Logiciel de conformité nLPD + RGPD pour la Suisse

Une entreprise suisse active en Europe doit tenir deux conformités en parallèle : la nLPD et le RGPD. Un logiciel de conformité nLPD adapté gère les deux côte à côte au même endroit — un registre unique qui répond à la fois à l’art. 12 de la nouvelle loi suisse sur la protection des données (en vigueur depuis le 1er septembre 2023) et à l’art. 30 du RGPD, plus l’annonce des violations au PFPDT et la fonction de conseiller à la protection des données. Voici pourquoi la double conformité impose un outil pensé pour les deux régimes, et le comparatif des approches.

Points clés

• La nLPD s’applique aux entreprises suisses ; le RGPD s’ajoute dès qu’elles traitent des données de personnes dans l’UE.
• Les deux régimes se recoupent largement, mais diffèrent sur des points clés : sanctions, notification, désignation du conseiller.
• La nLPD prévoit des amendes pénales jusqu’à 250 000 CHF prononcées contre les personnes physiques responsables (art. 60 et suivants).
• Le PFPDT n’a pas de pouvoir d’amende : les sanctions pénales relèvent des autorités cantonales.
• Un logiciel de double conformité tient un registre unique projeté dans les deux régimes, évitant la double saisie.

Pourquoi la double conformité s’impose

La plupart des entreprises suisses actives commercialement dépassent les seules frontières nationales. Dès qu’elles offrent des biens ou services à des personnes dans l’UE, ou surveillent leur comportement, le RGPD s’applique en plus de la nLPD (art. 3 RGPD, principe d’extraterritorialité). Résultat : deux registres, deux régimes de notification, deux vocabulaires pour les mêmes traitements.

Cette situation concerne bien plus d’entreprises qu’on ne le croit. Un site e-commerce suisse qui livre en France, un cabinet de conseil qui suit des clients européens, une PME industrielle qui emploie des frontaliers : tous traitent des données de personnes situées dans l’UE et basculent dans le champ du RGPD. La double conformité n’est pas l’exception réservée aux grands groupes, mais le régime normal de l’entreprise suisse ouverte sur l’Europe.

Tenir ces deux conformités dans des outils séparés, ou pire dans deux tableurs, multiplie le travail et fait diverger les données. Un logiciel de double conformité résout ce problème en tenant un socle unique de traitements projeté à la fois dans le registre nLPD (art. 12) et dans le registre RGPD (art. 30). Les différences entre nLPD et RGPD sont réelles mais gérables dès lors que l’outil les prend en charge.

Ce que la nLPD exige spécifiquement

Au-delà des principes communs avec le RGPD, la nLPD comporte des obligations propres qu’un outil doit couvrir.

• Le registre des activités de traitement (art. 12) : obligatoire, avec une exemption pour les entreprises de moins de 250 salariés dont les traitements ne présentent pas de risque élevé — exemption à manier avec prudence.
• L’annonce des violations de la sécurité des données au PFPDT « dans les meilleurs délais » (art. 24), formulation distincte du délai strict de 72 heures du RGPD.
• Le conseiller à la protection des données : figure facultative en nLPD (art. 10), distincte du DPO du RGPD, avec des effets propres lorsqu’il est désigné.
• Les analyses d’impact (AIPD) pour les traitements à risque élevé, sur un modèle proche mais non identique à celui du RGPD.

Le régime de sanctions : une logique inversée

C’est la différence la plus contre-intuitive pour qui vient du RGPD. Là où le RGPD prévoit des amendes administratives contre l’entreprise (jusqu’à 20 M€ ou 4 % du chiffre d’affaires), la nLPD prévoit des amendes pénales jusqu’à 250 000 CHF prononcées contre les personnes physiques responsables — dirigeants ou employés. Le PFPDT, lui, mène des enquêtes et rend des décisions contraignantes, mais n’inflige pas d’amende : ce sont les autorités pénales cantonales qui prononcent les sanctions. Cette responsabilité personnelle change la façon dont une entreprise suisse doit documenter et attribuer ses obligations — un enjeu que le PFPDT, autorité suisse de protection des données précise.

Comparatif des approches pour la Suisse

Le critère décisif est la capacité à tenir un seul registre projeté dans les deux régimes. Un logiciel RGPD pur ne connaît pas les spécificités de l’art. 12 nLPD ni l’annonce au PFPDT ; un tableur ne relie rien. Les plateformes de double conformité, dont Legiscope pour le volet données personnelles, évitent la double saisie en partant du traitement comme objet unique. Pour construire le registre suisse lui-même, notre modèle de registre nLPD (art. 12) sert de base, et le guide complet de la conformité RGPD en Suisse couvre l’articulation d’ensemble.

Transferts de données et adéquation : le double sens

La question des transferts internationaux illustre bien la logique à deux régimes. Dans le sens UE vers Suisse, la Commission européenne reconnaît la Suisse comme offrant un niveau de protection adéquat : les données personnelles peuvent circuler de l’UE vers la Suisse sans garantie supplémentaire. Cette décision d’adéquation, réévaluée périodiquement, est un atout majeur pour les entreprises suisses qui traitent des données européennes.

Dans le sens inverse et vers les pays tiers, la nLPD tient sa propre liste des États offrant une protection adéquate, publiée par le Conseil fédéral. Elle recoupe largement, mais pas exactement, celle de l’UE. Une entreprise soumise aux deux régimes doit donc vérifier la licéité d’un transfert au regard des deux référentiels : un pays reconnu adéquat côté UE ne l’est pas automatiquement côté suisse, et vice versa. Pour les transferts non couverts, il faut recourir aux clauses contractuelles types et, souvent, à une analyse d’impact du transfert. Un logiciel de double conformité doit permettre de documenter chaque flux au regard des deux listes, sans quoi un transfert licite dans un régime peut être irrégulier dans l’autre.

Combien coûte un logiciel de double conformité

Les plateformes ciblant le marché suisse facturent le plus souvent en francs suisses, sur devis, avec une tarification indexée sur le nombre de traitements, d’entités ou d’utilisateurs. Comptez un ordre de grandeur comparable aux solutions RGPD européennes, majoré du service de localisation suisse (hébergement en Suisse, support en langue locale, veille sur les décisions du PFPDT). Un hébergement des données sur le territoire suisse, souvent exigé par les clients du secteur public ou bancaire, peut renchérir l’abonnement mais constitue un argument commercial décisif. Le coût réel d’une non-conformité — amende pénale personnelle jusqu’à 250 000 CHF contre un dirigeant — relativise vite celui de l’outil.

Comment déployer la double conformité

1. Cartographier une fois : recensez vos traitements sur un socle unique, sans dupliquer par régime.
2. Projeter dans les deux registres : chaque traitement alimente le registre art. 12 nLPD et le registre art. 30 RGPD.
3. Paramétrer les deux régimes de notification : 72 heures côté RGPD, « meilleurs délais » et portail PFPDT côté nLPD.
4. Attribuer les responsabilités : la responsabilité pénale personnelle de la nLPD impose de savoir qui répond de quoi.
5. Documenter les AIPD dans les deux cadres, en réutilisant l’analyse commune.

FAQ

La nLPD remplace-t-elle le RGPD pour une entreprise suisse ?

Non. La nLPD s’applique aux entreprises suisses, mais le RGPD s’ajoute dès qu’elles traitent des données de personnes situées dans l’UE. Une entreprise suisse active en Europe est soumise aux deux régimes simultanément et doit tenir une double conformité.

Quelles sanctions prévoit la nLPD ?

La nLPD prévoit des amendes pénales jusqu’à 250 000 CHF prononcées par les autorités pénales cantonales contre les personnes physiques responsables, et non contre l’entreprise. Le PFPDT n’a pas de pouvoir d’amende ; il mène des enquêtes et rend des décisions contraignantes.

Le registre des traitements est-il obligatoire en nLPD ?

Oui, sur le principe (art. 12), avec une exemption pour les entreprises de moins de 250 salariés dont les traitements ne présentent pas de risque élevé. Cette exemption doit être maniée avec prudence : un seul traitement à risque élevé la fait tomber. Pour une entreprise aussi soumise au RGPD, le registre art. 30 est de toute façon obligatoire.

Un logiciel RGPD standard suffit-il pour la nLPD ?

Non. Un logiciel RGPD pur ne couvre ni les spécificités de l’art. 12 nLPD, ni l’annonce au PFPDT dans les « meilleurs délais », ni la logique de conseiller à la protection des données. Il faut un outil pensé pour la double conformité, capable de projeter un registre unique dans les deux régimes.

Conclusion

La conformité suisse n’est presque jamais une affaire de nLPD seule : dès qu’une entreprise touche le marché européen, elle cumule nLPD et RGPD. Le bon logiciel n’est donc pas un outil RGPD auquel on ajoute la Suisse, ni l’inverse, mais une plateforme de double conformité qui tient un registre unique projeté dans l’art. 12 nLPD et l’art. 30 RGPD, gère les deux régimes de notification et intègre la logique de responsabilité pénale personnelle propre à la Suisse. Cartographiez une fois, projetez deux fois : c’est le seul moyen d’éviter la double saisie et les divergences entre deux conformités qui portent sur les mêmes données.