Protection des données pour fiduciaires : nouvelle LPD, salaires et données des clients
Rédigé par Advisorn · mis à jour le 26 octobre 2026
En bref
Une fiduciaire est responsable du traitement pour les données de ses propres clients et collaborateurs, mais elle est en règle générale sous-traitante lorsqu'elle tient les salaires ou la comptabilité d'un client (art. 9 LPD). Pour ces mandats, il faut un contrat de sous-traitance avec chaque client, des mesures de sécurité adaptées à des données financières et salariales, et l'obligation d'avertir immédiatement le client en cas de violation (art. 24, al. 3, LPD).
Les données typiques
- données des clients et de leurs personnes de contact ;
- salaires, données AVS, impôt à la source et assurances sociales des collaborateurs des clients ;
- déclarations d'impôt, relevés bancaires et comptabilité ;
- certificats médicaux et absences pour maladie, pour les assurances ;
- les données de son propre personnel.
Données personnelles sensibles
Les salaires cachent des données personnelles sensibles : l'impôt ecclésiastique révèle l'appartenance religieuse, les absences pour maladie et les indemnités révèlent des données sur la santé (art. 5, let. c, LPD). Elles doivent être protégées comme telles.
Deux rôles différents
Pour ses propres clients, ses collaborateurs et son marketing, la fiduciaire décide elle-même : elle est responsable du traitement, avec toutes les obligations. Lorsqu'elle établit les salaires ou tient la comptabilité selon les instructions du client, elle traite les données pour le compte de celui-ci : elle est sous-traitante, et le client doit conclure un contrat avec elle (art. 9 LPD).
Pour le conseil fiscal ou la révision, où la fiduciaire décide de sa manière de travailler, elle peut être responsable du traitement indépendante : mieux vaut le clarifier mandat par mandat.
Ce que doit contenir le contrat avec le client
- l'objet et la durée du traitement, les catégories de données et de personnes ;
- les instructions, le secret et les mesures de sécurité ;
- la liste des sous-traitants ultérieurs, comme le logiciel de comptabilité ou des salaires dans le cloud ;
- l'aide pour les demandes des personnes concernées et en cas de violation ;
- la restitution ou l'effacement des données à la fin du mandat, sous réserve des délais de conservation.
Secret professionnel
Les réviseurs astreints au secret en vertu du Code des obligations sont soumis au secret professionnel (art. 321 CP). Pour les autres mandats, le secret découle du contrat : il doit aussi être prévu par écrit pour les collaborateurs et les sous-traitants ultérieurs.
Questions liées
- Faut-il un contrat avec les fournisseurs qui traitent des données pour nous ?
- Que sont les responsables conjoints du traitement ?
- Quelles mesures de sécurité des données la nouvelle LPD exige-t-elle ?
- Combien de temps peut-on conserver des données personnelles ?
- Un e-mail contenant des données personnelles est parti à la mauvaise personne : est-ce une violation ?
- Peut-on utiliser Microsoft 365 ou Google Workspace avec la nouvelle LPD ?
Modèles utiles
- Modèle de contrat de sous-traitance (art. 9 LPD, art. 28 RGPD)
- Modèle de politique de confidentialité pour les clients et les partenaires contractuels
- Modèle de mesures techniques et organisationnelles de sécurité (TOM)
- Modèle de politique de conservation des données avec les délais
- Modèle de procédure en cas de violation de la sécurité des données (data breach)
- Modèle d'engagement de confidentialité et d'instructions pour les collaborateurs
Les autres secteurs
Informations générales, pas un conseil sur votre cas : pour votre cas, c'est le texte de la loi qui fait foi, et pour un secteur qui a ses propres règles, celles-ci aussi.