La Loi fédérale sur la protection des données (LPD), révisée et applicable depuis le 1er septembre 2023, demande aux PME d’adapter leurs traitements aux risques pour les personnes. Cette checklist organise douze domaines de vérification. Elle distingue obligations conditionnelles et choix d’organisation : un total de cases cochées n’établit ni la conformité globale ni l’existence d’une infraction pénale.
Cette checklist est pensée pour une PME suisse de 10 à 250 salariés. Pour les bases du cadre suisse, voir notre guide RGPD en Suisse. Pour les différences avec le RGPD, nLPD vs RGPD : 7 différences clés.
Points clés
- 12 domaines à examiner : registre, AIPD, transferts, contrats sous-traitants, sécurité, droits des personnes, conservation, transparence, formation, notification de violation, conseiller, gouvernance.
- L’exception au registre se vérifie selon l’article 24 OPDo : seuil de collaborateurs et exclusions, notamment données sensibles à grande échelle ou profilage à risque élevé.
- Les sanctions pénales visent certaines infractions intentionnelles, principalement imputables à des personnes physiques. L’article 64 prévoit aussi un mécanisme limité concernant l’entreprise.
- Le PFPDT a publié plusieurs guides sectoriels en 2024-2025 ; ils doivent être consultés pour les secteurs sensibles (santé, RH, finance).
☐ 1. Cartographier vos traitements et établir le registre
Article 12 nLPD. Le registre des activités de traitement liste chaque traitement avec :
- Finalité du traitement
- Catégories de données concernées
- Catégories de personnes concernées
- Destinataires (internes et externes)
- Pays destinataire si transfert international
- Durée de conservation
- Description générale des mesures de sécurité
Exception PME : l’article 24 OPDo concerne les entreprises et autres organismes privés de moins de 250 collaborateurs au début de l’année, avec les exclusions prévues notamment pour les données sensibles traitées à grande échelle et le profilage à risque élevé. La simple présence d’un fichier clients ou RH ne suffit pas à écarter l’exception. Consignez l’effectif, la nature et l’échelle des traitements justifiant votre conclusion. Un inventaire reste utile même lorsqu’un registre formel n’est pas obligatoire.
Contrôle pratique : faites décrire un traitement réel par son propriétaire et rapprochez sa réponse de l’inventaire. Une réponse en moins de cinq minutes n’est pas un seuil légal ; l’objectif est de repérer données, outils ou destinataires oubliés.
☐ 2. Désigner (ou non) un conseiller à la protection des données
Article 10 nLPD. Pour les entreprises privées, la désignation est facultative — le responsable privé peut consulter ce conseiller à la place du PFPDT dans les conditions des articles 10(3) et 23(4). Sa seule désignation ne crée pas une dispense générale.
Le conseiller doit être indépendant, disposer des compétences nécessaires, et ne doit pas occuper de fonction incompatible (par exemple, le responsable IT qui fixe les budgets de sécurité).
À documenter : décision de désignation, fiche de poste, mention sur le site web (coordonnées de contact), publication des coordonnées et communication au PFPDT lorsque vous entendez bénéficier du dispositif de l’article 10(3).
☐ 3. Identifier les traitements à haut risque et conduire les AIPD
Article 22 nLPD. Une analyse d’impact (AIPD) est obligatoire dès lors qu’un traitement présente un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Indicateurs typiques :
- Profilage à grande échelle
- Traitement de données sensibles à grande échelle
- Surveillance systématique d’espaces ouverts au public (vidéosurveillance)
- Traitement automatisé entraînant des décisions ayant des effets juridiques
L’AIPD documente : description du traitement, nécessité, risques pour les personnes, mesures de mitigation, risque résiduel.
Si le risque résiduel reste élevé : examiner la consultation du PFPDT selon l’article 23, ou l’alternative du conseiller remplissant les conditions légales pour un responsable privé.
☐ 4. Encadrer les transferts internationaux
Articles 16-18 nLPD. Cinq cas de figure :
- Pays adéquat (UE/EEE, UK, Canada commercial, etc.) : transfert libre.
- Pays non adéquat avec garanties : clauses contractuelles types (CCT UE reconnues par le PFPDT avec les adaptations requises), règles d’entreprise contraignantes (BCR), autres instruments prévus à l’article 16(2).
- Garanties spécifiques : clauses contractuelles ad hoc à communiquer préalablement au PFPDT ; distinguer cette formalité des mécanismes soumis à approbation.
- Dérogations : consentement exprès, exécution du contrat, motifs d’intérêt public.
- États-Unis : pour les organisations certifiées Swiss-U.S. Data Privacy Framework (DPF), transfert libre. Hors périmètre DPF, choisir un mécanisme légal valable et vérifier l’effectivité des garanties, par exemple des CCT adaptées accompagnées de l’évaluation du transfert.
À documenter : liste des sous-traitants étrangers, mécanisme de garantie pour chacun, copie signée des CCT.
Voir transferts de données vers la Suisse et nLPD pour les flux dans l’autre sens.
☐ 5. Contrats avec les sous-traitants
Article 9 LPD. La sous-traitance doit être autorisée par un contrat ou la loi, respecter les conditions de traitement du responsable et ne pas être empêchée par une obligation légale ou contractuelle de garder le secret. Le responsable doit s’assurer que le prestataire garantit la sécurité ; une sous-traitance ultérieure exige son autorisation préalable. Pour rendre ces conditions vérifiables, précisez par écrit notamment :
- L’objet et la durée du traitement
- Les obligations de sécurité
- L’interdiction de sous-traiter sans autorisation
- L’obligation d’assistance en cas de violation
- La restitution ou suppression des données en fin de contrat
Liste à constituer : tous les fournisseurs cloud (Microsoft 365, Google Workspace, AWS), CRM, paie, RH, marketing, support client. Pour chacun, vérifier l’existence d’un DPA signé et à jour.
Voir notre guide article 28 RGPD — la logique nLPD est analogue.
☐ 6. Sécurité technique et organisationnelle
Article 8 nLPD + OPDo article 1-3. Mesures attendues :
- Contrôle d’accès logique (mots de passe forts, MFA pour les accès sensibles)
- Chiffrement des données en transit (TLS) et au repos pour les données sensibles
- Sauvegardes régulières et testées
- Journalisation adaptée ; vérifier séparément les cas et modalités obligatoires de l’article 4 OPDo, dont sa durée minimale lorsqu’il s’applique
- Procédure de gestion des incidents
- Mise à jour régulière des systèmes
- Politique de gestion des accès en cas de départ d’un collaborateur
Test pratique : simulez le départ d’un collaborateur disposant de comptes et de sessions actives. Vérifiez leur révocation selon le moment du départ et le risque, ainsi que les accès délégués. Un délai uniforme de 24 heures ne constitue pas une règle de conformité.
☐ 7. Procédure pour les droits des personnes
Articles 25-32 nLPD. Les personnes concernées disposent de :
- Droit d’accès (article 25)
- Droit de rectification (article 32)
- Droit à l’effacement (article 32)
- Droit à la portabilité (article 28)
- Droit d’opposition au traitement
- Information et possibilité de faire valoir son point de vue et demander une revue humaine dans les cas de l’article 21, sous réserve de ses exceptions
Droit d’accès : la réponse est en principe fournie dans les 30 jours. Si ce n’est pas possible, informer la personne dans ce délai de celui dans lequel la réponse sera fournie. La LPD ne reprend pas automatiquement la prolongation RGPD de deux mois. Organisez notamment :
- Boîte mail dédiée (privacy@… ou rgpd@…)
- Vérification d’identité du demandeur
- Coordination interne (RH, IT, marketing) pour rassembler les données
- Réponse motivée écrite
☐ 8. Politique de conservation et suppression
Article 6 nLPD. Principe de limitation de la conservation : les données ne doivent pas être conservées plus longtemps que nécessaire à la finalité du traitement. Vous devez documenter, par catégorie de traitement, la durée de conservation et le mécanisme de suppression.
Tableau de conservation à remplir, sans importer les durées françaises dans un dispositif suisse :
| Catégorie | Question à résoudre | Preuve attendue |
|---|---|---|
| Candidatures non retenues | Le dossier reste-t-il nécessaire pour la procédure, un litige ou un vivier distinct ? | Motif, durée retenue et suppression |
| Documents comptables | Quelle obligation suisse s’applique précisément au document ? | Texte, point de départ et archive limitée |
| Journaux techniques | Quelle finalité et quelle obligation spéciale justifient la durée ? | Périmètre, accès restreints, purge vérifiée |
| Prospection | La relation et l’usage annoncé justifient-ils encore la conservation ? | Dernière activité pertinente, oppositions et nettoyage |
Pour chaque ligne, distinguez base active, archive et sauvegardes. Prévoyez le traitement des copies restaurées pour qu’elles ne réintroduisent pas indéfiniment des données supprimées.
☐ 9. Information et transparence
Articles 19-21 LPD. Sous réserve des exceptions légales, fournir l’information requise lors de la collecte directe. En collecte indirecte, vérifier le délai de l’article 19(5), en principe un mois au plus tard et avant communication si celle-ci intervient plus tôt. Le socle comprend notamment :
- L’identité et les coordonnées du responsable de traitement
- Les finalités du traitement
- Les destinataires des données
- Le pays destinataire en cas de transfert international
- Les garanties ou exceptions invoquées pour la communication à l’étranger, lorsque pertinentes
Politique de confidentialité du site web : à jour, accessible depuis chaque page, datée. Si le RGPD s’applique au traitement selon son article 3, ajoutez ses mentions propres. La seule présence d’un client européen ne suffit pas à conclure.
☐ 10. Formation et sensibilisation
Aucune obligation explicite de formation dans la nLPD, mais elle est requise indirectement via l’obligation de sécurité organisationnelle (article 8). En cas de violation, l’absence de formation est considérée comme une faute organisationnelle.
Organisation possible, à adapter aux risques : formation initiale à l’embauche, rappel annuel, traçabilité (feuille de signature ou plateforme e-learning).
☐ 11. Procédure de notification de violation
Article 24 nLPD. En cas de violation de données présentant un risque élevé pour les personnes concernées, le PFPDT doit être notifié dans les meilleurs délais. Les personnes concernées doivent également être informées si nécessaire à leur protection.
Procédure interne :
- Détection (logs, signalement utilisateur, alerte fournisseur)
- Qualification (s’agit-il d’une violation ? Quelle est l’étendue ?)
- Décision (risque élevé ou non ?)
- Notification PFPDT et personnes concernées si nécessaire
- Documentation interne de toutes les violations (même non notifiées)
Détail dans notre guide notification de violation nLPD.
☐ 12. Gouvernance et revue annuelle
Désigner un responsable conformité (peut être le dirigeant lui-même), tenir un comité trimestriel, conduire une revue annuelle complète :
- Mise à jour du registre
- Réévaluation des AIPD existantes
- Audit des sous-traitants
- Revue des incidents de l’année
- Plan d’action pour l’année suivante
Transformer les constats en décisions
Pour chaque domaine, notez applicable, non applicable avec justification ou à clarifier. Un domaine applicable reçoit ensuite une preuve, un responsable et une échéance. N’attribuez pas le statut « conforme » sur la seule déclaration d’un fournisseur.
| Constat fictif | Décision utile | Condition de clôture |
|---|---|---|
| Registre absent dans une PME de 30 collaborateurs | Vérifier l’exception de l’article 24 OPDo et les traitements exclus | Justification conservée ou registre constitué |
| Support étranger non recensé | Identifier entité, pays et données accessibles | Mécanisme de transfert et sous-traitance documentés |
| Demande d’accès non distribuée aux métiers | Affecter un responsable et lancer les recherches | Réponse ou information motivée dans le délai |
| Conseiller nommé sans publication ni communication | Compléter les conditions avant d’invoquer la voie alternative d’AIPD | Coordonnées publiées et communiquées, indépendance vérifiée |
Une faille active d’accès peut nécessiter une action immédiate même si onze autres domaines sont documentés. Une obligation légalement inapplicable n’est pas une case manquante. Cette lecture donne un plan d’action proportionné, plutôt qu’un score sans fondement légal.
Conclusion
La checklist sert à identifier les décisions et preuves manquantes. Reliez chaque action à la règle applicable et au risque pour les personnes ; réexaminez les choix lors d’un changement de traitement, de prestataire ou de pays. La LPD n’impose pas universellement un audit annuel externe.
Pour creuser les points spécifiques : PFPDT — rôle et pouvoirs, transferts vers la Suisse, nLPD vs RGPD.
FAQ
Une PME de 30 salariés est-elle dispensée du registre des traitements ?
Examinez l’article 24 OPDo : effectif, données sensibles à grande échelle et profilage à risque élevé notamment. Un fichier ordinaire de clients ou salariés ne rend pas automatiquement le registre obligatoire. Consignez la justification de l’exception retenue.
Combien de temps faut-il pour mettre une PME suisse en conformité nLPD ?
La durée dépend des traitements, des documents existants et des corrections techniques. Commencez par les risques actuels, puis estimez les tâches et dépendances. Un délai uniforme de quatre à huit semaines n’est pas une garantie réaliste pour toute PME.
Les sanctions pénales nLPD ont-elles déjà été prononcées ?
La checklist ne fournit pas de bilan chiffré des condamnations. Distinguez les décisions administratives du PFPDT des poursuites pénales cantonales ; une infraction suppose les conditions prévues par la loi, pas un niveau de score.
Faut-il un DPO pour une PME suisse ?
Le conseiller est facultatif pour les entreprises privées. Vérifiez les conditions de l’article 10(3) pour utiliser la possibilité de consultation de l’article 23(4). Un DPO obligatoire au titre du RGPD constitue une analyse distincte.
Le RGPD s’ajoute-t-il à la nLPD pour une PME suisse ?
Il peut s’ajouter lorsque le traitement relève de l’article 3 RGPD, notamment pour une offre ciblée vers des personnes dans l’EEE ou le suivi de leur comportement. Examinez les deux périmètres avant de mutualiser registre, notices et procédures.
Sources vérifiées le 26 septembre 2026 : PFPDT, registre et exception, conseiller, droit d’accès, transferts et information.