Après 38 ans d’expérience professionnelle en Uruguay, en Italie et en Suisse, j’ai appris une chose qui vaut pour à peu près tous les domaines de la gestion d’entreprise : les organisations qui traitent la conformité comme une contrainte la subissent. Celles qui la traitent comme un outil la maîtrisent et en tirent un avantage réel.
La protection des données ne fait pas exception. Et pourtant, c’est l’un des domaines où je vois encore le plus souvent des PME réagir plutôt qu’anticiper.
Il existe une idée reçue tenace : la protection des données serait l’affaire des grandes entreprises, de celles qui manipulent des millions de fichiers clients ou qui font tourner des plateformes numériques à grande échelle.
Ce n’est pas ce que je constate sur le terrain.
Toute PME traite des données personnelles dès ses premières activités : les coordonnées de ses clients, les dossiers de ses collaborateurs, les candidatures reçues par e-mail, les formulaires remplis sur son site internet, les listes de contacts pour sa newsletter, les outils qu’elle utilise au quotidien. Ce n’est pas une question de taille, de secteur ou de chiffre d’affaires. C’est une réalité opérationnelle qui concerne chaque entreprise, dès le premier client.
En Suisse, la nLPD, entrée en vigueur en septembre 2023, impose des obligations concrètes à toutes les entreprises qui traitent des données personnelles sur le territoire. Et le RGPD européen s’applique dès qu’une PME suisse traite des données de personnes établies dans l’Union européenne : un client français, un fournisseur allemand, un abonné belge à une newsletter suffisent.
Deux cadres légaux distincts, des obligations qui se cumulent parfois, et une réalité que beaucoup de dirigeants découvrent trop tard.
Anticiper coûte toujours moins cher que corriger.
Dans mon travail quotidien auprès des PME romandes et de mes clients italiens, que je visite chaque mois, je rencontre régulièrement les mêmes points faibles. Non pas par négligence, mais parce que personne n’a pris le temps de poser les fondations correctement.
Les bases documentaires sont absentes ou obsolètes. Un registre des traitements qui n’a pas été mis à jour depuis deux ans. Des mentions légales copiées-collées sur le site internet sans correspondre à la réalité de l’entreprise. Des contrats avec les prestataires qui ne mentionnent pas la protection des données. Ce sont des fondations et elles font souvent défaut.
Les fournisseurs sont sous-évalués. Chaque outil cloud, chaque logiciel SaaS, chaque prestataire externe qui accède à des données personnelles représente un risque potentiel. Or c’est souvent ce maillon qui est le moins contrôlé. Qui héberge les données ? Dans quel pays ? Quelles sont les conditions contractuelles ? Ces questions doivent avoir des réponses.
La conformité dort dans un classeur. C’est peut-être la lacune la plus fréquente : avoir produit des documents de conformité sans que les pratiques internes ne correspondent. Une politique de confidentialité publiée sur un site ne protège personne si les équipes ne savent pas comment traiter une demande d’accès ou reconnaître un incident de sécurité.
La conformité doit être vivante, cohérente et ancrée dans les processus réels de l’entreprise.
La question que me posent presque tous les dirigeants que j’accompagne est celle-ci : comment intégrer tout cela sans ajouter une couche supplémentaire à une organisation qui tourne déjà à flux tendu ?
Ma réponse est toujours la même : en ne rajoutant pas de couches, mais en s’appuyant sur ce qui existe déjà.
La protection des données n’a pas besoin d’un département dédié pour fonctionner dans une PME. Elle a besoin d’être intégrée aux moments clés qui rythment déjà la vie de l’entreprise.
L’adoption d’un nouvel outil numérique ? C’est le moment de poser trois questions simples sur les données et l’hébergement. L’embauche d’un nouveau collaborateur ? C’est le moment de remettre une information claire sur les données traitées et les règles internes. La signature avec un nouveau fournisseur ? C’est le moment de vérifier les clauses de protection des données dans le contrat.
Ce que je recommande concrètement : une courte liste de vérification, adaptée à chaque situation type, que les équipes peuvent consulter en quelques minutes. Quelques bonnes questions posées au bon moment valent mieux que des procédures de quarante pages que personne ne lit.
Il est aussi utile de désigner un référent interne sans nécessairement créer un nouveau poste qui centralise les questions, suit les mises à jour réglementaires et sait quand faire appel à un appui externe. Pas un juriste. Un relais.
L’objectif est de transformer la conformité en réflexe professionnel, pas en contrainte administrative.
Avec l’essor des outils d’intelligence artificielle dans les entreprises, un nouveau terrain de risque émerge et il est encore peu cartographié dans les PME.
Assistants rédactionnels, outils d’analyse de données, CRM enrichis par l’IA, plateformes de recrutement automatisées : les PME adoptent ces outils rapidement, souvent sans avoir posé les bonnes questions au préalable.
La première question est simple : quelles données introduisons-nous dans ces systèmes, et que deviennent-elles ensuite ? Sont-elles utilisées pour entraîner les modèles ? Hébergées dans quel pays ? Accessibles à qui ?
La qualité et la légitimité des données jouent également un rôle central. Des données mal collectées, incomplètes ou utilisées en dehors de leur finalité d’origine peuvent créer des risques juridiques et opérationnels significatifs même dans un outil qui semble parfaitement anodin.
L’AI Act européen, progressivement applicable depuis 2024, introduit par ailleurs des obligations différenciées selon le niveau de risque des systèmes utilisés. Certaines PME sont déjà concernées sans le savoir.
Avant d’adopter un nouvel outil d’IA, je recommande trois étapes : inventorier les outils déjà en place, évaluer les données impliquées et les risques associés, puis définir une règle simple de gouvernance interne. L’objectif n’est pas de freiner l’innovation — c’est de permettre aux entreprises d’utiliser l’IA de manière consciente, sécurisée et responsable.
Les PME qui ont structuré leur approche de la protection des données même modestement, même sans consultant permanent partagent plusieurs caractéristiques que j’observe régulièrement.
Elles connaissent leurs données : où elles sont, qui y accède, combien de temps elles sont conservées. Elles sont plus réactives face à un incident, parce qu’elles ont une procédure, même simple. Elles inspirent davantage confiance à leurs clients et partenaires commerciaux. Et elles répondent plus facilement aux exigences croissantes des appels d’offres, des audits et des relations B2B, notamment avec des entreprises européennes qui vérifient désormais systématiquement leurs prestataires.
La conformité bien construite ne pèse pas sur l’organisation. Elle la rend plus solide.
Je termine souvent mes accompagnements avec cette idée : une PME qui maîtrise ses données maîtrise une partie de son risque, de sa réputation et de sa relation avec ses parties prenantes.
Ce n’est pas un idéal. C’est une réalité que j’observe, chaque semaine, chez des entreprises de toutes tailles et de tous secteurs.
La protection des données n’est pas une fin en soi. C’est un levier de professionnalisation, de crédibilité et, in fine, de performance.
Transformer une obligation en opportunité : c’est exactement là que commence le conseil stratégique.
Cristina Borges accompagne les PME en Suisse romande et en Italie dans leur mise en conformité nLPD, RGPD et AI Act, ainsi que dans leur structuration organisationnelle et qualité (ISO 9001, ISO 22000 / HACCP). Elle intervient également sur les enjeux de gouvernance, de contrôle de gestion et d’organisation interne.
www.cristinaborges.com · gestione@cristinaborges.com · +41 77 513 45 57
Découvrez grâce à Christina Borges comment les PME peuvent transformer la protection des données, la nLPD, le RGPD et l’IA en leviers de confiance, de conformité et de performance.
Rappel actif, répétition espacée, technique Feynman… Découvrez les 5 techniques d’OSAM de mémorisation validées par la science.
Découvrez les conseils de Laurence Marcovecchio pour savoir s’il faut mettre une citation sur son CV et comment valoriser son profil professionnel.
Santé, construction, ICT, logistique : les métiers en tension en Suisse et les brevets fédéraux OSAM pour vous positionner durablement.
Marie-Laure Deschamps décrypte les mécanismes invisibles qui influencent tarifs, ventes et décisions des entrepreneurs.
Découvrez les 5 certifications les plus valorisées par les employeurs suisses (PMP, CISSP, CAS…) et boostez votre carrière avec OSAM.
Christine Fuentes, coach emploi, partage ses conseils pour trouver un emploi en Suisse et comprendre les attentes des recruteurs suisses.
Turnover en hausse ? Découvrez 5 conseils RH concrets pour fidéliser vos talents et renforcer durablement votre culture d’entreprise.
Découvrez grâce à Christina Borges comment les PME peuvent transformer la protection des données, la nLPD, le RGPD et l’IA en leviers de confiance, de conformité et de performance.
Rappel actif, répétition espacée, technique Feynman… Découvrez les 5 techniques d’OSAM de mémorisation validées par la science.
Découvrez les conseils de Laurence Marcovecchio pour savoir s’il faut mettre une citation sur son CV et comment valoriser son profil professionnel.
Santé, construction, ICT, logistique : les métiers en tension en Suisse et les brevets fédéraux OSAM pour vous positionner durablement.
Marie-Laure Deschamps décrypte les mécanismes invisibles qui influencent tarifs, ventes et décisions des entrepreneurs.
Découvrez les 5 certifications les plus valorisées par les employeurs suisses (PMP, CISSP, CAS…) et boostez votre carrière avec OSAM.
Entretien en allemand ou anglais
