La nLPD suisse et le RGPD européen poursuivent des objectifs proches, mais une organisation ne peut pas remplacer les références à l’un par celles à l’autre dans ses documents. Les différences concernent notamment le champ territorial, la justification des traitements, les registres, les violations de données et les pouvoirs des autorités. Pour une entreprise active des deux côtés de la frontière, l’objectif est de construire un socle commun, puis d’identifier les décisions qui nécessitent une analyse séparée.
Le terme « nLPD » désigne ici la loi fédérale suisse révisée sur la protection des données, entrée en vigueur le 1er septembre 2023. Il reste employé pour la distinguer de l’ancienne loi, mais il s’agit bien de la LPD applicable. Les dix différences suivantes permettent de revoir un dispositif existant sans supposer qu’une conformité européenne démontrée entraîne automatiquement une conformité suisse.
1. Le territoire : des critères de rattachement différents
La LPD fédérale vise les traitements des personnes privées et des organes fédéraux. Les traitements des autorités cantonales et communales relèvent en principe de leurs cadres cantonaux. Son article 3 retient les situations produisant des effets en Suisse, même lorsqu’elles trouvent leur origine à l’étranger. Le siège de l’entreprise constitue donc un renseignement utile, mais ne suffit pas à délimiter son exposition.
Le RGPD, présenté article par article par la CNIL, applique notamment le critère de l’établissement dans l’Union. Pour certains organismes non établis dans l’Union, son article 3 vise aussi l’offre de biens ou de services à des personnes qui s’y trouvent et le suivi de leur comportement lorsqu’il a lieu dans l’Union. La nationalité européenne d’un client n’est pas, à elle seule, ce critère. Le guide du RGPD pour les entreprises suisses aide à organiser cette première qualification.
Prenons une boutique lausannoise qui ouvre des livraisons express destinées au marché français et adapte ses campagnes à ce marché. Elle doit examiner ce ciblage, ses établissements et les traitements concernés. Une fiche par activité, avec les personnes visées, les pays et les raisons du rattachement, sera plus utile qu’une étiquette générale « entreprise suisse ». Cette fiche sert ensuite à déterminer les interlocuteurs et documents appropriés.
2. La licéité : ne pas recopier mécaniquement les six bases européennes
Le RGPD impose de rattacher le traitement à une base de l’article 6, sans préjudice des exigences supplémentaires applicables à certaines données. Pour les personnes privées, la LPD suit une architecture différente : principes de traitement, protection de la personnalité et, en cas d’atteinte, examen d’un motif justificatif. Le guide du PFPDT sur les mesures de protection explique notamment que l’existence d’un intérêt privé ne le rend pas automatiquement prépondérant.
Cette différence ne signifie pas que tout est permis en Suisse jusqu’à une opposition. La finalité, la proportionnalité, la transparence et la sécurité doivent être examinées dès la conception. Pour les organes fédéraux, la question de la base légale obéit en outre aux dispositions spécifiques de la LPD ; le raisonnement présenté pour une entreprise privée ne leur est pas transposable tel quel.
Dans un dossier commun, conservez la justification RGPD et une analyse suisse distincte lorsque celle-ci est nécessaire. Par exemple, l’utilisation secondaire d’un historique d’achats pour évaluer la solvabilité demande davantage qu’une formule « intérêt commercial ». Décrivez le besoin, les effets sur la personne, les données effectivement nécessaires et les limites. Cette rédaction rend visibles les points à modifier avant d’utiliser les données.
3. Les données sensibles : des catégories qui ne se superposent pas
La LPD et le RGPD protègent notamment les informations de santé, les opinions politiques et certaines données biométriques. Leurs classifications ne sont toutefois pas identiques. La définition suisse comprend notamment les données sur les poursuites ou sanctions pénales et administratives ainsi que sur les mesures d’aide sociale. Le RGPD distingue ses catégories particulières de l’article 9 et les données pénales régies par l’article 10.
Une correspondance automatique entre deux cases « sensible » peut donc masquer une exigence. La fiche consacrée aux catégories particulières de données sous le RGPD sert à préciser le volet européen. Pour le volet suisse, rattachez les données à leur catégorie réelle dans la LPD, puis examinez les obligations concernées. Le niveau de protection dépend aussi du contexte et des conséquences possibles.
Dans un groupe qui gère des dossiers de prestations sociales, le même champ informatique pourra ainsi recevoir deux qualifications juridiques différentes. Il faut conserver cette différence dans les exports, les analyses de risques et les consignes de partage. Un champ absent d’une catégorie particulière européenne peut néanmoins exposer une personne à une discrimination ou à une atteinte importante ; l’absence d’étiquette ne dispense jamais d’évaluer ce risque.
4. Le conseiller suisse et le DPO européen : deux décisions de désignation
Pour un responsable privé, la désignation d’un conseiller à la protection des données est facultative sous la LPD. Elle peut néanmoins faciliter la gouvernance et, sous les conditions légales, intervenir dans le mécanisme de consultation lié aux analyses d’impact. Les organes fédéraux suivent un régime de désignation obligatoire. Le PFPDT précise ces différences dans sa FAQ.
L’article 37 du RGPD impose notamment un DPO pour les autorités et organismes publics, sauf les juridictions dans leur fonction juridictionnelle. Il vise aussi les activités de base nécessitant un suivi régulier et systématique à grande échelle, ou consistant en un traitement à grande échelle de données de l’article 9 ou de données pénales de l’article 10. Un simple fichier client ou la présence de données de santé ne suffit pas à résumer ces conditions.
Une même personne peut exercer plusieurs fonctions compatibles, mais il faut vérifier ses compétences, son indépendance, ses moyens et les conflits d’intérêts. Comparez les missions du délégué à la protection des données avec les besoins suisses. La lettre de mission doit préciser qui conseille, qui décide et qui remplace l’interlocuteur absent ; un intitulé commun ne règle pas ces questions opérationnelles.
5. Le registre : le seuil de 250 personnes ne signifie pas la même chose
En Suisse, l’article 24 de l’ordonnance prévoit une exception pour les entreprises et autres organismes privés employant moins de 250 collaborateurs au 1er janvier, ainsi que pour les personnes physiques. Cette exception ne joue pas lorsque le traitement porte sur des données sensibles à grande échelle ou constitue un profilage à risque élevé. Le PFPDT présente également ces conditions dans ses explications relatives aux associations.
Le RGPD prévoit une exception différente à l’article 30, paragraphe 5. Pour un organisme de moins de 250 personnes, les activités non occasionnelles, celles susceptibles de comporter un risque pour les droits et libertés, et celles portant sur les données des articles 9 ou 10 restent concernées. L’analyse porte sur les activités pertinentes ; ce n’est pas une dispense générale accordée à toute petite entreprise.
Un inventaire commun reste souvent pratique, même lorsqu’une exception suisse est applicable. Il évite de reconstruire les flux au moment d’une demande d’accès ou d’un incident. Le registre des traitements sous la nLPD permet de distinguer les mentions suisses. Ajoutez une colonne expliquant pourquoi une obligation de tenue existe, sans transformer chaque champ de gestion interne en exigence légale universelle.
6. L’analyse d’impact : rapprocher les travaux, conserver les critères
Les deux régimes imposent une analyse d’impact pour certains traitements susceptibles d’entraîner un risque élevé. Les fondements et les cas à examiner restent propres à chaque texte. La LPD vise notamment le traitement de données sensibles à grande échelle et la surveillance systématique de grandes parties du domaine public. Le guide suisse consacré à l’analyse d’impact décrit l’examen préalable et l’analyse attendue.
Il est possible de partager une description technique, un scénario de menace et les mesures de réduction du risque. Il faut ensuite vérifier séparément les seuils, les listes ou critères pertinents et la nécessité d’une consultation préalable. Une appréciation européenne déjà documentée représente une base de travail, pas une dispense suisse automatique ; l’inverse est également vrai.
Pour un nouveau dispositif de vidéosurveillance, commencez par les zones filmées, les personnes observées, la durée de conservation et les possibilités d’accès. Comparez plusieurs configurations avant de retenir celle qui sera exploitée. Consignez les raisons de conserver ou d’abandonner une fonction. Cette démarche produit une décision de conception exploitable, au lieu d’un document identique joint à tous les projets du groupe.
7. Les violations : deux seuils et des décisions distinctes
La LPD exige une annonce au PFPDT dans les meilleurs délais lorsque la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux. Le portail officiel DataBreach explique ce seuil. L’information des personnes constitue une décision distincte, notamment lorsque leur protection la nécessite ou lorsque le PFPDT la demande, sous réserve des exceptions prévues par la loi.
Le RGPD exige une notification à l’autorité sans retard injustifié et, si possible, dans les 72 heures après la prise de connaissance, sauf si la violation est peu susceptible d’engendrer un risque pour les droits et libertés. Une notification tardive doit être motivée. Toute violation de données personnelles doit être documentée ; la communication aux personnes relève du seuil de risque élevé de l’article 34 et de ses propres exceptions.
La procédure de notification des violations sous le RGPD peut donc alimenter un dossier commun, avec deux conclusions motivées. Si un fichier client est envoyé à un destinataire non autorisé, examinez son contenu, les possibilités de réutilisation et les mesures réellement confirmées. L’absence de délai suisse chiffré n’autorise pas à attendre le résultat d’une réunion hebdomadaire ni à reporter automatiquement l’annonce au terme européen.
8. Les transferts : vérifier le régime de chaque flux
Une décision d’adéquation européenne et la reconnaissance suisse d’une protection adéquate sont deux mécanismes distincts. Pour un flux soumis aux deux droits, vérifiez les pays, les destinataires et les garanties dans chaque cadre. Le PFPDT publie ses explications sur la communication de données à l’étranger, notamment sur les garanties contractuelles et l’examen de leur efficacité.
La procédure consacrée aux transferts suisses de données aide à cartographier ces opérations. Le dossier européen de transferts internationaux constitue un volet séparé, à lire avec les décisions et textes officiels actuellement applicables. Une clause ne remplace ni l’identification du destinataire réel ni l’analyse des accès effectués par les prestataires.
Demandez au fournisseur où les données sont stockées, mais aussi depuis quels pays elles sont accessibles pour l’assistance et l’administration. Un contrat annonçant une région d’hébergement ne répond pas nécessairement à cette seconde question. Archivez les documents sur lesquels repose votre conclusion et les événements qui déclencheront sa révision, par exemple l’ajout d’un sous-traitant ou le déplacement d’une équipe de support.
9. Le profilage : distinguer l’évaluation de la décision automatisée
La LPD définit un profilage à risque élevé en fonction notamment de l’appariement de données permettant d’apprécier des caractéristiques essentielles de la personnalité. Cette notion ne se confond pas avec toute segmentation commerciale. Elle ne se confond pas davantage avec la décision individuelle automatisée, qui possède son propre régime d’information et de réexamen à l’article 21, avec des exceptions à examiner.
Dans le RGPD, l’article 22 concerne notamment les décisions fondées exclusivement sur un traitement automatisé et produisant des effets juridiques ou affectant une personne de manière similaire et significative. Les conditions et garanties ne se déduisent pas du seul emploi d’un score. Le guide sur le profilage et les décisions automatisées développe cette distinction pour le cadre européen.
Lors de l’achat d’un outil de scoring, demandez ce que fait effectivement le salarié devant le résultat. Une validation systématique sans pouvoir de modification n’équivaut pas nécessairement à une intervention humaine réelle. Décrivez les données d’entrée, les conséquences et la possibilité de contestation. Ces informations permettent de qualifier le système dans les deux régimes et de concevoir une procédure de réexamen utile.
10. Les sanctions et les autorités : séparer les responsabilités
Le PFPDT peut enquêter et rendre des décisions contraignantes, mais il ne prononce pas les amendes pénales de la LPD. Les dispositions pénales expliquées par l’autorité concernent des infractions intentionnelles définies par la loi, avec un maximum de 250 000 francs. Les autorités cantonales assurent leur poursuite. La responsabilité pénale d’un dirigeant ne découle donc pas automatiquement de toute erreur commise dans son entreprise.
La loi prévoit aussi un mécanisme subsidiaire concernant l’entreprise lorsque l’amende envisagée ne dépasse pas 50 000 francs et que l’identification de la personne physique demanderait des investigations disproportionnées. Les conséquences civiles et les décisions administratives constituent d’autres volets. Le guide du PFPDT aide à identifier le bon interlocuteur.
Le RGPD prévoit notamment des amendes administratives pouvant atteindre, selon les dispositions enfreintes, 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial d’une entreprise, le montant le plus élevé étant retenu. Ce plafond ne prédit pas l’amende d’un dossier. Pour la direction, la priorité consiste à attribuer les décisions, financer les mesures nécessaires et conserver leurs preuves, plutôt qu’à comparer deux maxima comme s’ils mesuraient un risque identique.
Questions fréquentes
Un dossier RGPD suffit-il pour la Suisse ?
Il constitue souvent une base utile, mais doit être adapté. Commencez par le périmètre, les transferts, les annonces de violations et la justification des traitements privés. Le guide général de la nLPD permet ensuite de répartir les actions. Conservez une documentation commune lorsque les faits sont identiques, en rendant visibles les conclusions juridiques qui diffèrent.
Faut-il toujours demander un consentement en Suisse ?
Non. La LPD n’impose pas un consentement pour chaque traitement privé. Il faut néanmoins respecter ses principes et examiner les atteintes à la personnalité ainsi que leurs éventuels motifs justificatifs. Lorsque le consentement est utilisé, ses conditions doivent être satisfaites ; une signature générale ne légitime pas des usages indéfinis ou disproportionnés.
Peut-on appliquer volontairement la règle la plus exigeante ?
Une organisation peut retenir des mesures communes plus protectrices, par exemple limiter les accès ou documenter davantage ses décisions. Cela ne supprime pas les formalités propres à chaque régime. Un destinataire d’annonce, une voie de recours ou un fondement juridique ne se remplace pas par une règle interne simplement présentée comme plus stricte.