le portable de sa gérante, Claire Exemple.

L'article 2 applique la loi aux personnes privées, par exemple les entreprises, et aux organes fédéraux. Les autorités cantonales ne sont pas visées. Pour les dossiers médicaux des hôpitaux cantonaux, le Préposé fédéral à la protection des données et à la transparence (PFPDT) renvoie aux lois cantonales.

Quelles données sont sensibles en droit suisse ?

Pourquoi est-ce important ? Selon l'article 30, alinéa 2, lettre c, communiquer des données sensibles à des tiers porte atteinte à la personnalité. Il faut alors un motif justificatif de l'article 31 : consentement, intérêt prépondérant ou loi.

Document suisse : anonymisé ou seulement pseudonymisé ?

La LPD emploie le mot « anonymisées » sans le définir et ignore la pseudonymisation. Le PFPDT donne sa lecture dans un guide du 15 janvier 2024. C'est l'interprétation de l'autorité, pas la loi. Des données pseudonymisées ne se relient plus à une personne sans informations supplémentaires ou efforts disproportionnés. Mais le risque de réidentification demeure, précise-t-il : ce sont toujours des données personnelles. Sur l'anonymisation, le guide dit :

Les données anonymisées ne sont plus considérées comme des données personnelles, et de ce fait sortent du champ d’application de la LPD.

Une liste d'hôpital remplace le nom par un identifiant, mais garde ceci : femme, 42 ans, habite un petit village, traitée pour le sida. Pour le PFPDT, son employeur, ou quiconque connaît son âge et son village, la retrouverait. Un certificat médical au seul nom noirci ne vaut guère mieux.

Pourquoi le numéro AVS demande-t-il une attention particulière ?

Le numéro AVS (AHV-Nummer en allemand) est le numéro d'assurance sociale suisse. Selon l'Office fédéral des assurances sociales (OFAS), il compte treize chiffres, commence par 756 et est généré au hasard. Il est attribué une seule fois, pour la vie. L'article 50c, alinéa 3, de la loi sur l'assurance-vieillesse et survivants (LAVS) exige que sa composition ne permette aucune déduction sur la personne.

Or ce numéro désigne une seule personne, à vie. Les articles 153b à 153i LAVS encadrent donc son utilisation systématique hors de l'AVS, c'est-à-dire son lien avec des données collectées de manière structurée. Seuls les organismes que la loi énumère y ont droit : autorités, établissements de formation, certaines assurances privées, entre autres. Sans habilitation, c'est puni d'une peine pécuniaire (article 153i).

Que masquer dans un document suisse courant ?

Sur un document suisse, ONYRI Sanitize reconnaît les numéros AVS (756…, chiffre de contrôle valide). Il trouve aussi les numéros postaux avec leur localité, les adresses en allemand comme « Seestrasse 4 », les téléphones suisses, les IBAN et les montants en CHF. Le numéro IDE (CHE-…) n'est pas détecté : ajoutez-le dans « Masquer aussi » ou une règle personnalisée. Masquez à la main codes de barème et diagnostics en toutes lettres.

Qui paie l'amende quand un document fuit ?

Ici, la LPD diffère nettement du RGPD. Selon l'article 83 du RGPD, les amendes les plus élevées peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Le montant le plus élevé s'applique. En Suisse, les articles 60 à 63 prévoient jusqu'à 250 000 francs d'amende. Selon le PFPDT, ces infractions exigent l'intention, visent d'abord des personnes physiques et relèvent des procureurs cantonaux. Le PFPDT note aussi que les actions civiles en réparation du dommage restent possibles au-delà de ce montant.

Selon l'article 64, l'autorité peut condamner l'entreprise à la place des responsables, mais seulement jusqu'à 50 000 francs et si identifier les responsables serait disproportionné. Deux infractions visent les documents. L'article 61, lettre c, punit le non-respect intentionnel des exigences minimales de sécurité des données fixées par le Conseil fédéral. L'article 62 punit le professionnel qui révèle intentionnellement des données secrètes. Ces infractions ne sont poursuivies que si une plainte est déposée.

Que change le passage de la frontière suisse ?

De l'UE vers la Suisse, le chemin est simple. La Commission européenne reconnaît que la Suisse offre une protection adéquate (décision 2000/518/CE du 26 juillet 2000). Les données personnelles circulent donc depuis l'UE sans garantie supplémentaire. C'est la situation en octobre 2026.

Pour sortir de Suisse, l'article 16 LPD s'applique. L'annexe 1 de l'ordonnance sur la protection des données (OPDo) liste les pays jugés adéquats. Elle inclut tous les États de l'UE et de l'EEE, le Royaume-Uni et quelques autres. Depuis le 15 septembre 2024, elle couvre aussi les États-Unis, mais seulement les organisations certifiées selon le Swiss-U.S. Data Privacy Framework. Ailleurs, il faut des garanties, comme les clauses types de l'UE reconnues par le PFPDT, ou une exception de l'article 17.

Comment vérifier un document suisse avant de l'envoyer ?

1. Identifiez le besoin du destinataire : un montant, une date, rarement un numéro d'identité.
2. Masquez le numéro AVS, la date de naissance, les numéros d'identité et tout code de barème.
3. Cherchez les six catégories de données sensibles, aide sociale comprise.
4. Vérifiez les indices : village, âge, poste rare, numéro de dossier.
5. Contrôlez le pays de destination (annexe 1 de l'OPDo) et gardez l'original en lieu sûr.

Ceci est une information générale, pas un avis juridique. Pour un cas précis, consultez votre conseiller à la protection des données, un avocat ou le PFPDT.

Questions fréquentes

Sources et références