Accord de confidentialité : comment protéger les informations sensibles lorsqu’un prestataire intervient dans vos locaux ?
Il est 22 heures dans des bureaux presque vides. Les collaborateurs sont partis, mais un contrat est resté sur une table, quelques documents attendent près de l’imprimante et un écran n’a pas encore été verrouillé. Pendant ce temps, des prestataires extérieurs doivent pouvoir accéder aux locaux pour assurer le nettoyage, la maintenance ou d’autres services nécessaires au fonctionnement de l’entreprise.
Cette situation est courante dans de nombreuses organisations. Pourtant, elle pose une question importante : comment permettre à des intervenants externes d’accéder aux locaux sans exposer inutilement des informations confidentielles ?
Un accord de confidentialité constitue une première réponse, mais il ne suffit pas à lui seul. La protection des informations sensibles repose également sur l’organisation des accès, les consignes données aux intervenants, la stabilité des équipes et les mesures mises en place par l’entreprise elle-même.
Avant de rédiger un accord, encore faut-il comprendre précisément ce que l’on cherche à protéger.
Informations confidentielles, données personnelles et données sensibles : quelles différences ?
Ces termes sont souvent employés comme s’ils désignaient la même chose. Pourtant, ils ne recouvrent pas exactement les mêmes réalités, et cette distinction est importante lorsqu’une entreprise cherche à encadrer l’accès de prestataires extérieurs à ses locaux.
Une information confidentielle peut concerner pratiquement n’importe quelle donnée que l’entreprise ne souhaite pas voir divulguée : stratégie commerciale, tarifs, contrats, projets, prototypes, plans techniques, résultats de recherche, informations financières, listes de clients ou informations concernant les fournisseurs.
Certaines de ces informations ne concernent aucune personne identifiable. Le plan d’un futur produit, par exemple, peut présenter une valeur stratégique considérable pour une entreprise sans constituer pour autant une donnée personnelle.
La législation suisse sur la protection des données distingue de son côté les données personnelles, c’est-à-dire les informations se rapportant à une personne physique identifiée ou identifiable.
Parmi ces données, certaines sont considérées comme sensibles, notamment lorsqu’elles concernent la santé, la sphère intime, certaines opinions ou activités, l’origine raciale ou ethnique, ainsi que certaines données génétiques, biométriques ou relatives à des procédures et sanctions.
Cette différence est essentielle. Un prototype horloger, un projet de fusion ou une grille tarifaire confidentielle peuvent nécessiter une protection très stricte sans être des données personnelles sensibles. À l’inverse, un dossier médical contient généralement des informations bénéficiant d’un niveau de protection particulièrement élevé.
Un accord de confidentialité bien construit doit donc commencer par une question simple : quelles informations l’entreprise souhaite-t-elle réellement protéger, et dans quelles situations un prestataire extérieur pourrait-il y être exposé ?
Pourquoi l’intervention d’un prestataire extérieur crée-t-elle un risque particulier ?
Lorsqu’un prestataire intervient dans des locaux professionnels, il peut être amené à circuler dans des espaces contenant des informations sensibles sans que celles-ci soient directement liées à sa mission. Le risque ne vient donc pas nécessairement d’un accès volontaire aux données, mais parfois simplement de leur présence dans l’environnement de travail.
Documents laissés sur un bureau, dossiers imprimés, tableaux blancs, écrans non verrouillés, courriers internes, plans techniques ou informations visibles dans une salle de réunion peuvent être exposés de manière fortuite. Plus les interventions ont lieu en dehors des heures de présence du personnel, plus la gestion de ces accès doit être clairement organisée.
Cabinets d’avocats et professions du conseil
Ces environnements peuvent contenir des dossiers clients, contrats, correspondances, éléments financiers ou documents liés à des procédures en cours. La discrétion des intervenants et la limitation de l’accès aux seules zones nécessaires sont particulièrement importantes.
Manufactures horlogères et sites industriels
Plans, prototypes, procédés de fabrication, lancements futurs, informations fournisseurs ou données commerciales peuvent présenter une forte valeur stratégique. Certaines zones peuvent donc nécessiter des restrictions d’accès spécifiques ou des consignes renforcées.
Laboratoires et centres de recherche
Les laboratoires peuvent contenir des résultats de recherche, des échantillons, des documents techniques, des informations liées à la propriété intellectuelle ou des données personnelles. Le périmètre d’intervention du prestataire doit alors être défini avec précision.
Établissements médicaux
Dans les environnements médicaux, les intervenants peuvent être exposés à des informations relatives aux patients, aux équipes ou à l’organisation du site. Ces informations peuvent relever de catégories de données particulièrement protégées, ce qui justifie une organisation rigoureuse des accès et des consignes.
La bonne approche consiste donc à raisonner en zones, niveaux d’accès et types d’informations, plutôt qu’à considérer qu’un simple engagement général de confidentialité suffit à couvrir tous les risques.
Un prestataire de nettoyage est-il automatiquement un sous-traitant au sens de la LPD ?
Pas nécessairement. En droit suisse, la notion de sous-traitance au sens de la LPD concerne les situations dans lesquelles une entreprise confie à un tiers le traitement de données personnelles pour son compte. Le traitement des données doit constituer l’objectif principal ou au moins un élément central de la relation contractuelle
Un prestataire informatique qui héberge une base de données clients ou un fournisseur cloud entre typiquement dans cette logique. À l’inverse, une entreprise de nettoyage dont les agents peuvent apercevoir fortuitement un document ou un écran pendant leur intervention se trouve dans une situation différente : le traitement des données n’est pas l’objet principal de la prestation.
Cela ne signifie pas pour autant que la confidentialité peut être négligée. Même lorsqu’un prestataire n’est pas considéré comme sous-traitant au sens de l’art. 9 LPD, l’entreprise cliente a intérêt à limiter l’accès aux informations, définir clairement les zones autorisées et encadrer contractuellement la discrétion des intervenants.
Quand l’article 9 LPD devient-il pertinent ?
Si un prestataire traite réellement des données personnelles pour le compte de l’entreprise cliente, l’art. 9 LPD devient pertinent. Le responsable du traitement demeure alors responsable du respect de la protection des données et doit notamment s’assurer contractuellement que le sous-traitant agit selon ses instructions, respecte les obligations de confidentialité et met en place des mesures de sécurité appropriées.
Confidentialité et sous-traitance ne sont donc pas synonymes
Un accord de confidentialité peut être utile même lorsqu’il n’existe aucune sous-traitance de données personnelles au sens de la LPD. Il sert alors à protéger plus largement les informations auxquelles le prestataire pourrait être exposé : documents commerciaux, plans, prototypes, dossiers internes, informations financières ou autres éléments que l’entreprise souhaite garder confidentiels.
La première étape consiste donc à identifier le rôle réel du prestataire : intervient-il seulement dans les locaux, ou traite-t-il effectivement des données pour le compte du client ? Cette distinction détermine ensuite les obligations à prévoir dans le contrat.
Que doit contenir un accord de confidentialité efficace ?
Un accord de confidentialité utile ne doit pas se limiter à une formule générale interdisant la divulgation d’informations. Il doit préciser ce qui est protégé, qui est concerné, ce que le prestataire peut ou ne peut pas faire et comment réagir en cas d’incident.
Définir clairement les informations confidentielles
L’accord doit commencer par définir les informations concernées. Il peut s’agir de documents commerciaux, données financières, dossiers clients, informations RH, plans techniques, prototypes, résultats de recherche, procédures internes ou encore informations visibles sur des écrans ou supports présents dans les locaux.
Une définition trop vague peut être difficile à appliquer. À l’inverse, une liste trop restrictive risque d’exclure des informations importantes. L’objectif est donc de définir un périmètre suffisamment précis tout en couvrant les informations auxquelles le prestataire pourrait être exposé de manière fortuite.
Préciser l’utilisation autorisée des informations
Le prestataire doit savoir dans quelles circonstances une information peut être utilisée. Dans le cadre d’une prestation de nettoyage, la règle est généralement simple : les informations rencontrées dans les locaux ne doivent être ni consultées, ni copiées, ni photographiées, ni utilisées en dehors de ce qui est strictement nécessaire à l’exécution de la prestation.
Étendre les obligations aux collaborateurs concernés
Lorsque plusieurs personnes interviennent pour le compte du prestataire, l’accord doit préciser que les obligations de confidentialité s’appliquent également aux collaborateurs, remplaçants ou éventuels sous-traitants autorisés qui peuvent accéder au site.
Le prestataire doit alors être en mesure de transmettre les consignes nécessaires aux personnes concernées et de limiter l’accès aux seules informations utiles à leur mission.
Prévoir la durée de la confidentialité
L’obligation de confidentialité ne disparaît pas nécessairement lorsque le contrat commercial prend fin. Certaines informations peuvent conserver leur caractère sensible pendant plusieurs années, voire aussi longtemps qu’elles ne sont pas devenues publiques.
La durée doit donc être adaptée à la nature des informations protégées et au contexte de la relation entre les parties.
Définir la procédure en cas d’incident
L’accord peut prévoir qu’en cas d’accès accidentel, de perte, de photographie non autorisée ou de divulgation potentielle, le prestataire informe rapidement le responsable désigné chez le client et lui transmet les informations nécessaires pour évaluer la situation.
Prévoir la restitution ou la destruction lorsque cela est pertinent
Lorsqu’un prestataire reçoit effectivement des documents, supports ou informations appartenant au client, l’accord peut prévoir leur restitution ou leur destruction à la fin du mandat. Cette clause est moins centrale lorsque l’intervenant n’a jamais vocation à recevoir ou conserver les informations.
Prévoir les exceptions nécessaires
Toutes les informations ne peuvent pas être considérées comme confidentielles indéfiniment. Un accord bien construit prévoit généralement des exceptions, par exemple lorsqu’une information était déjà publique, était connue légitimement du prestataire ou doit être communiquée en vertu d’une obligation légale.
Enfin, selon la sensibilité du mandat, l’accord peut également préciser le droit applicable, la juridiction compétente et les conséquences contractuelles d’un manquement. Pour les situations présentant des enjeux juridiques importants, une validation par un professionnel du droit reste recommandée.
L’accord doit-il également couvrir les collaborateurs du prestataire ?
Oui, dans la pratique, la confidentialité ne peut pas rester limitée au contrat signé entre deux entreprises. Ce sont souvent les collaborateurs du prestataire qui accèdent réellement aux locaux, parfois en dehors des heures d’ouverture et sans présence permanente du client.
L’entreprise prestataire doit donc traduire les engagements contractuels en consignes concrètes pour les personnes affectées au site : informations à ne pas consulter, zones interdites, interdiction de photographier certains espaces, comportement à adopter face à un document sensible ou procédure à suivre en cas d’incident.
Limiter le nombre de personnes ayant accès au site
Plus le nombre d’intervenants change fréquemment, plus il devient difficile de transmettre et de maintenir les mêmes consignes. Lorsque l’organisation le permet, la mise en place d’un agent ou d’une équipe attitrée facilite la connaissance des locaux, des accès autorisés et des règles spécifiques au client.
Cette stabilité ne remplace pas les mesures de sécurité, mais elle peut réduire le nombre de personnes différentes exposées aux environnements sensibles et simplifier le suivi des accès.
Encadrer également les remplacements
Les absences, congés ou imprévus rendent parfois un remplacement nécessaire. Le remplaçant doit alors recevoir les mêmes consignes que l’intervenant habituel avant son accès au site, notamment concernant les zones autorisées, les restrictions particulières et les obligations de confidentialité.
Transmettre uniquement les informations nécessaires
Un intervenant extérieur n’a généralement pas besoin de connaître l’ensemble de l’organisation interne du client. Le principe le plus simple consiste à lui transmettre uniquement les informations nécessaires à sa mission : accès, horaires, zones à traiter, consignes de sécurité et éventuelles restrictions.
Cette logique de limitation réduit l’exposition inutile aux informations sensibles et rend les consignes plus faciles à appliquer sur le terrain.
Formaliser les obligations en interne
Selon le niveau de sensibilité du site, le prestataire peut également formaliser des engagements internes de confidentialité auprès de ses collaborateurs. L’objectif n’est pas d’accumuler les documents, mais de s’assurer que les obligations prévues au contrat sont réellement comprises par les personnes qui interviennent sur place.
Chez Business Clean CH, cette logique se traduit notamment par la recherche de stabilité des équipes sur les sites, la transmission des consignes aux agents concernés et la possibilité de formaliser des engagements de confidentialité lorsque le client le demande.
Un accord de confidentialité ne remplace pas les mesures de sécurité
Un accord de confidentialité fixe des obligations, mais il ne peut pas empêcher à lui seul qu’une information soit exposée. La protection réelle repose aussi sur des mesures techniques et organisationnelles adaptées au niveau de risque. Le PFPDT rappelle d’ailleurs que la sécurité des données passe par des mesures appropriées destinées notamment à limiter les accès indus et à protéger les informations tout au long de leur cycle de vie.
Appliquer une politique de “clean desk”
Les documents sensibles ne devraient pas rester inutilement visibles sur les bureaux, dans les salles de réunion ou près des imprimantes. Ranger les dossiers, sécuriser les courriers et éviter de laisser des informations confidentielles à la vue de personnes qui n’en ont pas besoin réduit fortement le risque d’exposition accidentelle.
Verrouiller les écrans et limiter les accès numériques
Un écran laissé ouvert peut exposer davantage d’informations qu’un document papier. Le verrouillage automatique des postes, l’utilisation de mots de passe et la gestion rigoureuse des accès numériques complètent donc les mesures de confidentialité appliquées dans les locaux.
Limiter les accès physiques aux seules zones nécessaires
Tous les intervenants n’ont pas besoin d’accéder à l’ensemble du bâtiment. Badges, clés, zones interdites ou accès temporaires permettent de limiter les déplacements aux espaces réellement nécessaires à l’exécution de la prestation.
Encadrer les photographies et les appareils personnels
Dans certains environnements sensibles, l’utilisation de téléphones ou la prise de photographies peut être limitée ou interdite dans certaines zones. Ces règles doivent être clairement communiquées aux prestataires et intégrées aux consignes du site.
Prévoir une destruction sécurisée des documents
Les documents contenant des informations sensibles ne devraient pas être jetés comme de simples déchets lorsqu’ils doivent faire l’objet d’une destruction contrôlée. Le processus de collecte, de stockage temporaire et de destruction doit être défini par l’entreprise selon la nature des informations concernées.
La logique générale est simple : la meilleure information confidentielle est souvent celle à laquelle le prestataire n’a jamais besoin d’être exposé. L’accord de confidentialité intervient ensuite comme une protection complémentaire, et non comme un substitut à une bonne organisation.
Que faire en cas d’incident de confidentialité ?
Un incident de confidentialité ne signifie pas automatiquement qu’une violation de données au sens de la LPD a eu lieu. Il peut s’agir, par exemple, d’un document déplacé, d’un accès accidentel à une zone interdite, d’une photographie non autorisée ou d’un dossier aperçu par une personne qui n’aurait pas dû y avoir accès.
La priorité est d’éviter l’improvisation. Une procédure simple doit permettre d’identifier rapidement ce qui s’est produit, quelles informations sont concernées et quelles personnes doivent être informées.
Informer immédiatement le responsable désigné
Lorsqu’un intervenant constate un incident, il doit pouvoir prévenir rapidement la personne de contact définie chez le client ou chez le prestataire. Plus l’information circule rapidement, plus il est facile de limiter les conséquences éventuelles.
Documenter précisément les faits
Il est utile de relever la date, l’heure, le lieu, les personnes présentes, la nature de l’information concernée et les circonstances de l’incident. L’objectif n’est pas de chercher immédiatement un responsable, mais de disposer d’éléments fiables pour évaluer la situation.
Déterminer s’il s’agit d’une violation de la sécurité des données
Au sens de la LPD, une violation de la sécurité des données peut notamment correspondre à la perte, à la destruction, à la modification ou à la divulgation de données personnelles, ou au fait de les rendre accessibles à des personnes non autorisées.
Évaluer le niveau de risque
Toutes les violations ne doivent pas être annoncées au PFPDT. L’obligation de notification concerne les violations qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. L’annonce doit alors être effectuée dans les meilleurs délais.
Informer les personnes concernées lorsque cela est nécessaire
Selon les circonstances, les personnes concernées peuvent également devoir être informées lorsque cette communication est nécessaire à leur protection. Cette appréciation dépend notamment de la nature des données, du nombre de personnes concernées et des conséquences possibles de l’incident.
Pour un prestataire extérieur, la règle opérationnelle reste donc simple : ne pas dissimuler l’incident, prévenir immédiatement le responsable et transmettre les faits disponibles. L’évaluation juridique et la décision d’une éventuelle notification relèvent ensuite du responsable du traitement et, si nécessaire, de ses conseils.
Quels secteurs nécessitent des précautions renforcées ?
Tous les environnements professionnels ne présentent pas le même niveau de sensibilité. La nature des informations présentes, les personnes concernées, les contraintes d’accès et la valeur stratégique des documents peuvent justifier des mesures de confidentialité plus strictes.
Santé et établissements médicaux
Les cabinets, centres médicaux et autres établissements de santé manipulent régulièrement des données relatives aux patients. Le PFPDT rappelle que les dossiers médicaux et paramédicaux contiennent de nombreuses données sensibles et que leur communication est soumise à des règles particulières, notamment en matière de secret professionnel.
Dans ce contexte, la confidentialité doit être pensée à la fois sur le plan contractuel et opérationnel : accès limités, écrans verrouillés, documents rangés, consignes précises aux intervenants et procédures claires en cas d’incident.
Laboratoires et recherche & développement
Les laboratoires peuvent contenir des résultats d’analyses, projets de recherche, protocoles internes, informations techniques, données personnelles ou éléments liés à la propriété intellectuelle. Certaines zones peuvent donc nécessiter des accès restreints et des consignes spécifiques pour les prestataires extérieurs.
Horlogerie et industrie
Dans une manufacture ou un site industriel, la confidentialité peut concerner des prototypes, plans, procédés de fabrication, lancements futurs, informations fournisseurs ou données commerciales. La valeur de ces informations peut être très élevée même lorsqu’elles ne constituent pas des données personnelles au sens de la LPD.
Ambassades, missions permanentes et organisations
Ces environnements peuvent combiner documents institutionnels, informations internes, accès contrôlés et exigences particulières de discrétion. La définition précise des zones autorisées et des personnes habilitées à intervenir y prend une importance particulière.
Dans tous ces secteurs, la règle reste la même : plus l’environnement est sensible, plus la confidentialité doit être traduite en mesures concrètes et compréhensibles par les personnes qui interviennent réellement sur le site.
Les erreurs fréquentes dans les accords de confidentialité
Un accord de confidentialité peut donner un faux sentiment de sécurité lorsqu’il est trop générique, mal adapté au contexte ou déconnecté de la réalité du terrain. Les erreurs les plus fréquentes ne viennent pas toujours du document lui-même, mais de la manière dont il est appliqué.
Utiliser un modèle générique sans l’adapter
Un accord téléchargé sur Internet peut servir de base, mais il ne tient pas nécessairement compte du secteur, des types d’informations à protéger, des zones accessibles ni du rôle réel du prestataire. Un document trop standardisé risque donc de manquer les situations réellement sensibles.
Définir la confidentialité de manière trop vague
Une formule comme « toutes les informations sont confidentielles » paraît protectrice, mais elle peut être difficile à appliquer en pratique. Il est préférable de préciser les catégories d’informations concernées et les principaux cas dans lesquels le prestataire peut y être exposé.
Signer un accord sans transmettre les consignes aux équipes
Un contrat signé entre deux sociétés n’a que peu d’effet si les personnes qui interviennent réellement sur le site ignorent les règles à respecter. Les obligations de confidentialité doivent être traduites en consignes compréhensibles et accessibles aux collaborateurs concernés.
Confondre confidentialité et protection des données
Toutes les informations confidentielles ne sont pas des données personnelles, et toutes les obligations liées à la LPD ne se résument pas à une clause de confidentialité. Il faut donc distinguer clairement les enjeux contractuels de confidentialité des obligations légales liées au traitement de données personnelles.
Ne pas prévoir de procédure en cas d’incident
Un accord efficace doit aussi prévoir ce qui se passe si quelque chose tourne mal. Sans procédure claire, les personnes concernées peuvent hésiter, perdre du temps ou ne pas transmettre l’information suffisamment vite.
Penser qu’un accord suffit à lui seul
Même très bien rédigé, un accord ne remplace ni le rangement des documents, ni le verrouillage des écrans, ni la gestion des badges, ni la limitation des accès. La confidentialité fonctionne réellement lorsqu’elle combine contrat, organisation, sécurité et consignes terrain.
L’objectif n’est donc pas de multiplier les clauses, mais de construire un dispositif cohérent entre les obligations écrites et la manière dont le site fonctionne au quotidien.
Clause de confidentialité dans le contrat ou accord séparé ?
Il n’existe pas une seule manière d’organiser contractuellement la confidentialité. Selon la sensibilité du site, la nature des informations concernées et le niveau de détail souhaité, l’obligation peut être intégrée directement au contrat de prestation ou faire l’objet d’un accord de confidentialité séparé.
Une clause intégrée au contrat pour les situations courantes
Pour de nombreuses prestations professionnelles, une clause de confidentialité correctement rédigée dans le contrat principal peut suffire. Elle permet de définir les obligations du prestataire sans multiplier les documents contractuels.
Cette solution est particulièrement adaptée lorsque les informations auxquelles le prestataire peut être exposé restent limitées et que les règles à respecter peuvent être décrites clairement dans quelques paragraphes.
Un accord séparé pour les environnements plus sensibles
Un accord de confidentialité distinct peut être préférable lorsque le prestataire intervient dans des environnements où les enjeux sont plus importants : laboratoires, centres médicaux, manufactures, départements de recherche, bureaux de direction, cabinets professionnels ou sites contenant des informations stratégiques.
Ce document permet d’entrer davantage dans le détail : définition des informations protégées, restrictions d’accès, obligations des collaborateurs, durée de la confidentialité, procédures en cas d’incident ou encore règles applicables aux photographies et aux copies.
Le niveau de protection doit rester proportionné au risque
Un accord extrêmement complexe n’est pas nécessairement plus efficace. Le document doit surtout être compréhensible par les parties et adapté à la réalité de la prestation. Les obligations écrites doivent pouvoir être traduites concrètement dans l’organisation du site et les consignes données aux intervenants.
Et lorsqu’il y a réellement traitement de données personnelles ?
Si le prestataire traite effectivement des données personnelles pour le compte du client, la simple clause de confidentialité peut ne pas suffire. La relation doit alors être examinée au regard de l’art. 9 LPD et des obligations applicables à la sous-traitance de données, notamment concernant les instructions, la sécurité, la confidentialité et le recours éventuel à d’autres sous-traitants.
Le choix entre une clause intégrée au contrat et un accord séparé dépend donc moins du nom du document que de son contenu et du niveau de risque réel. Pour les situations juridiquement complexes ou particulièrement sensibles, une validation par un professionnel du droit reste recommandée.
Exemple de clause de confidentialité à intégrer dans un contrat de prestation
Lorsqu’un accord séparé n’est pas nécessaire, une clause intégrée au contrat principal peut encadrer les situations dans lesquelles le prestataire ou ses collaborateurs sont susceptibles d’être exposés à des informations confidentielles. Le texte doit toutefois être adapté au contexte, aux informations concernées et aux éventuelles obligations légales particulières.
Modèle de clause de confidentialité
Confidentialité
Le Prestataire s’engage à conserver strictement confidentielles toutes les informations non publiques dont il pourrait avoir connaissance, directement ou fortuitement, dans le cadre de l’exécution de ses prestations au sein des locaux du Client.
Sont notamment concernées les informations commerciales, financières, techniques, stratégiques, contractuelles ou organisationnelles, ainsi que les données relatives aux clients, collaborateurs, fournisseurs, patients, projets, procédés, recherches, prototypes ou documents internes du Client.
Le Prestataire s’engage à ne pas consulter, utiliser, reproduire, photographier, copier, déplacer, divulguer ou communiquer ces informations, sauf lorsque cela est strictement nécessaire à l’exécution de la prestation ou expressément autorisé par le Client.
Le Prestataire veille à ce que les collaborateurs, remplaçants et éventuels sous-traitants autorisés intervenant sur le site soient informés des obligations de confidentialité applicables et les respectent.
L’accès aux locaux, zones et informations doit être limité à ce qui est nécessaire à l’exécution des prestations. Toute restriction d’accès ou consigne particulière communiquée par le Client doit être respectée.
En cas d’accès accidentel, de perte, de divulgation, de photographie non autorisée ou de tout autre incident susceptible de compromettre la confidentialité d’une information, le Prestataire en informe sans délai le représentant désigné par le Client et lui communique les éléments disponibles concernant l’incident.
L’obligation de confidentialité demeure applicable après la fin de la relation contractuelle aussi longtemps que les informations concernées conservent leur caractère confidentiel, sous réserve des obligations légales applicables.
Ne sont pas considérées comme confidentielles les informations qui étaient légitimement connues du Prestataire avant leur communication, qui sont devenues publiques sans violation du présent engagement ou dont la divulgation est imposée par une obligation légale ou une décision d’une autorité compétente.
Cette clause constitue une base générale. Elle ne remplace pas les dispositions spécifiques nécessaires lorsqu’un prestataire traite effectivement des données personnelles pour le compte du client. Dans ce cas, les exigences relatives à la sous-traitance prévues notamment par l’art. 9 LPD doivent également être examinées. Le PFPDT rappelle notamment que le responsable du traitement doit encadrer contractuellement les instructions, la confidentialité et la sécurité lorsque des données sont réellement confiées à un sous-traitant.
Pour des informations soumises au secret professionnel, des données médicales, des secrets industriels importants ou d’autres environnements particulièrement sensibles, une validation par un juriste ou un avocat reste recommandée.
Modèle d’accord de confidentialité complet avec un prestataire externe
Le modèle ci-dessous constitue une base générale destinée à illustrer la structure d’un accord de confidentialité entre une entreprise et un prestataire intervenant dans ses locaux. Il doit être adapté à l’activité, aux informations concernées, au contrat principal et aux éventuelles obligations légales ou réglementaires applicables. Pour les environnements particulièrement sensibles, une validation juridique est recommandée.
Accord de confidentialité
Entre les soussignés :
[Nom de l’entreprise cliente], sise à [adresse], représentée par [nom et fonction], ci-après dénommée « le Client »,
et
[Nom du prestataire], sise à [adresse], représentée par [nom et fonction], ci-après dénommée « le Prestataire »,
ensemble dénommés « les Parties ».
1. Objet de l’accord
Le présent accord a pour objet de définir les obligations de confidentialité applicables au Prestataire dans le cadre des prestations réalisées pour le Client, notamment lors de l’accès aux locaux, documents, systèmes, équipements ou informations auxquels le Prestataire ou ses collaborateurs pourraient être exposés directement ou fortuitement.
2. Informations confidentielles
Sont considérées comme confidentielles toutes les informations non publiques relatives au Client, à ses activités, à ses collaborateurs, clients, fournisseurs ou partenaires, dont le Prestataire pourrait avoir connaissance dans le cadre de sa mission.
Peuvent notamment être concernées les informations commerciales, financières, techniques, stratégiques ou contractuelles, les documents internes, plans, prototypes, résultats de recherche, données personnelles, dossiers clients, informations RH, procédés, mots de passe, éléments affichés sur des écrans ou toute autre information identifiée comme confidentielle par le Client.
3. Obligations du Prestataire
Le Prestataire s’engage à utiliser les informations auxquelles il pourrait être exposé uniquement dans la mesure strictement nécessaire à l’exécution de ses prestations.
Sauf autorisation expresse du Client, le Prestataire et les personnes intervenant pour son compte s’interdisent notamment de consulter volontairement, reproduire, photographier, enregistrer, copier, déplacer, communiquer ou divulguer des informations confidentielles.
4. Collaborateurs et personnes autorisées
Le Prestataire veille à ce que les collaborateurs, remplaçants et éventuels sous-traitants autorisés intervenant sur le site connaissent et respectent les obligations prévues par le présent accord.
L’accès aux informations et aux zones du Client doit être limité aux seules personnes dont la présence est nécessaire à l’exécution de la prestation.
5. Accès aux locaux
Le Prestataire s’engage à respecter les règles d’accès communiquées par le Client, notamment concernant les clés, badges, zones restreintes, locaux techniques, bureaux particuliers ou espaces soumis à des autorisations spécifiques.
L’accès à une zone non comprise dans le périmètre de la prestation ne doit pas être effectué sauf instruction ou autorisation du Client.
6. Photographies, copies et appareils personnels
Le Prestataire s’engage à respecter toute restriction imposée par le Client concernant l’utilisation de téléphones, appareils photographiques ou autres dispositifs permettant d’enregistrer des informations dans les locaux.
Aucune photographie, copie ou reproduction contenant des informations confidentielles ne peut être réalisée sans autorisation lorsque celle-ci n’est pas nécessaire à l’exécution de la prestation.
7. Mesures de sécurité
Le Prestataire applique les mesures organisationnelles et techniques raisonnablement nécessaires pour éviter l’accès, l’utilisation ou la divulgation non autorisés d’informations confidentielles dont il aurait connaissance ou qui lui auraient été confiées.
Lorsqu’une consigne particulière de sécurité ou de confidentialité est communiquée par le Client, elle doit être transmise aux personnes concernées avant leur intervention.
8. Incident de confidentialité
En cas d’accès accidentel, de perte, de divulgation, de photographie non autorisée ou de tout autre événement susceptible de compromettre la confidentialité d’une information, le Prestataire en informe sans délai la personne désignée par le Client.
Le Prestataire communique, dans la mesure des informations disponibles, la nature de l’incident, les circonstances dans lesquelles il s’est produit et les éventuelles mesures déjà prises.
9. Restitution ou destruction
Lorsque des documents, supports, fichiers ou autres informations ont été remis au Prestataire dans le cadre de sa mission, le Client peut demander leur restitution ou leur destruction à la fin de la prestation, sous réserve des obligations légales de conservation applicables.
10. Exceptions
Les obligations prévues par le présent accord ne s’appliquent pas aux informations dont le Prestataire peut démontrer qu’elles étaient déjà légitimement en sa possession, qu’elles étaient accessibles au public sans violation du présent accord ou que leur communication est imposée par la loi ou par une autorité compétente.
11. Durée de l’obligation de confidentialité
Les obligations de confidentialité s’appliquent pendant toute la durée de la relation contractuelle et continuent à produire leurs effets après sa fin aussi longtemps que les informations concernées conservent raisonnablement leur caractère confidentiel, sous réserve de toute durée particulière convenue entre les Parties.
12. Protection des données personnelles
Lorsque l’exécution de la prestation implique réellement un traitement de données personnelles pour le compte du Client, les Parties examinent séparément les obligations applicables en matière de protection des données, notamment celles relatives à la sous-traitance au sens de la LPD.
Le présent accord de confidentialité ne remplace pas, lorsqu’il est nécessaire, un accord spécifique relatif au traitement de données personnelles.
13. Droit applicable
Le présent accord est soumis au droit suisse.
Tout litige relatif à son interprétation ou à son exécution est soumis aux dispositions prévues dans le contrat principal ou, à défaut, aux règles de compétence applicables convenues entre les Parties.
14. Signatures
Fait à [lieu], le [date], en deux exemplaires.
Pour le Client
Nom :
Fonction :
Signature :
Pour le Prestataire
Nom :
Fonction :
Signature :
Ce modèle volontairement général ne doit pas être considéré comme un document juridique universel. Le niveau de détail nécessaire dépend notamment du secteur, de la sensibilité des informations, du rôle réel du prestataire et des obligations particulières auxquelles le Client peut être soumis.
La confidentialité se construit avant l’intervention du prestataire
Un accord de confidentialité constitue un cadre utile, mais la protection des informations sensibles ne peut pas reposer uniquement sur un document signé. Elle dépend aussi de la manière dont les accès sont organisés, des informations laissées visibles, des consignes transmises et du nombre de personnes autorisées à intervenir dans les locaux.
La meilleure approche consiste à identifier les informations réellement sensibles, limiter les accès au strict nécessaire et traduire les obligations contractuelles en règles simples et applicables sur le terrain. Dans les environnements les plus sensibles, la stabilité des équipes, la gestion des remplacements et la transmission des consignes prennent une importance particulière.
Chez Business Clean CH, ces enjeux sont intégrés à l’organisation des prestations réalisées dans les environnements professionnels sensibles à Genève. Des engagements de confidentialité peuvent notamment être formalisés lorsque le client ou la nature du site l’exige.
Pour aller plus loin
Découvrez notre approche de la confidentialité et de la discrétion dans le nettoyage professionnel ainsi que nos prestations adaptées aux manufactures horlogères, aux laboratoires, aux locaux médicaux et aux ambassades et missions permanentes.
Vous pouvez également consulter notre article consacré aux critères permettant de reconnaître un service de nettoyage professionnel de qualité.