SBB Mobile et vos données : ce que l'app des CFF sait vraiment de vous en 2026

Chaque mois, des millions de Suisses utilisent l'application SBB Mobile pour acheter leurs billets de train, consulter les horaires et gérer leurs abonnements. Ce que beaucoup ignorent : en 2026, cette application collecte et traite un volume considérable de données personnelles. Depuis l'entrée en vigueur de la nouvelle Loi fédérale sur la protection des données (nLPD) en septembre 2023, les utilisateurs disposent de droits renforcés. Un spécialiste IT ou un expert en protection des données peut vous aider à les exercer concrètement.

Ce que l'app SBB sait vraiment de vous

L'application SBB Mobile collecte plusieurs catégories de données : vos trajets habituels et destinations fréquentes, votre mode de paiement et l'historique de vos achats, vos préférences de voyages (classe, compartiment calme, places réservées), et, si vous avez activé la géolocalisation, votre position en temps réel pour vous guider dans les gares.

Par défaut, certaines fonctionnalités de personnalisation sont activées : les suggestions de trajets basées sur vos habitudes, la mémorisation de vos cartes de fidélité (GA, abonnement demi-tarif, City Ticket), et la synchronisation entre appareils. Ces fonctions améliorent l'expérience utilisateur, mais elles supposent un traitement continu de vos données comportementales.

La nLPD : vos droits en pratique depuis 2023

La Suisse a renforcé sa législation sur la protection des données avec l'entrée en vigueur de la nouvelle LPD. Applicable depuis le 1er septembre 2023, elle aligne le droit suisse sur les standards européens du RGPD tout en conservant des spécificités helvétiques.

Face à une application comme SBB Mobile, vous disposez désormais des droits suivants :

Droit d'accès : Vous pouvez demander à SBB une copie complète des données personnelles vous concernant, incluant l'historique de vos transactions, vos données de localisation et votre profil comportemental. SBB est tenu de répondre dans un délai de 30 jours.

Droit de rectification : Si des données incorrectes vous concernant apparaissent dans les systèmes SBB (par exemple, une adresse de facturation erronée), vous pouvez en demander la correction immédiate.

Droit à la portabilité : Vous pouvez demander vos données dans un format structuré et lisible par machine pour les transférer à un autre prestataire.

Droit d'opposition : Vous pouvez vous opposer au traitement de vos données à des fins de marketing personnalisé ou de profilage comportemental, notamment les suggestions de trajets basées sur votre historique.

Droit à l'effacement : Sous certaines conditions, vous pouvez demander la suppression de tout ou partie de vos données personnelles.

Les risques concrets en 2026

Le cadre légal protège bien les données. Mais trois risques pratiques persistent en 2026 :

1. Le partage avec des tiers : SBB travaille avec des partenaires technologiques pour le fonctionnement de son application. Selon la politique de confidentialité de la compagnie, des données peuvent être partagées avec des prestataires de services informatiques, des partenaires de paiement et des entreprises de transport partenaires. La nLPD exige que ces transferts soient mentionnés dans la politique de confidentialité, mais les utilisateurs ne sont pas toujours alertés lors de chaque nouveau partenariat.

2. Les transferts hors Suisse : SBB utilise des infrastructures cloud dont certains serveurs sont localisés en dehors de la Suisse. Si vos données sont traitées dans un pays sans niveau de protection équivalent à la Suisse, la compagnie doit mettre en place des garanties spécifiques (clauses contractuelles types, décisions d'adéquation). Ces mécanismes existent mais sont rarement vérifiés par les utilisateurs ordinaires.

3. Les données de localisation en cas de vol de smartphone : Si votre téléphone est volé alors que l'application est connectée, des informations sur vos habitudes de déplacement peuvent être accessibles. Activer l'authentification à deux facteurs et le verrouillage automatique est fortement recommandé.

Comment exercer vos droits auprès de SBB

Pour exercer vos droits au titre de la nLPD, SBB met à disposition un formulaire en ligne dans la section « Protection des données » de son site officiel. Vous pouvez également envoyer une demande écrite au délégué à la protection des données de SBB CFF FFS, Hilfikerstrasse 1, 3000 Berne.

Conseil pratique : détaillez précisément l'objet de votre demande (accès, suppression, rectification) et joignez une copie de votre pièce d'identité. En l'absence de réponse dans le délai légal de 30 jours, vous pouvez saisir le Préposé fédéral à la protection des données et à la transparence (PFPDT), l'autorité de surveillance suisse en matière de protection des données.

Quand faire appel à un spécialiste IT ?

Si vous êtes une entreprise ou un indépendant abonné aux services SBB Corporate (billets d'entreprise, abonnements collectifs), la gestion des données personnelles des collaborateurs prend une autre dimension. En tant que responsable du traitement de données pour le compte de vos employés, vous êtes soumis à des obligations supplémentaires au titre de la nLPD : information des personnes concernées, registre des activités de traitement, mesures de sécurité adaptées.

Un spécialiste IT en protection des données peut auditer vos pratiques internes, vous aider à mettre en conformité vos contrats avec SBB et d'autres prestataires numériques, et établir un registre de traitement conforme à la nouvelle loi. Cette démarche devient essentielle pour toute entreprise utilisant des données de transport dans le cadre de ses activités (gestion des notes de frais, analyse des déplacements, facturation). En savoir plus sur la sécurité de vos données et messageries numériques.

Ce que la nLPD ne couvre pas encore

Une limite importante : la nLPD ne s'applique qu'aux données de personnes physiques, pas aux entreprises. Pour les PME utilisant les services SBB Business, la protection des données contractuelles relève davantage du droit des contrats que de la législation sur la protection des données personnelles.

De plus, la nLPD ne prévoit pas encore de droit à la déconnexion numérique équivalent au RGPD européen pour certains types de profilage. Le Parlement suisse débat actuellement de révisions complémentaires pour 2027.

Votre checklist protection des données SBB

Avant de continuer à utiliser l'app SBB Mobile sans vérification, voici les actions immédiates :

1. Vérifiez vos paramètres de confidentialité dans l'app (Profil → Paramètres → Protection des données)
2. Désactivez la géolocalisation permanente si vous ne l'utilisez pas
3. Consultez la politique de confidentialité SBB, mise à jour régulièrement
4. Si vous êtes une entreprise : mandatez un spécialiste IT pour auditer l'utilisation des données SBB dans votre organisation

La protection de vos données personnelles est un droit, pas un luxe. La plateforme Expert Zoom vous met en relation avec des spécialistes IT et des experts en protection des données en Suisse pour vous accompagner dans cette démarche. Consultez notre guide sur la sécurité des données personnelles et vos droits.

Note : Cet article est fourni à titre informatif. Pour une analyse personnalisée de votre situation, consultez un spécialiste en protection des données.