nLPD : guide de la loi suisse sur la protection des données

La nLPD — nouvelle loi fédérale suisse sur la protection des données (RS 235.1), en vigueur depuis le 1er septembre 2023 — impose à toute entreprise traitant des données de personnes en Suisse un socle d’obligations proche du RGPD, mais avec des différences décisives : un régime de sanctions pénales visant les personnes physiques (jusqu’à 250 000 CHF), un conseiller à la protection des données facultatif, et une annonce des violations « dans les meilleurs délais » plutôt que sous 72 heures. Voici le guide opérationnel : champ d’application, registre de l’article 12, sécurité, droits des personnes, annonce des violations et sanctions.

Points clés

• La nLPD s’applique depuis le 1er septembre 2023 à tout traitement de données de personnes en Suisse, y compris par des entreprises étrangères dont l’activité y produit des effets.
• Le registre des activités de traitement (art. 12 nLPD) est obligatoire, avec une exemption pour les entreprises de moins de 250 collaborateurs à faible risque.
• Les violations de sécurité doivent être annoncées au PFPDT « dans les meilleurs délais » (art. 24), pas sous 72 heures.
• Les sanctions pénales (jusqu’à 250 000 CHF) visent les personnes physiques responsables, non l’entreprise — une logique inverse de celle du RGPD.

Champ d’application : qui est concerné

La nLPD régit le traitement de données personnelles par des personnes privées (entreprises, indépendants, associations) et par les organes fédéraux. Elle ne protège plus que les données des personnes physiques — les données des personnes morales sortent du champ, contrairement à l’ancienne loi.

Son application est extraterritoriale : une entreprise établie hors de Suisse est soumise à la nLPD dès lors que son traitement produit des effets en Suisse (par exemple une plateforme française ciblant des clients suisses). Une entreprise active des deux côtés de la frontière relève donc souvent à la fois de la nLPD et du RGPD — d’où l’importance de gérer les deux régimes en parallèle, comme le détaille notre guide RGPD Suisse.

Le registre des activités de traitement (art. 12)

L’article 12 de la nLPD impose au responsable du traitement et au sous-traitant de tenir un registre des activités de traitement, dont le contenu est proche de celui de l’article 30 du RGPD : finalités, catégories de personnes et de données, destinataires, durées de conservation, transferts à l’étranger et mesures de sécurité.

L’exemption des PME. Les entreprises de moins de 250 collaborateurs sont dispensées de registre — sauf si leur traitement présente un risque élevé pour la personnalité ou les droits fondamentaux (traitement de données sensibles à grande échelle, profilage à risque élevé). En pratique, dès qu’une PME traite des données sensibles de manière significative, l’exemption tombe. La structure du registre et sa correspondance avec le modèle de registre RGPD sont traitées dans notre modèle de registre nLPD.

Sécurité, privacy by design et durées de conservation

La nLPD reprend les grands principes du droit européen de la protection des données :

• Sécurité des données (art. 8). Le responsable et le sous-traitant doivent garantir une sécurité adaptée au risque, précisée par l’ordonnance d’exécution (OPDo).
• Protection des données dès la conception et par défaut (art. 7). Équivalent du privacy by design, elle impose d’intégrer la protection dès la conception d’un traitement.
• Proportionnalité et finalité. Les données ne peuvent être traitées que dans un but déterminé et reconnaissable, et conservées le temps nécessaire — une logique de conservation limitée analogue à celle du RGPD.

Pour les traitements à risque élevé, la nLPD impose une analyse d’impact relative à la protection des données (AIPD, art. 22), très proche de celle de l’article 35 du RGPD.

Droits des personnes et transferts à l’étranger

Les personnes concernées disposent d’un droit d’accès (art. 25), de rectification, d’opposition et, pour les décisions individuelles automatisées, d’un droit d’information spécifique. Le régime est globalement aligné sur celui du RGPD, avec des délais et des modalités propres.

Les transferts à l’étranger ne sont autorisés que vers des États offrant une protection adéquate, dont la liste est fixée par le Conseil fédéral, ou moyennant des garanties (clauses contractuelles types, règles d’entreprise contraignantes). La logique rejoint celle des transferts internationaux sous le RGPD.

L’annonce des violations de sécurité

L’article 24 de la nLPD impose d’annoncer au PFPDT — le Préposé fédéral à la protection des données et à la transparence — les violations de la sécurité des données susceptibles d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Deux différences majeures avec le RGPD :

• Le délai : « dans les meilleurs délais », et non le seuil strict des 72 heures du RGPD. La formulation est plus souple mais n’autorise pas l’inaction.
• L’autorité : l’annonce se fait via le portail du PFPDT, dont le rôle est détaillé dans notre page sur le PFPDT, autorité suisse de protection des données.

Le comparatif détaillé avec le régime RGPD figure dans notre analyse des différences entre nLPD et RGPD.

Le conseiller à la protection des données

La nLPD prévoit un conseiller à la protection des données (art. 10), équivalent partiel du DPO, mais facultatif pour les entreprises privées — à la différence du RGPD qui l’impose dans plusieurs cas. Sa désignation ouvre toutefois un avantage procédural : elle permet, sous conditions, de se dispenser de consulter le PFPDT après une AIPD révélant un risque élevé résiduel. Le rôle se rapproche de celui du délégué à la protection des données sans en avoir tous les attributs.

Les sanctions : une logique inversée

C’est la spécificité la plus marquante de la nLPD. Contrairement au RGPD, qui inflige des amendes administratives aux entreprises, la nLPD prévoit des sanctions pénales prononcées contre les personnes physiques responsables, pouvant atteindre 250 000 CHF (art. 60 à 63). Ces amendes visent le dirigeant ou le responsable qui, intentionnellement, viole certaines obligations (information, devoir de diligence sur les transferts, sécurité).

Le PFPDT n’a pas le pouvoir d’infliger ces amendes : il mène des enquêtes et rend des décisions contraignantes, mais les sanctions pénales sont prononcées par les autorités pénales cantonales. Cette architecture — responsabilité personnelle plutôt que corporate, sanction pénale plutôt qu’administrative — change profondément la gestion du risque de conformité en Suisse.

FAQ

Quand la nLPD est-elle entrée en vigueur ?

La nouvelle loi fédérale sur la protection des données (nLPD, RS 235.1) est entrée en vigueur le 1er septembre 2023, en même temps que son ordonnance d’exécution (OPDo). Elle a remplacé l’ancienne LPD de 1992 sans période transitoire supplémentaire.

La nLPD s’applique-t-elle aux entreprises françaises ?

Oui, si leur traitement produit des effets en Suisse — par exemple une entreprise française qui cible des clients suisses ou y exerce une activité. Ces entreprises relèvent alors souvent à la fois de la nLPD et du RGPD, et doivent gérer les deux régimes en parallèle.

Faut-il un registre des traitements sous la nLPD ?

Oui en principe (art. 12), mais les entreprises de moins de 250 collaborateurs en sont dispensées, sauf traitement à risque élevé (données sensibles à grande échelle, profilage à risque élevé). Dès qu’une PME traite significativement des données sensibles, l’exemption ne s’applique plus.

Quelles sanctions en cas de violation de la nLPD ?

La nLPD prévoit des amendes pénales jusqu’à 250 000 CHF prononcées contre les personnes physiques responsables, et non contre l’entreprise. Le PFPDT ne fixe pas ces amendes : il enquête et rend des décisions, les sanctions pénales relevant des autorités pénales cantonales.

À lire aussi : un logiciel de conformité nLPD.