PFPDT : l'autorité suisse de protection des données

Le PFPDT — Préposé fédéral à la protection des données et à la transparence — est l’autorité suisse chargée de veiller au respect de la nLPD. Sa particularité, essentielle pour toute entreprise active en Suisse : il enquête, recommande et rend des décisions contraignantes, mais n’inflige pas d’amendes. Les sanctions pénales de la nLPD (jusqu’à 250 000 CHF contre les personnes physiques) sont prononcées par les autorités pénales cantonales, pas par lui. Voici son rôle exact, ses pouvoirs, la procédure d’annonce des violations et ce qui le distingue de la CNIL pour une entreprise de Suisse romande.

Points clés

• Le PFPDT surveille l’application de la nLPD par les entreprises privées et les organes fédéraux ; c’est une autorité indépendante basée à Berne.
• Il peut ouvrir des enquêtes d’office ou sur dénonciation, exiger des documents et rendre des décisions contraignantes (art. 49 à 51 nLPD).
• Il n’a pas de pouvoir d’amende : les sanctions pénales relèvent des autorités pénales cantonales.
• C’est à lui que s’annoncent les violations de sécurité des données (art. 24 nLPD), via son portail en ligne.

Qui est le PFPDT

Le Préposé fédéral à la protection des données et à la transparence est une autorité indépendante rattachée administrativement à la Chancellerie fédérale, mais qui exerce ses fonctions sans instruction. Il cumule deux missions : la protection des données (au titre de la nLPD) et la transparence de l’administration fédérale (au titre de la loi sur la transparence, LTrans).

Son champ couvre à la fois les traitements des organes fédéraux et ceux des personnes privées (entreprises, indépendants, associations). Il informe, conseille, publie des recommandations et un rapport d’activité annuel. Son site officiel, edoeb.admin.ch, centralise ses guides et ses formulaires. Le cadre légal complet qu’il applique est présenté dans notre guide de la nLPD.

Ses pouvoirs sous la nLPD

La nLPD révisée a nettement renforcé les prérogatives du PFPDT par rapport à l’ancienne loi. Il peut désormais :

• Ouvrir une enquête d’office ou sur dénonciation, contre une personne privée ou un organe fédéral, en cas d’indices de violation (art. 49).
• Exiger la production de documents, des renseignements et l’accès aux traitements dans le cadre de l’instruction.
• Rendre des décisions contraignantes (art. 51) : ordonner l’adaptation, la suspension ou la cessation d’un traitement, voire l’effacement de données.
• Émettre des recommandations et dénoncer les manquements aux autorités pénales compétentes.

Ce pouvoir de décision est réel : une entreprise qui ignore une décision du PFPDT s’expose à des mesures d’exécution et, indirectement, à la sanction pénale de la personne responsable. La logique de contrôle rappelle celle d’un contrôle de la CNIL, avec la différence majeure du pouvoir de sanction.

Ce qu’il ne peut pas faire : infliger une amende

C’est le point le plus contre-intuitif pour qui vient du droit européen. Le PFPDT n’a pas le pouvoir d’infliger des amendes administratives. Là où la CNIL prononce elle-même des sanctions financières contre les entreprises, le régulateur suisse s’arrête à la décision contraignante et à la dénonciation.

Les amendes pénales de la nLPD — jusqu’à 250 000 CHF — visent les personnes physiques responsables et sont prononcées par les autorités pénales cantonales, à la suite d’une dénonciation. Cette séparation entre autorité de contrôle (le PFPDT) et autorité de sanction (le juge pénal cantonal) est une caractéristique majeure du système suisse, détaillée dans notre comparatif des différences entre nLPD et RGPD.

Annoncer une violation de sécurité au PFPDT

L’article 24 de la nLPD impose d’annoncer au PFPDT les violations de la sécurité des données susceptibles d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. La procédure :

1. Évaluer le risque : l’annonce n’est due que si un risque élevé est probable — le raisonnement rejoint celui de la notification de violation sous le RGPD, avec un seuil formulé différemment.
2. Annoncer « dans les meilleurs délais » via le portail en ligne du PFPDT, en décrivant la nature de la violation, ses conséquences et les mesures prises.
3. Informer les personnes concernées lorsque leur protection l’exige ou que le PFPDT le demande.
4. Documenter l’incident, y compris ceux qui n’ont pas atteint le seuil d’annonce — la preuve d’un traitement diligent des violations relève de la responsabilité de l’entreprise, ce qu’un logiciel de conformité nLPD aide à tracer.

À la différence du RGPD, la nLPD ne fixe pas de délai chiffré comme les 72 heures : « dans les meilleurs délais » impose néanmoins d’agir vite et de justifier tout retard.

PFPDT ou CNIL : quelle autorité pour une entreprise de Suisse romande

Une entreprise de Suisse romande qui traite des données de clients européens peut relever des deux autorités. La règle pratique :

• Traitement de données de personnes en Suisse → nLPD et compétence du PFPDT.
• Ciblage ou suivi de personnes dans l’UE → RGPD et compétence de l’autorité de l’UE concernée (la CNIL pour la France), avec le cas échéant la désignation d’un représentant dans l’Union.

Beaucoup d’entreprises romandes sont donc soumises aux deux régimes simultanément. La bonne approche consiste à tenir un dispositif commun — registre, sécurité, procédure de violation, désignation éventuelle d’un conseiller ou délégué à la protection des données — et à le décliner selon chaque autorité. Le socle documentaire est largement mutualisable, comme le montre notre guide RGPD Suisse et le modèle de registre nLPD. Une plateforme de conformité comme Legiscope permet de gérer ce double rattachement à partir d’une cartographie unique des traitements.

Comment se préparer à un contrôle du PFPDT

Le PFPDT agit surtout sur signalement — plainte d’une personne concernée, dénonciation, révélation médiatique d’une fuite. La meilleure préparation est documentaire, et elle recoupe largement celle d’un contrôle CNIL :

• Un registre à jour (art. 12 nLPD), premier document réclamé, qu’il soit ou non obligatoire pour votre taille.
• Une procédure de violation opérationnelle, avec le formulaire d’annonce et les critères d’évaluation du risque déjà en place.
• Les AIPD des traitements à risque élevé, avec la trace des mesures d’atténuation.
• Les contrats de sous-traitance et les garanties encadrant les transferts à l’étranger.
• La désignation éventuelle d’un conseiller et la formalisation de son rôle.

Une organisation qui tient ces éléments à jour transforme un contrôle potentiellement anxiogène en simple présentation de dossiers. C’est aussi la logique d’accountability qui sous-tend le RGPD : démontrer, à tout moment, que la conformité est organisée et non improvisée. L’enjeu n’est pas d’attendre le contrôle, mais de pouvoir répondre en heures plutôt qu’en semaines.

FAQ

Le PFPDT peut-il infliger une amende ?

Non. Le PFPDT enquête, rend des décisions contraignantes et dénonce les manquements, mais il n’a pas de pouvoir d’amende. Les sanctions pénales de la nLPD (jusqu’à 250 000 CHF contre les personnes physiques) sont prononcées par les autorités pénales cantonales, sur dénonciation.

À qui annoncer une violation de données en Suisse ?

Au PFPDT, via son portail en ligne, lorsque la violation est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées (art. 24 nLPD). L’annonce doit intervenir « dans les meilleurs délais », sans le seuil chiffré des 72 heures du RGPD.

Le PFPDT est-il l’équivalent suisse de la CNIL ?

Fonctionnellement oui, mais avec deux différences majeures : il n’inflige pas d’amendes lui-même, et il cumule protection des données et transparence de l’administration fédérale. Son pouvoir passe par l’enquête, la décision contraignante et la dénonciation, non par la sanction financière directe.

Une entreprise suisse doit-elle aussi appliquer le RGPD ?

Oui si elle cible ou suit des personnes dans l’Union européenne : elle relève alors du RGPD et de l’autorité de l’UE concernée, en plus de la nLPD et du PFPDT. Beaucoup d’entreprises de Suisse romande sont dans cette situation et doivent gérer les deux régimes en parallèle.