Protection des données et billetterie : la nLPD pour les organisateurs

Quand vous vendez des billets, vous collectez des données personnelles : nom, e-mail, parfois adresse, et les informations de paiement traitées par le prestataire de paiement. Au sens de la LPD, l'organisateur est le responsable du traitement : c'est lui qui décide pourquoi ces données sont collectées.

La plateforme de billetterie est un sous-traitant : elle traite les données pour le compte de l'organisateur. La LPD exige un contrat qui encadre ce traitement (art. 9 LPD). Vérifiez que votre billetterie en propose un, et lisez ce qu'elle se réserve le droit de faire avec les données de vos acheteurs.

Le devoir d'informer (art. 19 LPD) impose de dire, au moment de la collecte, au minimum :

• l'identité et les coordonnées du responsable (l'organisateur) ;
• les finalités (vente et envoi des billets, contrôle d'accès, informations sur l'événement) ;
• les destinataires (billetterie, prestataire de paiement, envoi d'e-mails) ;
• les pays étrangers où les données sont communiquées, le cas échéant.

Pour une newsletter, demandez un consentement séparé : l'achat d'un billet n'autorise pas à envoyer de la publicité pour d'autres événements.

La LPD autorise la communication de données vers un pays dont la législation offre une protection adéquate selon le Conseil fédéral, par exemple les pays de l'Union européenne (art. 16 LPD). Pour les États-Unis, les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework sont couvertes depuis le 15 septembre 2024 ; sinon, il faut des garanties comme les clauses contractuelles types.

Demandez à votre billetterie où sont hébergées les données et quels prestataires interviennent. Chez NestEvent, par exemple : base de données en Suisse (Zurich), application en Allemagne (Francfort), paiements par Stripe et e-mails par Resend, détaillés dans la politique de confidentialité.

• Accès limités : chaque membre de l'équipe n'accède qu'à ce dont il a besoin. Un bénévole au contrôle d'accès n'a pas à voir les commandes.
• Paiements : ne stockez jamais de numéros de carte. Un prestataire certifié PCI-DSS (comme Stripe) les traite directement.
• Violation : si une fuite présente vraisemblablement un risque élevé pour les personnes, elle doit être annoncée au Préposé fédéral (PFPDT) dans les meilleurs délais (art. 24 LPD).
• Durée de conservation : ne gardez pas les données plus longtemps que nécessaire (obligations comptables mises à part).

La LPD prévoit des amendes jusqu'à 250'000 CHF (art. 60 ss LPD), notamment en cas de violation intentionnelle du devoir d'informer, de sous-traitance non conforme ou de manquement aux exigences minimales de sécurité. Particularité suisse : l'amende vise en principe la personne physique responsable, par exemple le président de l'association ou le responsable de la billetterie.

Si des personnes vivant dans l'Union européenne achètent vos billets, le RGPD peut aussi s'appliquer. Les deux textes sont proches ; une politique de confidentialité claire et un contrat de sous-traitance couvrent l'essentiel.

1. 1.Publier une déclaration de confidentialité qui couvre la billetterie.
2. 2.Conclure un contrat de sous-traitance avec la billetterie.
3. 3.Savoir où sont hébergées les données et quels prestataires y ont accès.
4. 4.Séparer consentement newsletter et achat.
5. 5.Limiter les accès de l'équipe et des bénévoles.
6. 6.Prévoir quoi faire en cas de fuite (qui décide, qui prévient le PFPDT).