Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) renforce les obligations de toutes les entreprises qui traitent des données personnelles en Suisse. P2CI intervient en Suisse et accompagne les entreprises suisses, comme les entreprises étrangères actives en Suisse, en tenant compte des différences avec le RGPD.
La nLPD s'applique aux personnes privées et aux organes fédéraux qui traitent des données de personnes physiques. Elle vise aussi les traitements effectués à l'étranger dès lors qu'ils produisent des effets en Suisse.
PME comme grands groupes : dès que vous traitez des données de clients, de collaborateurs, de candidats ou de prospects, la nLPD s'applique.
Une entreprise établie à l'étranger est concernée si ses traitements produisent des effets en Suisse, par exemple lorsqu'elle propose des biens ou des services à des personnes en Suisse.
Les références renvoient à la loi fédérale sur la protection des données (LPD) et à son ordonnance d'application (OPDo).
Obligatoire en principe. Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf traitement à grande échelle de données sensibles ou profilage à risque élevé.
Informer les personnes concernées lors de la collecte : identité du responsable du traitement, finalités, destinataires, pays en cas de communication à l'étranger, décisions individuelles automatisées.
Répondre en principe gratuitement et dans les 30 jours aux demandes d'accès des personnes concernées.
Intégrer la protection des données dès la conception des traitements et appliquer par défaut les paramètres les plus protecteurs.
Garantir une sécurité adaptée au risque : confidentialité, disponibilité, intégrité et traçabilité des données.
Obligatoire lorsqu'un traitement présente un risque élevé pour la personnalité ou les droits fondamentaux ; consultation du PFPDT si le risque résiduel reste élevé.
Annoncer au PFPDT, dans les meilleurs délais, toute violation de la sécurité des données entraînant vraisemblablement un risque élevé, et informer les personnes concernées si nécessaire.
Confier un traitement par contrat, s'assurer que le sous-traitant garantit la sécurité des données ; toute sous-traitance ultérieure requiert une autorisation préalable.
Vers un État dont le Conseil fédéral a constaté le niveau de protection adéquat, ou moyennant des garanties appropriées (clauses contractuelles types, par exemple).
Lus dans le texte, les devoirs de la LPD restent abstraits. Traduits dans une entreprise, ils désignent six livrables, dont la plupart n'existent pas encore ou dorment dans un fichier jamais relu depuis 2023.
Le devoir d'informer se matérialise d'abord sur votre site : identité du responsable, finalités, destinataires, pays en cas de communication à l'étranger. C'est la seule obligation que n'importe qui peut vérifier depuis l'extérieur, y compris un concurrent ou un candidat éconduit.
La dispense en dessous de 250 collaborateurs tombe dès qu'il y a traitement à grande échelle de données sensibles ou profilage à risque élevé. Et sans inventaire des traitements, vous ne pouvez répondre ni à une demande d'accès, ni à une annonce de violation : le registre est l'outil, pas la formalité.
Trente jours, en principe gratuitement. Cela suppose de savoir qui reçoit la demande, qui la qualifie, où chercher les données de la personne, et quoi ne pas communiquer. Sans procédure écrite, le délai est consommé avant que quiconque ait compris qui devait s'en occuper.
Chaque prestataire qui traite des données pour vous — informatique, paie, marketing, archivage — doit être encadré par contrat, et toute sous-traitance ultérieure suppose votre autorisation préalable. En pratique, c'est la liste des outils en ligne que personne n'a jamais dressée.
L'article 8 LPD demande une sécurité adaptée au risque : confidentialité, disponibilité, intégrité et traçabilité. Ce sont des mesures techniques, pas un paragraphe de politique. Un audit d'infrastructure daté est ce qui transforme l'affirmation en preuve.
« Dans les meilleurs délais » ne veut pas dire « quand on sera prêt ». Qui qualifie le risque, qui décide d'annoncer au PFPDT, qui informe les personnes : tout cela s'écrit à froid, avec les modèles correspondants, parce que le jour venu personne n'aura le temps de les rédiger.
La nLPD s'inspire du RGPD, mais plusieurs règles diffèrent. Une entreprise suisse peut en outre être soumise aux deux textes, notamment si elle propose des biens ou des services à des personnes dans l'Union européenne.
| Thème | nLPD (Suisse) | RGPD (Union européenne) |
|---|---|---|
| Autorité de surveillance | PFPDT (Préposé fédéral à la protection des données et à la transparence) | Autorités nationales (la CNIL en France) |
| Sanctions | Amendes pénales jusqu'à CHF 250 000, visant les personnes physiques responsables d'une violation intentionnelle | Amendes administratives jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial, visant l'entreprise |
| Violations de données | Annonce au PFPDT « dans les meilleurs délais » en cas de risque élevé vraisemblable | Notification à l'autorité sous 72 h en cas de risque |
| Base légale | Pas d'exigence générale pour le secteur privé : respect des principes, motif justificatif en cas d'atteinte à la personnalité | Base légale obligatoire pour chaque traitement |
| Référent interne | Conseiller à la protection des données, facultatif | Délégué à la protection des données (DPO), obligatoire dans certains cas |
| Registre des traitements | Dispense pour les entreprises de moins de 250 collaborateurs, sauf exceptions | Dispense de moins de 250 salariés, rarement applicable en pratique |
Double conformité. La Suisse bénéficie d'une décision d'adéquation de l'Union européenne, ce qui facilite les échanges de données entre l'UE et la Suisse. Pour les entreprises soumises aux deux textes, nous construisons une seule démarche couvrant nLPD et RGPD.
Les deux textes sont assez proches pour qu'on croie pouvoir recopier, et assez différents pour que la copie soit fausse. Voici ce que nous corrigeons le plus souvent chez les entreprises qui se sont mises en conformité seules.
Mentions de la CNIL, invocation de bases légales qui n'ont pas d'équivalent général en droit suisse, délais de 72 heures, références à des articles du RGPD : le document est juridiquement décalé, et il se voit. C'est l'erreur la plus répandue, et la plus facile à constater de l'extérieur.
Moins de 250 collaborateurs ne suffit pas : la dispense tombe en cas de traitement à grande échelle de données sensibles ou de profilage à risque élevé. Une entreprise de trente personnes dans la santé ou l'assurance est très souvent concernée.
Une entreprise établie à l'étranger qui traite régulièrement et à grande échelle des données de personnes en Suisse doit désigner un représentant sur place : c'est le symétrique de ce que le RGPD impose aux entreprises suisses actives dans l'Union, et c'est presque toujours omis dans un sens comme dans l'autre.
La conformité documentaire est faite, et la sécurité des données reste un paragraphe d'intention. Or c'est l'obligation sur laquelle une violation se juge après coup : ce qui sera regardé, c'est l'état réel des accès, des sauvegardes et des traces, pas la qualité de la rédaction.
Les dossiers de candidature, les évaluations, les données conservées après un départ sont des traitements comme les autres, souvent les plus sensibles, et presque jamais inventoriés. Ce sont aussi ceux qui donnent lieu aux demandes d'accès les plus difficiles.
Le RGPD sanctionne l'entreprise ; la nLPD vise d'abord les personnes physiques, jusqu'à CHF 250 000 pour une violation intentionnelle. Cela change la manière de répartir les rôles en interne, et de documenter qui a décidé quoi.
Nous intervenons en Suisse, pour un premier état des lieux comme pour un accompagnement dans la durée.
Inventaire des traitements et des flux, analyse des écarts, plan d'action priorisé.
Registre des activités de traitement, déclaration de protection des données, procédure de droit d'accès, contrats de sous-traitance.
Conduite des AIPD pour les traitements à risque élevé et préparation de la consultation du PFPDT si nécessaire.
Un conseiller à la protection des données externe, indépendant, pour conseiller et contrôler dans la durée.
Procédure interne, qualification du risque et préparation des annonces au PFPDT.
Formations adaptées à vos collaborateurs : direction, RH, marketing, informatique.
Au-delà de la nLPD, nous accompagnons les entreprises suisses sur l'ensemble de nos domaines d'intervention.
Système de management de la sécurité de l'information et préparation à la certification, reconnue en Suisse comme à l'international.
Depuis avril 2025, les exploitants d'infrastructures critiques doivent signaler les cyberattaques à l'Office fédéral de la cybersécurité (OFCS) dans les 24 heures. Nous préparons vos processus.
Clients, filiales ou produits dans l'UE : nous traitons les exigences européennes applicables en complément de vos obligations suisses.
C'est possible. Le RGPD s'applique à une entreprise établie hors de l'Union européenne lorsqu'elle propose des biens ou des services à des personnes dans l'UE, ou qu'elle observe leur comportement. Dans ce cas, les deux textes s'appliquent, et une démarche commune évite de faire le travail deux fois.
Ce n'est pas obligatoire pour les entreprises privées, mais c'est recommandé. En plus de structurer la conformité, sa consultation permet, lorsqu'une AIPD révèle un risque résiduel élevé, de se dispenser de consulter le PFPDT.
Contrairement au RGPD, la nLPD sanctionne principalement les personnes physiques : dirigeants ou collaborateurs responsables d'une violation intentionnelle de certaines obligations (devoir d'informer, droit d'accès, sécurité des données, sous-traitance, communication à l'étranger). L'amende peut atteindre CHF 250 000. L'entreprise elle-même peut être condamnée à une amende de CHF 50 000 au plus lorsque l'identification de la personne responsable exigerait des mesures disproportionnées.
Non. Depuis l'entrée en vigueur de la nLPD, seules les données des personnes physiques sont protégées. Les données de vos interlocuteurs chez vos clients et fournisseurs restent en revanche des données personnelles.
Une bonne partie du travail est réutilisable — l'inventaire des traitements, les contrats de sous-traitance, les mesures de sécurité — mais rien ne se transpose automatiquement. Il faut reprendre la déclaration de protection des données pour l'aligner sur le droit suisse, vérifier si la dispense de registre vous est applicable, adapter la procédure d'annonce au régime du PFPDT, et désigner un représentant en Suisse si votre entreprise est établie à l'étranger. Comptez une mise à niveau, pas un second projet. Voir aussi notre page RGPD.
Oui, à condition d'encadrer la communication à l'étranger : soit le pays bénéficie d'une reconnaissance d'adéquation par le Conseil fédéral, soit vous vous appuyez sur des garanties appropriées, les clauses contractuelles types par exemple. Le point souvent négligé est ailleurs : le devoir d'informer impose d'indiquer les pays concernés dans votre déclaration de protection des données. Et ces outils supposent une configuration sérieuse : partages ouverts, règles de transfert de messages et droits d'accès trop larges créent plus de risques que le lieu d'hébergement.
Lorsqu'un traitement présente un risque élevé pour la personnalité ou les droits fondamentaux : surveillance systématique, traitement à grande échelle de données sensibles, profilage à risque élevé. L'analyse se mène avant la mise en œuvre. Si le risque résiduel reste élevé malgré les mesures prévues, le PFPDT doit être consulté — sauf si vous avez consulté votre conseiller à la protection des données, ce qui est l'un des arguments pratiques en faveur de sa désignation.
La LPD ne fixe pas de délai chiffré : l'annonce au PFPDT se fait « dans les meilleurs délais », et seulement lorsque la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux. C'est plus souple que les 72 heures du RGPD, mais plus exigeant qu'il n'y paraît : encore faut-il avoir détecté la violation, su la qualifier et pouvoir la décrire. Si vous êtes aussi soumis au RGPD, alignez-vous sur le délai le plus court, c'est la seule procédure tenable.
Un premier échange pour faire le point sur vos obligations nLPD et, le cas échéant, RGPD.
