Un dossier client contient souvent des coordonnées, des échanges, des contrats et parfois des informations sensibles. Sa protection dépend autant du classement et des droits que des outils de sécurité. Pour une PME suisse, commencez par identifier les données réellement traitées et les personnes qui doivent y accéder.

Cartographier les données et les responsabilités

Listez les applications, dossiers, exports, messageries et supports utilisés. Identifiez le responsable de chaque traitement, les prestataires et les personnes qui décident des accès. Examinez aussi les copies sur les ordinateurs personnels et les liens partagés à l’extérieur.

Adapter les accès et les usages

Comptes nominatifs et authentification renforcée selon les possibilités des services.
Droits fondés sur les tâches, revus lors des changements de fonction et des départs.
Procédure claire pour transmettre un document ou un lien à un client.
Protection des appareils et des supports mobiles selon le risque.
Durées de conservation et suppression organisées, en tenant compte des exigences applicables.

Comprendre le rôle de la LPD, du RGPD et des normes

La LPD suisse et le RGPD européen ont des champs d’application et des mécanismes différents. Une norme comme ISO 27001 décrit un cadre de gestion de la sécurité ; elle n’est pas une certification automatiquement obligatoire pour toute PME du seul fait qu’elle détient des données clients. Un fournisseur ou une certification ne rend pas conforme l’ensemble des traitements de l’entreprise.

Le guide sur la LPD en Suisse présente les points à examiner et les conditions de notification d’une violation.

Préparer les sauvegardes et la réaction à un incident

Définissez les données à sauvegarder, leur fréquence, les accès aux copies et les tests de restauration. Préparez les contacts de l’éditeur, de l’hébergeur et du support. En cas d’incident, conservez les faits utiles, limitez les accès compromis et évaluez les données touchées. Selon la situation, des obligations d’annonce et d’information peuvent s’appliquer ; utilisez la documentation du PFPDT.

Exemple illustratif : un cabinet peut séparer ses dossiers clients, ses documents administratifs et ses échanges de projet. La séparation n’est utile que si les groupes, les partages et les copies suivent la même organisation.

Vérifier le parcours d’un dossier client

Suivez un dossier depuis sa réception jusqu’à son archivage : messagerie, téléchargement, travail, partage et conservation. Identifiez les personnes autorisées et les copies créées à chaque étape. Cette revue révèle souvent des échanges dans un espace personnel ou des liens encore accessibles après la fin d’une mission.

Faites valider les règles de partage et de conservation par les responsables concernés. Testez les accès avec un destinataire interne et un externe autorisé. La sauvegarde doit couvrir la référence du dossier, et une restitution ou une suppression doit suivre une procédure définie selon le cadre applicable.

Exemple illustratif pour une PME à Genève. Une fiduciaire échange des pièces avec ses mandants. Elle vérifie le canal de dépôt, les droits de l’équipe et la disponibilité du dossier en cas d’absence du responsable. Les documents réels restent dans les espaces autorisés ; les essais utilisent des données de démonstration lorsque cela suffit.

Pour transformer les objectifs de protection en actions vérifiables, retrouvez Sécurité des données : définition et mesures et Sécurité de l’information : dix contrôles utiles. Reliez chaque contrôle à un responsable et à un résultat observable.

Pour relier les contrôles techniques aux usages du cabinet, retrouvez Cabinet médical : les contrôles cyber prioritaires. Les essais et les accès doivent respecter le périmètre autorisé pour les informations traitées.

Faire le point avec Pixel IT à Genève

Vous souhaitez identifier les mesures à traiter en premier ? Pixel IT accompagne les PME genevoises en sécurité informatique. Décrivez votre environnement et vos besoins pour définir une intervention adaptée.

Sources et documentation

Documentation vérifiée le 15 octobre 2026. Les fonctions disponibles dépendent des produits, versions, licences et réglages concernés.

Comment assurer la protection des données de vos clients?