Expert nLPD pour PME suisse : votre mise en conformité, LPD et RGPD en une seule démarche

La nLPD est la nouvelle loi fédérale suisse sur la protection des données, en vigueur depuis le 1er septembre 2023 sans période transitoire. Elle s’applique à toute entreprise, association ou indépendant qui traite des données de personnes physiques, quelle que soit sa taille, et aussi à des entreprises étrangères dont les traitements produisent des effets en Suisse. Notre guide sur la nLPD expliquée aux entreprises détaille chaque obligation.

La loi prévoit des amendes jusqu’à 250’000 CHF, prononcées contre la personne physique responsable, dirigeant ou collaborateur, et non contre l’entreprise, qui ne peut pas les prendre en charge (articles 60 à 63 LPD). S’y ajoutent les enquêtes du Préposé fédéral, les demandes des personnes concernées et, de plus en plus souvent, la perte d’un client ou d’un appel d’offres faute de preuves de conformité.

Un expert identifie les obligations qui s’appliquent réellement à votre entreprise, interroge vos équipes, rédige les documents exigés par la loi (registre, déclaration de protection des données, contrats, procédures), encadre vos sous-traitants et vos transferts à l’étranger, puis vous remet un dossier de preuves. Il vous évite de lire la loi et son ordonnance, et de produire des documents génériques qui ne résisteraient pas à un contrôle ou à une question de client.

La mission nLPD Efficace regroupe la sensibilisation, l’audit, la rédaction des livrables et le dossier de preuves, en un forfait unique. Nous proposons ensuite, en option, le rôle de conseiller à la protection des données au sens de l’article 10 LPD, l’équivalent suisse du DPO externalisé, avec un suivi régulier, la veille et la gestion des incidents. Nous assurons aussi des formations seules pour les équipes qui en ont besoin.

La mission démarre à 2’500 CHF pour une petite structure ; une PME d’une trentaine de collaborateurs se situe autour de 2’900 CHF, hors déplacements. Nous annonçons le forfait avant la signature ; il dépend de l’effectif, du nombre de services, des données sensibles et des flux hors de Suisse. En face, vous évitez une amende personnelle, des semaines de travail interne et la perte de clients exigeants, et vous obtenez des documents que vous pouvez opposer au PFPDT et à vos partenaires.

La nLPD ne l’impose pas aux entreprises privées ; l’article 10 LPD en fait une faculté, avec quelques avantages lorsqu’il est annoncé au Préposé fédéral. Nous vous conseillons de le désigner lorsque vous traitez des données sensibles, des volumes importants ou que vos clients attendent un interlocuteur identifié. Nous pouvons tenir ce rôle à l’issue de la mission.

Oui si vos traitements produisent des effets en Suisse, par exemple des clients ou des utilisateurs qui y sont domiciliés. Vous devrez vérifier si l’article 14 LPD vous oblige à désigner un représentant en Suisse, et compléter votre conformité RGPD avec les points propres à la loi suisse. Nous faisons cette vérification en début de mission et nous réutilisons votre documentation existante.

Les deux textes partagent les mêmes principes : information, sécurité, droits des personnes, encadrement des sous-traitants, analyse d’impact. Ils diffèrent sur des points précis : les sanctions visent les personnes physiques en Suisse, le registre n’est obligatoire qu’à partir de 250 collaborateurs ou en cas de risque élevé, le consentement est moins souvent requis, et la liste des pays reconnus n’est pas identique. Notre article sur les principales différences entre le RGPD et la LPD les détaille.

Le processus complet prend en moyenne quatre à six semaines pour une PME, selon le nombre de services à interroger. La réunion de cadrage dure une à deux heures, les entretiens et l’audit occupent une ou deux journées sur place ou à distance, puis nous rédigeons les livrables à notre bureau avant la restitution. La durée exacte figure au devis.

Nous intervenons partout en Suisse romande, notamment à Genève, Lausanne, Nyon, Fribourg et Neuchâtel, et plus largement en Suisse sur devis. La mission peut aussi se dérouler entièrement à distance : entretiens en visioconférence, documents partagés dans une dataroom sécurisée.

Très peu de choses. Nous vous envoyons un court questionnaire, puis nous avons besoin de la liste des personnes à interroger, des contrats de vos principaux logiciels et prestataires, et de la liste de vos fournisseurs. Nous nous chargeons de tout le reste.

Oui. Après la mission, nous répondons à vos questions de manière illimitée par e-mail ou messagerie, dans la limite d’un usage raisonnable. Si vous souhaitez un suivi structuré, le rôle de conseiller à la protection des données prend le relais avec un point régulier et une veille.

Nous mettons en place les documents, les procédures et la formation exigés par la nLPD et nous vous remettons les preuves correspondantes. La conformité reste ensuite un processus continu qui dépend du maintien de ces pratiques dans votre entreprise ; c’est précisément l’objet du suivi que nous proposons en option.

Nous sommes tenus au secret professionnel et nous signons un accord de confidentialité avec chaque client avant le début de la mission. Nous déposons les documents échangés dans une dataroom sécurisée dont vous contrôlez les accès.