La Loi fédérale suisse sur la protection des données, révisée et applicable depuis le 1er septembre 2023, et le RGPD peuvent concerner une même activité. Le travail consiste alors à établir quelles obligations s’appliquent à chaque traitement, quelles preuves peuvent être communes et quelles décisions doivent rester distinctes.
Cette page organise cette analyse pour une activité franco-suisse : qualification du périmètre, choix de gouvernance, registre, AIPD, incident et transfert. Le cas pratique final permet de répartir les vérifications entre les deux régimes. Pour une présentation du contexte, consultez le guide RGPD en Suisse.
Points clés
- La nLPD ne protège que les personnes physiques (comme le RGPD) — le RGPD impose des amendes administratives jusqu’à 4% du CA ; la LPD prévoit des infractions intentionnelles sanctionnées jusqu’à 250 000 CHF, visant principalement les personnes physiques, avec le cas particulier de l’article 64 pour l’entreprise.
- Le DPO (conseiller à la protection des données) est obligatoire pour les autorités publiques et certaines entreprises sous RGPD ; il est facultatif sous la nLPD pour les entreprises privées.
- Les deux régimes exigent une notification rapide lorsque leur seuil de risque est atteint. Le RGPD ajoute une échéance de 72 heures, si possible, avec justification du retard ; la LPD ne fixe pas de délai chiffré et vise le risque vraisemblablement élevé.
- L’analyse d’impact (AIPD) reste obligatoire dans les deux régimes pour les traitements à risque élevé, avec des seuils légèrement différents.
- La Suisse bénéficie d’une décision d’adéquation de la Commission européenne (réexaminée en 2024) : les transferts UE → Suisse ne nécessitent pas de garanties supplémentaires.
- Une entreprise suisse peut relever des deux régimes ; la seule résidence ou nationalité européenne d’un client ne suffit pas à déclencher le RGPD.
- Le PFPDT (Préposé fédéral à la protection des données et à la transparence) est l’autorité suisse compétente, équivalent fonctionnel de la CNIL.
1. Champ d’application : qui doit appliquer quoi ?
La LPD suisse protège les personnes physiques ; elle concerne les traitements des personnes privées et des organes fédéraux, sous réserve de ses exclusions. Les autorités cantonales relèvent de leurs règles propres. L’article 3 vise les états de fait produisant des effets en Suisse, même s’ils se sont produits à l’étranger.
Le RGPD examine le traitement : activité d’un établissement dans l’EEE, offre ciblée de biens ou services à des personnes qui s’y trouvent, ou suivi de leur comportement dans l’EEE. Il ne se déclenche pas simplement parce qu’une entreprise possède un email français. Voir l’article 3 du RGPD.
| Situation | Analyse RGPD | Analyse LPD |
|---|---|---|
| Hôtel suisse accueillant un voyageur français sur place | La nationalité seule ne suffit pas ; examiner établissement, offre ciblée et suivi | Examiner les traitements et effets en Suisse |
| Boutique suisse organisant livraisons et campagnes vers la France | Article 3(2) à examiner pour les traitements liés à cette offre | Application suisse également à examiner |
| Éditeur allemand proposant un service en Suisse | Traitements dans le cadre de l’établissement européen | Vérifier les effets en Suisse et la portée de la LPD |
Pour une entreprise privée suisse, la logique de licéité diffère aussi. Le RGPD exige une base de l’article 6 pour chaque finalité. La LPD repose notamment sur les principes de l’article 6 et sur l’interdiction des atteintes illicites à la personnalité, avec les motifs justificatifs de l’article 31. Il ne faut donc pas recopier mécaniquement les six bases RGPD comme si elles étaient une liste imposée à toute activité privée suisse.
2. Régime des sanctions : pénal vs administratif
Les autorités nationales de protection des données peuvent infliger les amendes administratives prévues par le RGPD ; le CEPD n’est pas une autorité nationale délivrant ces amendes. Les plafonds dépendent du manquement et peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’entreprise, le montant le plus élevé étant retenu.
En Suisse, les articles 60 à 63 LPD prévoient certaines infractions intentionnelles punies jusqu’à 250 000 CHF. La fonction de dirigeant ou de conseiller ne rend pas automatiquement une personne coupable : il faut établir l’infraction et la responsabilité de la personne concernée. L’article 64 prévoit aussi un mécanisme particulier concernant l’entreprise lorsque l’amende envisagée ne dépasse pas 50 000 CHF et que l’identification de la personne punissable exigerait des mesures disproportionnées.
Les poursuites relèvent des autorités pénales cantonales. Le PFPDT dispose, séparément, de pouvoirs d’enquête et de décision, notamment pour faire adapter ou suspendre un traitement. Les sanctions ne se déduisent donc pas d’un nombre de cases manquantes dans une checklist.
3. Le DPO : obligatoire vs facultatif
Sous le RGPD (article 37), le DPO est obligatoire pour les autorités publiques, les entreprises dont l’activité principale consiste à surveiller à grande échelle, et celles traitant à grande échelle des données sensibles.
Sous la nLPD, le conseiller à la protection des données est facultatif pour les entreprises privées (article 10 nLPD). Cependant, sa désignation est fortement recommandée car un responsable privé peut consulter ce conseiller à la place du PFPDT dans les conditions de l’article 23(4). Le conseiller doit satisfaire l’article 10(3), notamment indépendance, compétences, absence de conflit d’intérêts, publication et communication de ses coordonnées au PFPDT. Les organes fédéraux doivent désigner un conseiller selon les règles qui leur sont propres.
4. Notification de violation : agir rapidement selon deux seuils
Le RGPD (article 33) impose de notifier l’autorité compétente sans retard injustifié et, si possible, au plus tard 72 heures après avoir pris connaissance de la violation, sauf si celle-ci est peu susceptible d’engendrer un risque pour les droits et libertés des personnes. Ce délai n’autorise pas à attendre 72 heures. Si la notification intervient plus tard, elle doit expliquer les motifs du retard. Lorsque toutes les informations ne sont pas disponibles, elles peuvent être fournies par étapes, sans autre retard injustifié ; la notification initiale n’attend pas nécessairement la fin de l’enquête.
La nLPD (article 24) impose la notification au PFPDT “dans les meilleurs délais”, et uniquement si le risque pour les personnes concernées est élevé. Pas de délai chiffré. L’absence de délai chiffré n’autorise pas à attendre 72 heures ni la fin de l’enquête. Une annonce initiale doit être complétée à mesure que les faits sont établis. Pour la procédure complète, voir notre guide notification de violation nLPD.
5. AIPD (analyse d’impact) : seuils différents
Le RGPD (article 35) impose une AIPD pour les traitements à risque élevé, avec une liste indicative et des lignes directrices EDPB. La nLPD (article 22) impose la même obligation mais avec deux particularités :
- Le risque élevé se détermine notamment par la nature, l’étendue, les circonstances et la finalité ; la loi cite le traitement de données sensibles à grande échelle et la surveillance systématique de grandes parties du domaine public.
- En cas de risque résiduel élevé, l’article 23 organise la consultation du PFPDT, avec l’alternative encadrée du conseiller pour les responsables privés. La seule nomination d’un conseiller ne suffit pas.
6. Données sensibles : définitions divergentes
Les “données sensibles” (RGPD) et “données personnelles sensibles” (nLPD) ne couvrent pas exactement le même périmètre. La nLPD inclut explicitement :
- Les données sur les opinions ou activités religieuses, philosophiques, politiques, syndicales
- Les données génétiques et biométriques permettant l’identification univoque
- Les données sur la santé, la sphère intime ou l’origine raciale ou ethnique
- Les données sur les poursuites et sanctions administratives et pénales
- Les données sur les mesures d’aide sociale
La classification diffère de l’article 9 du RGPD. Les données pénales sont néanmoins encadrées dans l’UE par l’article 10 : leur absence de la liste de l’article 9 ne signifie pas absence de protection.
7. Décision d’adéquation : ce que cela change
La Suisse bénéficie d’une décision d’adéquation de la Commission européenne depuis l’année 2000, dont le fonctionnement a fait l’objet d’un rapport favorable le 15 janvier 2024. Cette décision reconnaît que la Suisse offre un niveau de protection équivalent au RGPD.
Conséquences concrètes :
- Les transferts de données depuis l’UE vers la Suisse ne nécessitent aucune garantie supplémentaire (clauses contractuelles types, BCR, etc.). La Suisse reste un pays tiers ; l’adéquation dispense de garanties de l’article 46 pour le flux couvert, sans effacer les autres obligations.
- Pour les transferts inverses (Suisse → UE), aucun problème : la Suisse considère l’UE comme adéquate.
- Pour les transferts Suisse → pays tiers (États-Unis hors champ du Swiss-U.S. Data Privacy Framework, par exemple), la nLPD impose des garanties similaires aux clauses contractuelles types RGPD. Voir notre guide transferts internationaux et nLPD.
Tableau de synthèse : RGPD vs nLPD
| Critère | RGPD | nLPD |
|---|---|---|
| Application générale | 25 mai 2018 | 1er septembre 2023 |
| Sanctions | Administratives, jusqu’à 4% CA / 20M€ | Pénales, jusqu’à 250 000 CHF (personnes physiques) |
| DPO | Obligatoire dans certains cas | Facultatif (entreprises privées) |
| Notification de violation | Sans retard injustifié, si possible sous 72 h après prise de connaissance ; retard motivé et compléments sans autre retard injustifié ; sauf risque improbable | Dans les meilleurs délais, sans délai chiffré ; risque vraisemblablement élevé |
| Registre des traitements | Exception étroite sous 250 salariés, notamment exclue pour les traitements non occasionnels | Exception selon art. 24 OPDo sous 250 collaborateurs ; exclusions notamment pour données sensibles à grande échelle ou profilage à risque élevé |
| AIPD | Obligatoire pour risque élevé | Obligatoire pour risque élevé |
| Droit à l’oubli | Article 17 | Article 32 |
| Portabilité | Article 20 | Article 28 |
| Autorité | CNIL, BfDI, AEPD, etc. | PFPDT |
| Adéquation | — | Décision de 2000, fonctionnement réexaminé en 2024 |
Cas pratique : une PME suisse en e-commerce
Une boutique suisse de 35 salariés organise des livraisons et des campagnes publicitaires vers la France et l’Allemagne. Son dossier de décision peut être structuré ainsi :
- Périmètre : identifier les traitements liés à l’offre européenne et ceux relevant de la LPD ; ne pas qualifier toute l’entreprise à partir d’un seul fichier.
- Registre : examiner séparément les exceptions. Une exemption suisse ne dispense pas d’une obligation RGPD applicable au traitement.
- Information : produire une notice lisible avec les mentions requises par chaque régime, notamment les pays destinataires pour la LPD, et les bases juridiques requises par le RGPD.
- Gouvernance : vérifier les critères du DPO, l’éventuel représentant dans l’EEE et le rôle du conseiller suisse. Ce sont des fonctions distinctes.
- Incident : établir deux décisions motivées. Un risque justifiant une notification RGPD peut rester sous le seuil suisse de risque vraisemblablement élevé. L’autorité européenne compétente ne sera pas automatiquement la CNIL ; sans établissement principal européen pertinent, ne présumez pas un guichet unique.
Le résultat utile est une matrice « traitement / régime / obligation / preuve / responsable ». Le guide de notification suisse détaille la décision en cas d’incident ; la checklist PME permet d’affecter les actions restantes.
Conclusion
La nLPD n’est pas un simple “RGPD suisse”. Elle reprend la structure générale (droits des personnes, principes fondamentaux, registre, AIPD) mais diverge sur quatre points qui changent la conformité opérationnelle : régime de sanctions pénal, DPO facultatif, absence de délai chiffré de notification, données sensibles élargies. Pour une entreprise opérant des deux côtés de la frontière, l’enjeu n’est pas de choisir un cadre — c’est de bâtir un dispositif unique qui couvre les deux régimes.
Pour aller plus loin, consultez notre checklist de conformité nLPD pour PME suisses et notre guide RGPD en Suisse.
FAQ
La nLPD remplace-t-elle le RGPD pour les entreprises suisses ?
Non. Les champs d’application doivent être examinés séparément. Les deux textes peuvent s’appliquer au même traitement, mais ni la résidence européenne d’un client ni la conformité à la LPD ne suffisent à conclure sur le RGPD.
Quelles sont les sanctions maximales sous la nLPD ?
Certaines infractions intentionnelles sont punies jusqu’à 250 000 CHF. La responsabilité est principalement celle de la personne physique dont l’infraction est établie ; l’article 64 prévoit aussi un régime limité pour l’entreprise. Le PFPDT ne prononce pas lui-même ces amendes pénales.
Le DPO est-il obligatoire sous la nLPD ?
Pour les entreprises privées, la nomination est facultative. Le recours au conseiller à la place du PFPDT pour une AIPD à risque résiduel élevé exige les conditions des articles 10(3) et 23(4), notamment ses compétences, son indépendance et la communication de ses coordonnées.
Les transferts UE vers Suisse nécessitent-ils des clauses contractuelles types ?
Non pour un transfert couvert par l’adéquation suisse. La décision de 2000 a fait l’objet d’un réexamen favorable en janvier 2024 ; ce n’est pas une nouvelle adhésion de la Suisse à l’EEE. Les obligations de sous-traitance, de sécurité et d’information restent applicables.
Quel est l’équivalent suisse de la CNIL ?
Le PFPDT (Préposé fédéral à la protection des données et à la transparence) est l’autorité fédérale suisse de protection des données. Il dispose de pouvoirs d’enquête et peut ordonner la suspension d’un traitement, mais ne prononce pas directement les amendes pénales prévues par la nLPD — celles-ci relèvent du ministère public.
Pour approfondir:
Sources vérifiées le 26 septembre 2026 : LPD et OPDo, PFPDT, conseiller, PFPDT, notification et Commission, adéquation.