Fichier clients et nLPD : la checklist pour votre salon de coiffure en Suisse

Nom, numéro de téléphone, historique des visites, formule de la couleur, parfois une note "allergique au PPD" : le fichier clients d'un salon de coiffure est rempli de données personnelles. Depuis le 1er septembre 2023, c'est la nouvelle loi fédérale sur la protection des données, la nLPD, qui encadre ce fichier en Suisse. Elle s'applique à tous les salons, de Genève à Sion, que vous travailliez seule avec un cahier ou avec cinq collaborateurs et un logiciel.

La bonne nouvelle : pour un salon de coiffure, la conformité nLPD est beaucoup plus légère que ce que laissent craindre certaines offres de consultants. Pas d'autorisation à demander, pas de déclaration à déposer, et même une exemption de registre des traitements dont la plupart des salons bénéficient. Ce qui compte, c'est une poignée de réflexes concrets.

Ce guide est publié par ViteUneCoupe, le logiciel de réservation gratuit et sans commission pour salons de coiffure, dont la version gratuite inclut un fichier clients avec historique des rendez-vous. Les règles ci-dessous valent néanmoins pour tous les salons suisses, quel que soit l'outil. Chaque point s'appuie sur le texte officiel, publié sur Fedlex (LPD, RS 235.1), et sur les explications du Préposé fédéral (PFPDT) et du portail PME de la Confédération.

La nLPD s'applique-t-elle à votre salon de coiffure ?

Oui, sans condition de taille. La loi révisée est en vigueur depuis le 1er septembre 2023, comme le rappelle le portail PME de la Confédération, et elle s'applique dès que vous traitez des données de personnes physiques identifiables. Un prénom associé à un numéro de téléphone suffit. Le support n'y change rien : fichier dans un logiciel, tableau Excel, cahier de fiches à l'accueil, tout est concerné.

Ce que la nLPD n'exige pas mérite d'être dit aussi clairement : il n'existe aucune déclaration préalable de fichier à faire auprès d'une autorité, et le PFPDT ne délivre pas de "certificat de conformité" aux salons. La logique est celle de la responsabilité : vous appliquez les principes de la loi et vous devez pouvoir montrer que vous le faites. Si votre salon s'était déjà mis au niveau du RGPD européen, le portail PME le confirme : vous aurez peu de changements à entreprendre. Mais attention à ne pas confondre les deux lois, car plusieurs règles diffèrent en pratique.

nLPD ou RGPD : quelle loi concerne votre salon ?

Pour un salon de coiffure installé en Suisse et servant une clientèle locale, la loi applicable est la nLPD, point. C'est elle que ce guide détaille.

Le RGPD européen peut s'appliquer en plus dans un cas précis : lorsque votre salon cible activement des personnes qui se trouvent dans l'Union européenne. Le texte du RGPD (article 3, paragraphe 2) vise l'offre de biens ou de services à des personnes dans l'UE et le suivi de leur comportement. Concrètement : un salon de Genève dont des frontalières françaises passent la porte n'est pas, de ce seul fait, soumis au RGPD. En revanche, un salon qui fait de la publicité ciblée vers la France voisine, ou qui anime une liste de diffusion destinée à sa clientèle française, se rapproche du champ du RGPD et a intérêt à appliquer les deux référentiels. Dans le doute, restez sobre dans la collecte : un salon qui ne garde que ce dont il a besoin est rarement en difficulté, quelle que soit la loi.

Pour les salons installés en France, les règles sont différentes sur plusieurs points (registre obligatoire, repères de durée de la CNIL) : nous les détaillons dans notre guide du fichier clients et du RGPD pour les salons français. Le présent article est son équivalent suisse.

Quelles données détient votre fichier, et lesquelles sont sensibles ?

Commencez par un inventaire honnête, supports papier compris. Un salon détient typiquement :

• Coordonnées : nom, prénom, téléphone, email, parfois adresse.
• Historique des rendez-vous : dates, prestations, collaborateur, montants.
• Notes techniques : formule de couleur, oxydant, temps de pose, diagnostic capillaire.
• Notes libres : préférences, remarques diverses.
• Parfois des photos : avant/après conservés dans la fiche ou publiés sur les réseaux.

Un point demande une vraie vigilance : l'article 5 de la LPD classe les données sur la santé parmi les données personnelles sensibles, au même titre que les données biométriques ou les opinions religieuses. Une note "allergie au PPD" ou "cuir chevelu psoriasique" est donc une donnée sensible au sens de la loi. Cela ne vous interdit pas de la noter, c'est même une question de sécurité avant une coloration. Mais le régime est renforcé : notez l'information avec l'accord de la cliente et parce qu'elle est nécessaire à la prestation, limitez-la au strict utile, et ne la communiquez jamais à des tiers.

Même logique pour les photos : conserver un avant/après dans la fiche et le publier sur Instagram sont deux usages distincts, qui demandent deux accords distincts. Et pour les notes libres : n'écrivez jamais dans une fiche ce que vous ne pourriez pas montrer à la personne concernée, car elle a le droit de tout lire.

Proportionnalité suisse : pas de durée magique de conservation

C'est une différence notable avec la pratique française. En France, la CNIL donne un repère chiffré de trois ans après le dernier contact pour les fichiers commerciaux. Ce repère est une doctrine française : il n'existe pas d'équivalent suisse, et aucune règle nLPD ne fixe une durée en années pour un fichier clients de salon.

Le droit suisse raisonne en principes, posés à l'article 6 LPD : licéité, bonne foi, proportionnalité, finalité reconnaissable, exactitude. Et surtout : les données personnelles sont détruites ou anonymisées dès qu'elles ne sont plus nécessaires au regard des finalités du traitement. C'est à vous de fixer une durée cohérente et de pouvoir l'expliquer.

Pour un salon, une politique raisonnable ressemble à ceci :

Concrètement : une fois par an, triez votre fichier sur la date de dernière visite et supprimez ou anonymisez les fiches dormantes depuis plusieurs années. L'important n'est pas le chiffre exact que vous retenez, c'est d'avoir une règle et de l'appliquer.

Informer vos clientes : le devoir d'information

L'article 19 LPD impose d'informer les personnes de manière adéquate lors de la collecte de leurs données : qui est responsable du fichier, pour quelles finalités, et à qui les données peuvent être communiquées. C'est le changement le plus visible de la nLPD pour une petite entreprise, et il se règle avec deux supports :

• Sur votre page de réservation en ligne : une courte déclaration de confidentialité, visible au moment où la cliente saisit ses coordonnées. Quelques phrases claires valent mieux qu'un pavé juridique : "Le salon X, à Lausanne, conserve vos coordonnées et votre historique de prestations pour gérer vos rendez-vous. Vos données sont hébergées chez notre prestataire Y. Vous pouvez y accéder, les corriger ou les faire supprimer en nous écrivant à..."
• Au salon : un affichage simple à l'accueil reprenant la même information, pour les clientes qui réservent par téléphone ou sur place.

L'information n'est pas un consentement : vous n'avez pas à faire signer un formulaire pour tenir votre fichier, gérer les rendez-vous relève de la relation de service elle-même. Le consentement se réserve aux cas particuliers : noter une donnée de santé, publier une photo, envoyer de la publicité (on y revient plus bas).

Registre des traitements : l'exemption dont votre salon bénéficie

Autre différence avec la France, et elle est favorable aux salons suisses. La nLPD prévoit bien un registre des activités de traitement (article 12 LPD), mais la loi charge le Conseil fédéral de prévoir des exceptions pour les entreprises de moins de 250 collaborateurs dont le traitement présente un risque limité. L'ordonnance d'application l'a fait : l'article 24 de l'OPDo (RS 235.11) exempte ces entreprises du registre, sauf traitement de données sensibles à grande échelle ou profilage à risque élevé.

Un fichier clients de salon de coiffure, avec ses quelques notes d'allergie individuelles, n'est pas un traitement de données sensibles "à grande échelle" : votre salon est donc, dans la quasi-totalité des cas, dispensé du registre. En France, le même salon devrait le tenir.

Notre conseil reste de rédiger une page d'inventaire maison, sans formalisme : quelles données, où elles sont stockées, qui y accède, combien de temps vous les gardez. Non parce que la loi l'exige, mais parce que cette page vous fera gagner du temps le jour où une cliente exercera ses droits ou qu'un incident surviendra.

Les droits de vos clientes sur leurs données

La nLPD donne à chaque personne des droits sur ses données, et un salon doit savoir y répondre :

• Droit d'accès (article 25 LPD) : "Qu'avez-vous sur moi ?" Vous communiquez la fiche complète, notes libres incluses, dans les 30 jours (article 18 OPDo).
• Rectification : un numéro erroné, un nom mal orthographié, vous corrigez.
• Effacement : "Supprimez ma fiche." Vous supprimez coordonnées, historique et notes, et ne conservez que ce qu'une autre loi impose de garder, comme les pièces comptables, dans un archivage séparé.
• Remise des données (article 28 LPD) : pour les données traitées automatiquement, la cliente peut demander une copie dans un format électronique courant, par exemple pour la transmettre à un autre salon.

Aucun formalisme n'est exigé de la cliente : une demande orale au bac est valable. Une réponse écrite de votre côté, même brève, vous servira de preuve.

Violation de données : quand prévenir le PFPDT ?

Si votre fichier clients fuite (vol de l'ordinateur, piratage du logiciel, cahier disparu), l'article 24 LPD impose d'annoncer la violation au Préposé fédéral dans les meilleurs délais, lorsqu'elle entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Le PFPDT met à disposition un portail d'annonce en ligne prévu à cet effet.

Notez la nuance avec le RGPD : pas de délai couperet de 72 heures, et seules les violations à risque élevé doivent obligatoirement être annoncées. La perte d'une liste de prénoms et d'horaires de rendez-vous n'atteint généralement pas ce seuil ; la fuite d'un fichier complet avec notes de santé peut l'atteindre. Quand le risque existe pour vos clientes, informez-les aussi, directement et simplement.

La meilleure annonce reste celle qu'on n'a jamais à faire. Les bases, à la portée de tout salon : un identifiant par collaborateur sur le logiciel plutôt qu'un compte partagé, des mots de passe solides, des sauvegardes (un cahier unique peut brûler, un Excel sur un seul PC sans copie ne vaut guère mieux), une tablette d'accueil qui se verrouille, et l'accès coupé le jour même quand un collaborateur quitte le salon. Ces réflexes rejoignent le principe de protection des données dès la conception et par défaut (article 7 LPD) : choisissez des outils et des réglages qui protègent les données sans que vous ayez à y penser.

Hébergement à l'étranger : ce qu'il faut vérifier chez votre logiciel

Dès que votre fichier vit dans un logiciel en ligne, l'éditeur traite des données pour votre compte, et vous restez responsable du fichier. La nLPD n'impose pas un hébergement en Suisse, mais elle encadre la communication de données à l'étranger (articles 16 et 17 LPD) : le pays de destination doit offrir un niveau de protection adéquat, reconnu par le Conseil fédéral dans l'annexe 1 de l'OPDo. Comme l'explique le PFPDT sur la communication de données à l'étranger, les États de l'UE et de l'EEE figurent sur cette liste : un hébergement en France ou en Allemagne est admis sans garantie supplémentaire. Pour les États-Unis, c'est conditionnel : entreprises certifiées Swiss-U.S. Data Privacy Framework, ou clauses contractuelles types.

Trois questions à poser à votre prestataire actuel, ou avant d'en choisir un nouveau, comme détaillé dans notre guide des logiciels de réservation pour salons de coiffure en Suisse :

1. Où sont hébergées les données ? Suisse ou UE/EEE : simple. États-Unis ou ailleurs : demandez quelles garanties s'appliquent.
2. Pouvez-vous récupérer et supprimer votre fichier ? Vous devez pouvoir exporter vos données si vous changez d'outil, et supprimer une fiche quand une cliente le demande. Un prestataire qui verrouille votre fichier vous met en difficulté vis-à-vis de vos propres obligations.
3. À qui appartient la relation client ? Certaines plateformes s'intercalent entre le salon et ses clientes, qui deviennent aussi les utilisatrices de la place de marché.

Chez ViteUneCoupe, les données des salons sont hébergées en France et en Allemagne, deux pays reconnus adéquats par l'annexe 1 OPDo, le fichier clients appartient au salon et reste exportable, et il n'y a aucune place de marché entre vous et vos clientes : 0 % de commission, toujours. Par transparence : l'abonnement des plans payants est facturé en euros, pas en francs, et il n'y a pas de rappels par SMS, les rappels se font par email.

Rappels de rendez-vous ou publicité : deux régimes différents

Dernière confusion à lever, car elle touche directement votre quotidien.

Les notifications de service (confirmation du rendez-vous, rappel la veille, message pour un changement d'horaire) font partie de l'exécution de la prestation : la cliente a réservé, vous l'informez sur sa réservation. Pas besoin d'un consentement publicitaire pour les envoyer. Ce sont d'ailleurs ces rappels qui pèsent le plus pour réduire les rendez-vous non honorés dans un salon suisse. Dans ViteUneCoupe, les confirmations et rappels automatiques par email font partie du plan Standard, à partir de 29 € HT par mois, sans engagement.

La publicité (promotion sur les colorations, offre d'anniversaire, relance des clientes inactives) obéit à une autre règle : la loi fédérale contre la concurrence déloyale (LCD, art. 3, al. 1, let. o) qualifie de déloyal l'envoi en masse de publicité par voie électronique sans consentement du destinataire. L'exception utile pour vous : vos clientes existantes peuvent recevoir des offres sur des prestations analogues à celles déjà achetées, si elles vous ont laissé leurs coordonnées lors de l'achat et peuvent refuser facilement ces envois. Chaque message doit donc identifier le salon et permettre de se désinscrire simplement. Si la fidélisation par email fait partie de votre stratégie, notre guide pour fidéliser les clientes d'un salon de coiffure détaille ce qui fonctionne sans agacer.

Les sanctions : CHF 250 000, mais pour qui, et pour quoi ?

Le chiffre circule beaucoup, précisons-le à partir du texte. Les articles 60 et suivants de la LPD prévoient des amendes pénales pouvant atteindre CHF 250 000. Trois précisions changent tout pour un salon :

• Elles visent des personnes physiques (le responsable qui commet la violation), pas l'entreprise : c'est l'inverse du RGPD et de ses amendes sur le chiffre d'affaires.
• Elles supposent une violation intentionnelle de devoirs précis : informations fausses, violation du devoir d'informer ou de renseigner, communication de données à l'étranger sans garanties, exigences minimales de sécurité ignorées, violation du devoir de discrétion.
• La poursuite relève des autorités pénales cantonales, pas du PFPDT, qui prononce des mesures mais pas d'amendes.

Autrement dit : un salon de bonne foi qui informe ses clientes, répond aux demandes d'accès et sécurise son fichier ne risque pas grand-chose pénalement. Le vrai risque du quotidien : une cliente qui demande sa fiche sans obtenir de réponse, un fichier qui part chez un concurrent, une note maladroite lue par la personne concernée. La conformité nLPD est d'abord une affaire de confiance commerciale.

La checklist nLPD de votre salon

Pour finir, l'essentiel en une liste à cocher :

1. Inventaire : vous savez quelles données vous détenez, où, et qui y accède.
2. Information : une déclaration de confidentialité courte sur votre page de réservation et un affichage à l'accueil.
3. Données de santé : notes d'allergie limitées au nécessaire, avec l'accord de la cliente, jamais communiquées.
4. Durées : un tri annuel des fiches dormantes, pièces comptables archivées 10 ans à part.
5. Droits : vous savez fournir, corriger ou supprimer une fiche dans les 30 jours.
6. Sécurité : comptes individuels, mots de passe solides, sauvegardes, accès coupés aux départs.
7. Prestataire : hébergement en Suisse ou dans un pays de l'annexe 1 OPDo, export possible, fichier qui vous appartient.
8. Incident : vous savez que le portail d'annonce du PFPDT existe, et quand l'utiliser.

Huit points, aucun ne demande un juriste. Et si votre fichier clients vit encore sur des fiches volantes, c'est peut-être l'occasion de le structurer : la version gratuite de ViteUneCoupe inclut un fichier clients avec historique des rendez-vous, hébergé en France et en Allemagne, sans commission ni carte bancaire requise.

Questions fréquentes

Mon salon de coiffure doit-il tenir un registre des traitements ?

Dans la quasi-totalité des cas, non. L'article 24 OPDo exempte les entreprises de moins de 250 collaborateurs dont le traitement présente un risque limité, et un fichier clients de salon entre dans ce cadre, sauf traitement de données sensibles à grande échelle. Tenir un inventaire d'une page reste une bonne pratique, mais ce n'est pas une obligation légale pour un salon.

Une note d'allergie dans la fiche cliente est-elle une donnée sensible ?

Oui. L'article 5 LPD classe les données sur la santé parmi les données personnelles sensibles, et une allergie au PPD ou un problème de cuir chevelu en fait partie. Vous pouvez la noter parce qu'elle est nécessaire à la sécurité de la prestation, avec l'accord de la cliente, en vous limitant au strict utile et sans jamais la communiquer à des tiers.

Combien de temps garder la fiche d'une cliente qu'on ne voit plus ?

La loi suisse ne fixe pas de durée en années : elle impose la proportionnalité et la destruction ou l'anonymisation des données devenues inutiles (article 6 LPD). Fixez votre propre règle, par exemple quelques années après la dernière visite, et appliquez-la lors d'un tri annuel ; les pièces comptables, elles, se conservent 10 ans (article 958f CO). Le repère français des 3 ans est une doctrine de la CNIL, pas une règle suisse.

Le RGPD s'applique-t-il à mon salon genevois qui coiffe des frontalières ?

Pas du seul fait que des clientes françaises viennent au salon. Le RGPD vise les entreprises hors UE qui ciblent activement des personnes dans l'UE, par exemple par de la publicité ou des offres dirigées vers la France. Un salon suisse à clientèle locale applique la nLPD ; s'il prospecte activement de l'autre côté de la frontière, il a intérêt à respecter les deux textes.

Puis-je héberger mon fichier clients en dehors de la Suisse ?

Oui, à condition que le pays d'hébergement offre un niveau de protection adéquat reconnu par le Conseil fédéral dans l'annexe 1 OPDo, ce qui inclut les États de l'UE et de l'EEE. Pour les États-Unis, l'hébergeur doit être certifié Swiss-U.S. Data Privacy Framework ou lié par des clauses contractuelles types. Demandez simplement à votre logiciel où sont stockées les données.

Que risque concrètement un petit salon qui n'est pas en règle ?

Les amendes pénales de la LPD, jusqu'à CHF 250 000, visent des violations intentionnelles de devoirs précis et frappent des personnes physiques, pas l'entreprise. Pour un salon de bonne foi, le risque réaliste est ailleurs : une cliente qui exerce ses droits sans obtenir de réponse, ou une fuite de données qui abîme la confiance. Les huit points de la checklist ci-dessus couvrent l'essentiel.