La nLPD, nouvelle loi fédérale suisse sur la protection des données, s’applique depuis le 1er septembre 2023 à toute entreprise qui traite des données de personnes en Suisse, qu’elle soit établie en Suisse ou à l’étranger. Elle impose d’informer les personnes, de tenir un registre des traitements au-delà de 250 collaborateurs, d’annoncer les violations de sécurité au PFPDT et de répondre aux demandes d’accès sous 30 jours. Contrairement au RGPD, elle sanctionne directement les dirigeants, jusqu’à 250 000 francs d’amende.
Ce guide résume ce qu’une entreprise suisse ou française doit mettre en place, les différences avec le RGPD et les premières actions à mener.
L’essentiel
- En vigueur depuis le 1er septembre 2023, sans période transitoire.
- S’applique aux personnes physiques uniquement (plus aux personnes morales), et aux entreprises étrangères dont l’activité a des effets en Suisse.
- Obligations centrales : devoir d’informer, sécurité des données, registre (dès 250 collaborateurs ou en cas de risque élevé), annonce des violations, droit d’accès sous 30 jours.
- Sanctions pénales jusqu’à 250 000 CHF contre les personnes physiques responsables, prononcées par les cantons sur plainte.
- Une entreprise déjà conforme au RGPD a 80 % du travail fait ; le reste tient à quelques spécificités suisses.
Qui est concerné par la nLPD ?
La loi s’applique à toute personne privée et à tout organe fédéral qui traite des données personnelles, dès lors que le traitement a des effets en Suisse, même s’il est effectué depuis l’étranger. Une entreprise française qui vend à des clients suisses, emploie des frontaliers ou héberge des données de résidents suisses entre donc dans son champ.
Deux nouveautés par rapport à l’ancienne loi de 1992 : seules les données des personnes physiques sont protégées (les fichiers d’entreprises ne le sont plus), et les données génétiques et biométriques rejoignent la liste des données sensibles.
Les entreprises étrangères qui traitent à grande échelle des données de personnes en Suisse doivent en outre désigner un représentant en Suisse (article 14), interlocuteur des personnes concernées et du PFPDT.
Les obligations concrètes d’une entreprise
Informer les personnes (articles 19 et 20)
Chaque collecte de données doit s’accompagner d’une information : identité du responsable, finalités, destinataires, et pays de destination en cas de transfert à l’étranger. En pratique, cela passe par une déclaration de protection des données sur le site et des mentions sur les formulaires. L’article devoir d’informer dans la nLPD en détaille le contenu.
Sécuriser les données (articles 7 et 8)
La loi exige des mesures techniques et organisationnelles appropriées au risque, ainsi que la protection des données dès la conception et par défaut pour tout nouveau projet. L’ordonnance d’application précise les objectifs : contrôle des accès, journalisation, confidentialité, disponibilité. Les fiches article 8 et article 7 en donnent la lecture pratique.
Tenir un registre des activités de traitement (article 12)
Le registre est obligatoire pour les entreprises de 250 collaborateurs et plus, et pour toutes celles qui traitent des données sensibles à grande échelle ou pratiquent un profilage à risque élevé. En dessous, il reste le moyen le plus simple de piloter sa conformité, et nous le recommandons à toute PME. Voir la fiche article 12.
Encadrer les sous-traitants (article 9)
Confier des données à un prestataire suppose un contrat ou une base légale, l’assurance qu’il offre une sécurité suffisante, et son accord préalable avant tout sous-traitant ultérieur. L’article sous-traitance sous la nLPD liste les clauses à prévoir.
Transférer des données à l’étranger (articles 16 et 17)
Un transfert n’est libre que vers un pays reconnu adéquat par le Conseil fédéral (l’Union européenne en fait partie). Vers les autres, dont les États-Unis hors dispositif reconnu, il faut des clauses contractuelles types ou une autre garantie. Le guide sur les transferts internationaux précise les cas.
Mener une analyse d’impact (article 22)
Lorsqu’un traitement présente un risque élevé pour les personnes (données sensibles à grande échelle, surveillance systématique, profilage), l’entreprise réalise une analyse d’impact et consulte le PFPDT si le risque subsiste. Méthode dans l’article analyse d’impact sous la nLPD.
Annoncer les violations de sécurité (article 24)
Toute violation qui entraîne vraisemblablement un risque élevé pour les personnes s’annonce au PFPDT « dans les meilleurs délais », et aux personnes concernées lorsque c’est nécessaire à leur protection. La nLPD ne fixe pas de délai de 72 heures comme le RGPD, mais l’exigence de rapidité est la même. Procédure dans déclarer une fuite de données au PFPDT.
Répondre aux demandes d’accès (article 25)
Toute personne peut demander quelles données vous détenez sur elle ; vous répondez gratuitement sous 30 jours. S’y ajoutent le droit à la remise des données dans un format courant et le droit de s’opposer à une décision individuelle automatisée. Voir droit d’accès sous la nLPD.
nLPD et RGPD : les différences qui comptent
| Point | RGPD (Union européenne) | nLPD (Suisse) |
|---|---|---|
| Base légale du traitement | Obligatoire pour chaque traitement (consentement, contrat, intérêt légitime…) | Pas de base légale requise par principe ; le traitement est licite s’il respecte les principes et ne porte pas atteinte à la personnalité |
| Registre des traitements | Obligatoire sauf exceptions pour les moins de 250 salariés | Obligatoire dès 250 collaborateurs, ou en cas de risque élevé |
| Délégué / conseiller | DPO obligatoire dans trois cas | Conseiller à la protection des données facultatif (article 10), qui apporte un allègement sur la consultation du PFPDT |
| Violation de données | Notification à l’autorité sous 72 heures | Annonce au PFPDT « dans les meilleurs délais », si risque élevé |
| Sanctions | Amendes administratives contre l’entreprise, jusqu’à 4 % du chiffre d’affaires | Amendes pénales contre les personnes physiques, jusqu’à 250 000 CHF, sur plainte |
| Profilage | Encadré par l’article 22 (décisions automatisées) | Notion de profilage à risque élevé, soumise à consentement exprès dans certains cas |
Une entreprise déjà conforme au RGPD doit donc surtout adapter sa déclaration de protection des données (mention des pays de transfert), vérifier ses profilages, et prévoir un représentant en Suisse si elle y traite des données à grande échelle depuis l’étranger. L’article différences entre RGPD et LPD compare les deux textes point par point.
Le PFPDT et les sanctions
Le Préposé fédéral à la protection des données et à la transparence surveille l’application de la loi : il ouvre des enquêtes, rend des décisions contraignantes et peut ordonner l’arrêt d’un traitement. Il ne prononce pas lui-même les amendes.
Les sanctions pénales, jusqu’à 250 000 francs, visent les personnes physiques qui ont intentionnellement violé le devoir d’informer, les obligations de diligence (sécurité, sous-traitance, transferts) ou le devoir de collaborer avec le PFPDT. Elles sont prononcées par les autorités cantonales, le plus souvent sur plainte. C’est le dirigeant, et non seulement l’entreprise, qui porte le risque ; l’article amendes et risques nLPD détaille les infractions. Le rôle de l’autorité est décrit dans la fiche PFPDT.
Ce que je constate en mission. Les groupes qui ont des entités en Suisse et en France demandent presque toujours un seul référentiel. C’est possible : on documente au niveau du RGPD, qui est plus exigeant sur la base légale et les délais, puis on ajoute les trois spécificités suisses (pays de transfert dans l’information, profilage, représentant). Ce qui ne fonctionne pas, c’est de traiter la Suisse comme une annexe : la responsabilité pénale personnelle du dirigeant change la manière dont la direction s’implique.
Thomas Blanc, DPO externalisé depuis 2018, missions en France et en Suisse
Par où commencer : les cinq premières actions
- Cartographier les traitements et les prestataires, même si le registre n’est pas obligatoire pour votre taille.
- Rédiger ou mettre à jour la déclaration de protection des données du site et les mentions sur les formulaires, avec les pays de transfert.
- Vérifier les contrats avec les sous-traitants et la localisation des données.
- Écrire deux procédures d’une page : réponse aux demandes d’accès sous 30 jours, annonce d’une violation au PFPDT.
- Former la direction et désigner un responsable interne, ou un conseiller à la protection des données externe.
Questions fréquentes
Une PME suisse de 20 personnes doit-elle tenir un registre ?
Non, sauf si elle traite des données sensibles à grande échelle ou pratique un profilage à risque élevé. Elle reste tenue d’informer, de sécuriser, de répondre aux demandes d’accès et d’annoncer les violations ; un registre simplifié est le moyen le plus court d’y parvenir.
Faut-il un conseiller à la protection des données ?
La désignation est facultative. Elle dispense de consulter le PFPDT après une analyse d’impact lorsque le conseiller a été consulté, et elle donne un interlocuteur identifié aux personnes et à l’autorité. Détail dans la fiche article 10.
Une entreprise française doit-elle appliquer la nLPD ?
Oui dès que son traitement a des effets en Suisse : clients, salariés ou utilisateurs suisses. Si elle y traite des données à grande échelle, régulièrement et avec un risque élevé, elle désigne en plus un représentant en Suisse.
Combien de temps prend une mise en conformité nLPD ?
Quelques semaines pour une PME qui part de zéro, entre le cadrage, les entretiens et la remise des livrables ; une entreprise déjà conforme au RGPD y consacre une demi-journée d’ajustements.
Se mettre en conformité avec la nLPD
Notre mission LPD Efficace couvre l’audit, le registre, la déclaration de protection des données et les procédures, pour les PME suisses et pour les entreprises françaises actives en Suisse. Un appel de 30 minutes permet de cadrer votre situation.
Sources
- Loi fédérale sur la protection des données (LPD) du 25 septembre 2020 – Fedlex
- Ordonnance sur la protection des données (OPDo) – Fedlex
- Préposé fédéral à la protection des données et à la transparence (PFPDT)
