Une entreprise d’une personne a tout de même des devoirs de protection des données

Un petit effectif ne signifie pas peu de données

Un indépendant conserve identité, santé, paiement, salariés, site et prospects. Les devoirs suisses suivent le traitement et le risque, pas seulement la taille de l’entreprise. Le PFPDT demande une déclaration Internet claire et des mesures techniques et organisationnelles adaptées. La cyberassurance finance certains services d’incident, mais n’écrit pas la déclaration, ne fixe pas les durées et ne légalise pas un outil fragile. Commencez par le trajet réel des données.

Cartographier un client de la demande à l’effacement

Listez ce qui arrive par publicité, email, formulaire, messagerie, rendez-vous, facture et cloud. Notez finalité, besoin, accès, fournisseur, pays, conservation et suppression. Séparez notes sensibles et marketing, et ne collectez pas un champ seulement parce qu’il existe. Utilisez comptes uniques, authentification multifacteur, chiffrement, mises à jour et sauvegardes testées. Insérez confidentialité et effacement chez les fournisseurs. Un registre court et exact vaut mieux qu’une politique copiée décrivant des outils inexistants.

Un cabinet de thérapie hypothétique

Eva travaille seule. Son outil de réservation, email, ordinateur et comptable touchent des données différentes. Elle retire les questions cliniques du formulaire public, sépare les notes, active le multifacteur et fixe un calendrier d’effacement. Elle prépare une déclaration concise et une liste violation. Après le vol d’un ordinateur, elle identifie vite chiffrement, dossiers et sauvegarde, puis évalue l’annonce avec un spécialiste. L’exemple guide l’organisation, sans conclure juridiquement pour toute profession réglementée.

Équilibrer commodité, confidentialité et coût

Une suite cloud intégrée se sécurise plus uniformément mais concentre le fournisseur. Des outils séparés limitent un incident tout en multipliant mots de passe, exports et suppressions. Tout garder rassure pour les litiges, mais augmente l’impact et contredit parfois la minimisation. Effacer trop tôt peut violer les obligations fiscales ou professionnelles. Les contrôles coûtent du temps ; les applications grand public informelles cachent le risque. Choisissez selon sensibilité et dommage plausible, documentez, puis révisez avec les services, salariés ou volumes.

Préparer la première heure d’une violation

Gardez inventaire appareils-fournisseurs, contacts hors ligne et sauvegarde testée. Définissez isolement, conservation des journaux, changement d’accès et continuité. Le guide PFPDT prévoit l’annonce lorsqu’un risque élevé est vraisemblable ; l’analyse exige des faits. Notez événement, personnes, atténuation et décisions. Informez la cyberassurance dans son délai, tout en conservant la responsabilité juridique. Ensuite, corrigez le contrôle et actualisez l’information. Un petit cabinet peut rester simple sans être improvisé.

Si le cabinet ferme temporairement, décidez qui peut accéder aux dossiers, répondre aux demandes et informer les personnes. Un remplaçant de confiance reçoit une autorité limitée et documentée, pas le mot de passe principal. Intégrez les données au plan d’incapacité et de succession afin que la confidentialité ne devienne pas impossible quand l’unique exploitant est indisponible. Testez ce relais une fois par an.