Pour choisir un logiciel de conformité en Suisse, commencez par déterminer les activités relevant de la LPD et celles auxquelles le RGPD s’applique également. La présence d’un client européen ou d’un salarié frontalier ne suffit pas, à elle seule, à trancher l’article 3 du RGPD. L’établissement dans l’Union, l’offre visant des personnes qui s’y trouvent et le suivi de leur comportement doivent être examinés dans leur contexte.
Un socle commun de données peut éviter des ressaisies, à condition de garder visibles les décisions propres à chaque régime : registre, transferts, analyse d’impact, information et annonce des violations. Notre guide de la LPD suisse et les différences entre LPD et RGPD aident à préparer ce périmètre avant une démonstration.
Ce que la nLPD exige spécifiquement
Au-delà des principes communs avec le RGPD, la nLPD comporte des obligations propres qu’un outil doit couvrir.
- Le registre des activités de traitement (art. 12) : avec des exemptions à examiner selon l’effectif et les traitements. Le PFPDT précise les cas concernant les petites organisations, notamment les données sensibles à grande échelle et le profilage à risque élevé.
- L’annonce des violations de la sécurité des données au PFPDT lorsque le risque élevé vraisemblable de l’article 24 est caractérisé, dans les meilleurs délais. Le RGPD prévoit un seuil de notification différent, avec son propre délai.
- Le conseiller à la protection des données : figure facultative en nLPD (art. 10), distincte du DPO du RGPD, avec des effets propres lorsqu’il est désigné.
- Les analyses d’impact (AIPD) pour les traitements à risque élevé, sur un modèle proche mais non identique à celui du RGPD.
Le régime de sanctions : une logique inversée
C’est la différence la plus contre-intuitive pour qui vient du RGPD. Là où le RGPD prévoit des amendes administratives contre l’entreprise (jusqu’à 20 M€ ou 4 % du chiffre d’affaires), la nLPD prévoit des amendes pénales jusqu’à 250 000 CHF prononcées contre les personnes physiques responsables — dirigeants ou employés. Le PFPDT, lui, mène des enquêtes et rend des décisions contraignantes, mais n’inflige pas d’amende : ce sont les autorités pénales cantonales qui prononcent les sanctions. Cette responsabilité personnelle change la façon dont une entreprise suisse doit documenter et attribuer ses obligations — un enjeu que le PFPDT, autorité suisse de protection des données précise.
Comparer les fonctions sans présumer leur présence
Une plateforme présentée comme « double conformité » doit montrer comment elle traite les différences. Un outil initialement destiné au RGPD peut parfois être configuré pour la LPD ; inversement, une étiquette suisse ne démontre pas que toutes les règles sont couvertes. Évaluez les champs, les décisions et les exports réellement disponibles.
| Besoin | Démonstration attendue |
|---|---|
| Périmètre juridique | Rattacher un traitement à un ou deux régimes avec une justification |
| Registre | Produire les rubriques applicables sans perdre les données communes |
| Violation | Conserver deux analyses de notification reliées aux mêmes faits |
| Transfert | Identifier l’entité, le pays et la garantie pour le régime concerné |
| Gouvernance | Séparer l’avis, la décision et la mise en œuvre |
L’équipe doit pouvoir indiquer « à vérifier » lorsqu’une information manque. Un champ prérempli avec une conclusion juridique ne doit pas devenir une preuve d’évaluation. Demandez qui actualise les modèles et comment les utilisateurs apprennent qu’un dossier nécessite une nouvelle revue.
Transferts de données et adéquation : le double sens
La question des transferts internationaux illustre bien la logique à deux régimes. Dans le sens UE vers Suisse, la Commission européenne reconnaît la Suisse comme offrant un niveau de protection adéquat : les données personnelles peuvent circuler de l’UE vers la Suisse sans garantie supplémentaire. Cette décision d’adéquation, réévaluée périodiquement, est un atout majeur pour les entreprises suisses qui traitent des données européennes.
Dans le sens inverse et vers les pays tiers, la nLPD tient sa propre liste des États offrant une protection adéquate, publiée par le Conseil fédéral. Elle recoupe largement, mais pas exactement, celle de l’UE. Une entreprise soumise aux deux régimes doit donc vérifier la licéité d’un transfert au regard des deux référentiels : un pays reconnu adéquat côté UE ne l’est pas automatiquement côté suisse, et vice versa. Pour les transferts non couverts, il faut recourir aux clauses contractuelles types et, souvent, à une analyse d’impact du transfert. Un logiciel de double conformité doit permettre de documenter chaque flux au regard des deux listes, sans quoi un transfert licite dans un régime peut être irrégulier dans l’autre.
Chiffrer le périmètre réellement démontré
Demandez un devis séparant abonnement, reprise des données, configuration suisse, assistance et réversibilité. Précisez les entités, utilisateurs, langues et volumes couverts. Une offre peut comprendre des modèles sans inclure l’analyse juridique nécessaire à leur adaptation ; faites expliciter cette frontière.
Comparez les coûts dans la monnaie et les conditions contractuelles du devis, sans déduire un budget universel de l’effectif. Le temps interne observé pendant la démonstration permet d’identifier les tâches qui restent à votre charge. Un plafond d’amende ne constitue pas une méthode de calcul du retour sur investissement.
Comment déployer la double conformité
- Cartographier une fois : recensez vos traitements sur un socle unique, sans dupliquer par régime.
- Projeter dans les deux registres : chaque traitement alimente le registre art. 12 nLPD et le registre art. 30 RGPD.
- Paramétrer les deux régimes de notification : seuils de risque, responsables, délais et canaux applicables dans chaque régime, sans case unique « incident à notifier ».
- Attribuer les responsabilités : distinguez le responsable du traitement, les personnes qui exécutent les tâches et celles qui conseillent ou valident.
- Documenter les AIPD dans les deux cadres, en réutilisant l’analyse commune.
Exemple fictif : une violation concernant deux activités
Une société suisse exploite un service domestique et une offre destinée à des personnes dans l’Union. Son prestataire signale un accès indu à un espace de documents. La société commence par fixer les faits : données exposées, personnes concernées, durée d’accès, mesures déjà prises et éléments encore inconnus.
Dans la démonstration, créez un dossier d’incident commun, puis deux branches d’analyse. Le PFPDT précise le seuil de risque élevé vraisemblable de l’article 24 LPD. L’article 33 du RGPD prévoit une notification sauf lorsque la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. Les équipes doivent pouvoir expliquer une conclusion différente selon le régime, sans modifier les faits pour faire entrer les deux analyses dans le même statut.
Ajoutez ensuite une information nouvelle : le prestataire ne peut plus confirmer que certains fichiers étaient chiffrés. Vérifiez que le responsable de l’analyse est averti, que l’ancienne version reste accessible et que les décisions sont réévaluées. La personne chargée de la notification doit pouvoir distinguer un brouillon, une validation et un envoi effectivement réalisé.
Le dossier conserve la preuve d’envoi et les informations complémentaires, avec un accès proportionné aux données exposées. Une copie intégrale des documents concernés n’est pas automatiquement nécessaire dans l’outil de conformité. L’objectif est de garder les éléments utiles à l’analyse et à la réponse, en maîtrisant leur propre confidentialité.
Tester les transferts et les modifications de prestataire
Les régimes d’adéquation suisse et européen doivent être examinés pour le flux concerné. Le PFPDT reconnaît des clauses contractuelles types, dont les clauses européennes avec les adaptations pertinentes. Ne remplacez pas cette analyse par une case « CCT signées » dépourvue de version, d’entité et de périmètre.
Dans un second cas hypothétique, un fournisseur conserve son hébergement principal en Suisse mais déplace son support à l’étranger. L’équipe doit retrouver les traitements et accès affectés, vérifier la garantie applicable et attribuer la décision. Le fournisseur commercial, l’entité recevant les données et le lieu d’accès peuvent être différents.
Reliez cette vérification au dossier de transferts depuis la Suisse, à l’information et au contrat. Pour le socle contractuel, utilisez le modèle de DPA comme structure à adapter, sans supposer qu’il résout toutes les questions de droit suisse.
Accepter l’outil avec des preuves de fonctionnement
Remettez un traitement, un incident et un transfert à une personne qui n’a pas participé au paramétrage. Elle doit retrouver la source juridique, la décision, le responsable et les actions ouvertes. Vérifiez également l’export : les pièces jointes, les dates et les liens entre dossiers restent-ils compréhensibles hors de la plateforme ?
Testez le départ d’un collaborateur ou le remplacement du conseiller. Les droits doivent changer sans effacer les avis antérieurs ni bloquer l’accès de l’entreprise à son dossier. Si un intervenant externe dispose d’un compte, précisez son rôle, son accès et la fin de sa mission.
Documentez les écarts du pilote et demandez une nouvelle démonstration des points corrigés. Le procès-verbal d’acceptation distingue les fonctions observées des engagements futurs. Il précise les tâches manuelles et les limites de couverture. Une plateforme peut être utile tout en laissant des analyses juridiques et des opérations techniques à réaliser par l’organisation.
Les sources de référence restent la LPD sur Fedlex, le RGPD et les indications du PFPDT. Le dossier doit permettre de suivre ces sources et leurs changements, sans présenter un outil comme garantissant la conformité.
Décider du périmètre d’achat
Consignez les activités couvertes, les fonctions démontrées, les analyses restant à produire et les personnes responsables. Une organisation soumise à un seul régime n’a pas les mêmes besoins qu’un groupe opérant sous plusieurs cadres. Le bon périmètre découle de cette analyse et du travail réel, pas d’une présomption de double conformité pour toutes les entreprises suisses.
Avant signature, faites confirmer les obligations de restitution et de suppression en fin de contrat. Les données et les preuves doivent rester accessibles pendant la transition. Planifiez un export de contrôle et gardez une liste des dossiers ouverts afin que le changement d’outil ne fasse pas perdre une échéance ou une décision importante.