Le Billet de Cassandre — édition suisse
Ce que je m’apprête à écrire va déranger.
Tant mieux !
Cassandre avait raison, et personne ne l’écoutait jusqu’à ce que Troie brûle.
Après des mois d’échanges avec des dirigeants, des DSI et des responsables de la conformité, le constat est sans appel :
La majorité des entreprises n’ont aucune idée précise de leurs risques techniques, juridiques (plagiat, contrefaçon, propriété intellectuelle) et réglementaires (conformité des données). Elles le découvriront le jour où il sera trop tard pour l’éviter, et juste à temps pour le payer.
Le silence organisé des équipes IT
Le comportement de nombreux services TI est souvent hautain, dédaigneux, voire prétentieux. Peu d’écoute, refus de discuter, voire de confronter aimablement les technologies pour en valider les risques.
Les PDG débordés, qui ont des dizaines d’autres problèmes en tête, sont souvent complètement soumis à leur équipe TI et peu d’entre elles disent toute la vérité, surtout quand la vérité les met en cause.
Ce qui change avec la nLPD : ce n’est plus l’entreprise qui paie.
C’est le dirigeant en son non propre.
Voici ce que nombre de dirigeants suisses n’ont pas encore pleinement intégré.
Avant ce règlement, une non-conformité de données restait, en théorie, un problème de l’entreprise : image écornée, amende, procès désagréable, mais payé par la structure.
La nouvelle loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, change la nature du risque.
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) peut enquêter, exiger l’accès à vos systèmes, et transmettre le dossier au juge pénal.
Et ce juge ne sanctionne pas une entité abstraite : il peut infliger une amende personnelle allant jusqu’à CHF 250 000 au dirigeant, ou au responsable identifié comme fautif, nommément.
Pas à l’entreprise. Au dirigeant nommément. À son nom, sur un jugement, avec sa responsabilité pénale personnelle engagée pour une décision ou une négligence qu’il n’a peut-être même pas commises lui-même, mais simplement laissées filer parce qu’une équipe technique vous a dit que « tout allait bien ».
Et si votre organisation traite des données de clients français ou européens, cette exposition personnelle en Suisse s’ajoute elle ne remplace pas à l’exposition de votre entreprise au RGPD.
Le pari que je vous propose
Madame, Monsieur, Mesdames, Messieurs les dirigeants,
Je vous fais un pari simple :
Le jour où la catastrophe arrivera plagiat, contrefaçon, fuite de données, non-conformité constatée votre équipe IT vous dira « ce n’est pas de ma faute ».
Pour autant, c’est vous qui devrez gérer, et c’est vous qui serez mis en avant comme responsable.
D’après vous, entre les jugements pour plagiat, pour contrefaçon, les amendes réglementaires RGPD, combien de millions, vont partir en fumée pour votre entreprise ?
Et à cela s’ajoute désormais, en Suisse, une addition que personne ne payait avant vous :
Vous pourriez payer jusqu’à CHF 250 000 de votre propre poche, à votre nom, sur un jugement pénal qui vous vise personnellement pas votre entreprise.
Les millions partent en fumée pour l’organisation.
Les 250 000 francs, eux, partent de votre compte à vous.
Ce que tout dirigeant devrait faire signer, dès aujourd’hui
Voici, ci-dessous en PDF, la lettre que tout dirigeant doit faire signer à chaque collaborateur de ses équipes techniques non pas comme un geste de défiance, mais comme un acte de gouvernance élémentaire.
Si personne, dans votre organisation, n’est capable de la signer en toute sincérité, vous avez déjà votre réponse.
Nota bene
Ce document ne vous protège pas juridiquement, il vous informe, et il informe chaque signataire. Il transforme un risque flou et diffus en une question précise que chacun doit assumer, nommément, avant qu’un juge ou le PFPDT ne le fasse à sa place.
La différence entre le dirigeant qui subit et celui qui anticipe se joue toujours avant l’incident, jamais après.
*Pour un état des lieux réel de votre exposition RGPD, nLPD,
qualité des données contactez Didier Reinach,
La Machina, partenaire officiel de DEMS-NIXUS™
didier@la-machina.xyz
LIRE AUSSI. CLIQUEZ SUR CE LIEN. https://la-machina.xyz/le-syndrome-du-demiurge-et-le-principe-de-lucifer/
Sources
– [Les dispositions pénales de la nLPD — Graduate Institute Geneva](https://libguides.graduateinstitute.ch/c.php?g=668396&p=5126705)
– [PFPDT : rôle, pouvoirs et procédures de l’autorité suisse — Legiscope](https://www.legiscope.com/blog/pfpdt-autorite-protection-donnees-suisse.html)
