Le registre des traitements nLPD décrit les activités dans lesquelles une organisation traite des données personnelles. Il ne contient pas la liste de tous ses clients ni une copie des dossiers individuels. L’article 12 de la loi fédérale sur la protection des données impose en principe un registre au responsable du traitement et au sous-traitant, avec des contenus différents. L’exception pour certaines structures privées de moins de 250 collaborateurs doit être examinée selon l’article 24 de l’ordonnance sur la protection des données, ou OPDo.
Cette page explique comment constituer une fiche exploitable, déterminer les activités à documenter et coordonner le registre suisse avec un registre RGPD. L’expression nLPD désigne couramment la loi révisée entrée en vigueur le 1er septembre 2023 ; le texte légal s’intitule LPD. Pour le cadre général, consultez le guide de la LPD suisse.
Déterminer le périmètre avant de remplir le modèle
La LPD fédérale régit notamment les traitements des personnes privées et des organes fédéraux. Une autorité cantonale ou communale doit examiner son cadre cantonal : il serait inexact de lui appliquer mécaniquement tous les articles destinés aux organes fédéraux. Une société privée suisse doit, pour sa part, identifier les entités juridiques responsables et leurs activités. Un groupe commercial n’est pas automatiquement un seul responsable du traitement.
La première question est celle du rôle. Lorsque l’entreprise fixe les finalités et les moyens du traitement, elle agit comme responsable. Lorsqu’elle traite des données pour le compte d’un client, elle peut agir comme sous-traitant. Le même prestataire informatique peut ainsi avoir un registre de sous-traitant pour les services rendus et un registre de responsable pour sa paie, ses recrutements et sa propre prospection.
Définissez ensuite une granularité compréhensible. Une activité comme la gestion des candidatures peut utiliser une messagerie, une plateforme et un dossier partagé. Elle ne devient pas nécessairement trois activités parce qu’elle mobilise trois outils. À l’inverse, réunir sous « ressources humaines » le recrutement, la paie, la surveillance des accès et une évaluation comportementale masque des finalités et des risques différents. Le registre doit permettre de comprendre ces différences sans obliger son lecteur à reconstituer toute l’architecture informatique.
L’exception des petites structures : raisonner activité par activité
L’article 12, alinéa 5, LPD habilite le Conseil fédéral à prévoir des exceptions pour les entreprises de moins de 250 collaborateurs dont les traitements présentent un risque limité. L’article 24 OPDo concrétise cette exception. Le rapport explicatif officiel de l’OPDo, pages 49–50, précise le décompte au 1er janvier de l’année et indépendamment du taux d’occupation. Il vise aussi les autres organismes de droit privé et les personnes physiques selon les conditions du texte.
L’exception cesse de couvrir les traitements de données sensibles à grande échelle et le profilage à risque élevé. Ce sont les deux catégories identifiées par cette disposition ; le seul fait d’utiliser un logiciel récent ou d’exercer dans le recrutement ne suffit pas à les caractériser. Une structure comptant exactement 250 collaborateurs ne relève pas de l’exception réservée à celles qui en comptent moins de 250.
Le rapport officiel précise également un point essentiel : une petite structure concernée par ces catégories doit tenir le registre pour les traitements qui y correspondent, et pas nécessairement pour toutes ses autres activités au titre de cette règle. Elle peut choisir volontairement une couverture plus large. Cette possibilité ne doit pas être présentée comme une obligation générale déclenchée par la présence d’une seule activité sensible.
La grande échelle s’apprécie à partir des caractéristiques du traitement, notamment la quantité de données ou le nombre de personnes. Il n’existe pas dans cette explication un seuil universel de dossiers permettant de conclure automatiquement. Un cabinet traitant ponctuellement une information médicale et une plateforme agrégeant de nombreux dossiers de santé ne sont pas dans une situation identique. Documentez les faits retenus et la raison de la conclusion.
Le profilage à risque élevé a sa définition suisse à l’article 5 LPD : il entraîne un risque élevé pour la personnalité ou les droits fondamentaux parce que l’appariement de données permet d’apprécier des caractéristiques essentielles de la personnalité. Une simple segmentation commerciale n’entre pas nécessairement dans cette qualification. L’analyse doit examiner ce qui est rapproché, les conclusions produites et leur utilisation.
Enfin, être dispensé de registre ne dispense pas des autres devoirs. Le PFPDT le rappelle dans sa FAQ, notamment pour l’information et le renseignement. Une courte note d’évaluation de l’exception, réexaminée lors d’un changement d’activité, permet d’expliquer votre décision. Ce document constitue une pratique de gestion recommandée, pas un formulaire officiel obligatoire.
Le contenu du registre du responsable, champ par champ
L’article 12 LPD dans le texte officiel énumère les mentions minimales. Commencez par l’identité du responsable du traitement. Une dénomination de marque seule peut être insuffisante pour identifier la société réellement concernée. Ajoutez un contact opérationnel pour maintenir la fiche ; distinguez ce complément utile du contenu strictement énuméré par la loi.
La finalité décrit pourquoi les données sont traitées. « Gestion informatique » renseigne peu le lecteur. Indiquez, par exemple, que le dispositif gère les demandes d’assistance des clients et permet leur résolution. Si les mêmes échanges servent ensuite à entraîner un outil, cette réutilisation doit être examinée et décrite. La fiche ne doit pas rendre invisible une nouvelle finalité par une formulation trop large.
Les catégories de personnes et de données précisent le périmètre sans recopier de données réelles. Identifiez les clients, leurs interlocuteurs, les collaborateurs ou les candidats selon le cas. Séparez les coordonnées ordinaires, les informations financières, les identifiants techniques et les catégories sensibles présentes. La notion suisse de donnée sensible inclut notamment les poursuites ou sanctions administratives et les mesures d’aide sociale ; elle ne se réduit pas à la liste de l’article 9 RGPD. La présentation des données sensibles au sens du RGPD sert donc à comparer, pas à remplacer la qualification suisse.
Les catégories de destinataires expliquent à qui les données sont communiquées. Une liste distinguant hébergement, support externe et autres partenaires est plus lisible qu’une catégorie générale « tiers autorisés ». Des références vers les fiches fournisseurs peuvent compléter le registre. Il faut néanmoins pouvoir comprendre la catégorie et le traitement concerné même si l’annexe contractuelle est consultée séparément.
La durée de conservation, ou les critères permettant de la déterminer, est renseignée dans la mesure du possible. Cette qualification figure dans la loi ; elle ne constitue pas une autorisation de laisser systématiquement la rubrique vide. Précisez le déclencheur, les catégories concernées et les événements qui modifient la durée. Une durée contractuelle, une prescription et un besoin opérationnel ne sont pas interchangeables. Le guide de conservation des données aide à structurer la méthode, en vérifiant ensuite les règles suisses pertinentes.
La description générale des mesures de sécurité est également exigée dans la mesure du possible. Elle peut renvoyer à un document identifié et à jour, mais doit rester intelligible. Indiquez les principes d’accès, les protections des échanges, la sauvegarde et la gestion des habilitations adaptés à l’activité. N’insérez pas les mots de passe ni des détails qui compromettraient la sécurité : le registre décrit les garanties, il n’est pas un coffre de secrets techniques.
En cas de communication à l’étranger, identifiez l’État concerné et les garanties prévues à l’article 16, alinéa 2, lorsqu’elles sont pertinentes. Le pays de facturation du prestataire ne prouve pas le lieu d’accès ou d’hébergement. Un service d’assistance accessible depuis un autre État mérite d’être examiné même si le centre de données principal est en Suisse. Conservez le raisonnement sur l’adéquation, les garanties ou une éventuelle dérogation dans une documentation reliée à la fiche.
Une trame à adapter, sans données individuelles
La trame suivante reprend la structure minimale et quelques références utiles. Les indications entre crochets sont à remplacer après vérification ; elles ne constituent ni des durées recommandées ni une décision juridique préremplie.
Activité : [nom permettant de la distinguer]. Responsable : [identité de la personne ou de l’entité]. Finalité : [objectif précis]. Personnes concernées : [catégories]. Données : [catégories, dont données sensibles le cas échéant]. Destinataires : [catégories]. Conservation : [durées ou critères, dans la mesure du possible]. Sécurité : [description générale, dans la mesure du possible, et références]. Étranger : [États et garanties pertinentes]. Suivi interne complémentaire : [interlocuteur, date de vérification et documents associés].
Prenons l’exemple hypothétique d’un distributeur qui confie son assistance clientèle à une société externe. La finalité est le traitement des demandes d’assistance ; le registre décrit les coordonnées et les échanges nécessaires. Il distingue le prestataire d’assistance et l’hébergeur parmi les destinataires. Si les tickets contiennent parfois des données inutiles, la réponse ne consiste pas à élargir artificiellement la finalité : il faut limiter la collecte et organiser la suppression pertinente.
Le distributeur demande ensuite où les agents accèdent aux tickets, comment les habilitations sont retirées et quelle règle commande la conservation après clôture. Un litige peut justifier de préserver certaines pièces, mais pas nécessairement tous les tickets de tous les clients. Cette analyse transforme une fiche standard en description fidèle. Elle met aussi en évidence les questions encore ouvertes, que le registre ne doit pas masquer derrière des cases cochées.
Le registre distinct du sous-traitant
L’article 12, alinéa 3, prévoit un contenu plus limité pour le sous-traitant : son identité et celle du responsable, les catégories de traitements effectués pour son compte, les indications relatives à la sécurité et aux communications à l’étranger. Il ne faut pas lui imposer par simple copier-coller toutes les rubriques du registre du responsable comme si elles appartenaient au même minimum légal.
Cela n’empêche pas d’ajouter des informations opérationnelles utiles. Un prestataire peut référencer ses services, les instructions applicables et les sous-traitants ultérieurs afin de retrouver les informations nécessaires. Lorsqu’une infrastructure est commune à plusieurs clients, une annexe partagée peut décrire ses mesures de sécurité, avec des liens explicites vers les activités et les clients concernés. Les particularités de chaque contrat doivent rester identifiables.
Un contrat de sous-traitance et un registre remplissent des fonctions différentes. L’un encadre la relation ; l’autre décrit les activités. Le registre du fournisseur ne dispense pas le client de son propre registre lorsque celui-ci est requis. De même, une simple liste de contrats ne décrit pas nécessairement les catégories de données ou les destinations étrangères.
Construire un registre commun LPD et RGPD
Un outil ou un fichier commun est possible, à condition de produire les informations nécessaires pour chaque régime et chaque rôle. Le registre RGPD de l’article 30 constitue un point de départ documentaire, pas une équivalence automatique. Vérifiez d’abord pourquoi le RGPD s’applique à l’entité suisse : établissement dans l’Union, offre de biens ou services aux personnes qui s’y trouvent, suivi de leur comportement dans les conditions de l’article 3, ou autre situation pertinente.
La base légale est une différence souvent mal présentée. Elle n’est pas un champ expressément imposé par l’article 30 RGPD, même si la licéité du traitement doit être établie et si d’autres dispositions exigent cette information. La CNIL explique dans son propre registre qu’elle l’ajoute au-delà du minimum de cet article. L’ajout reste utile pour relier les informations remises aux personnes et l’analyse juridique.
Du côté suisse, les personnes privées ne sont pas soumises à une reproduction générale du catalogue de bases de l’article 6 RGPD. Elles doivent néanmoins respecter les principes de la LPD et examiner les atteintes à la personnalité ainsi que leurs éventuels motifs justificatifs. Les organes fédéraux relèvent de règles spécifiques de base légale, notamment à l’article 34. Laisser partout une rubrique « licéité suisse » vide serait donc une mauvaise méthode. Les différences entre LPD et RGPD doivent être expliquées dans les instructions de saisie.
Les exceptions au registre diffèrent aussi. Sous le RGPD, pour les organismes de moins de 250 salariés, le caractère non occasionnel, le risque pour les droits et libertés ou le traitement des catégories de l’article 9 ou des données de l’article 10 excluent l’exception pour les activités correspondantes. Ces critères ne remplacent pas les deux catégories de l’OPDo. Une activité peut donc devoir figurer dans la partie RGPD tout en bénéficiant de l’exception suisse.
Enfin, un même flux étranger peut nécessiter deux analyses. Les décisions d’adéquation de la Commission européenne et celles du Conseil fédéral sont distinctes. Un champ « transfert conforme : oui » ne permet pas de savoir quelle analyse a été faite. Associez à chaque flux le régime, l’État, la garantie et sa référence. Les principes de construction d’un registre RGPD restent utiles pour organiser les relations entre fiches, tout en conservant ces différences.
Maintenir le registre sans le transformer en archive passive
Désignez un interlocuteur pour chaque activité et prévoyez les événements qui déclenchent une revue : nouveau fournisseur, changement de pays, nouvelle finalité, nouvelle catégorie sensible ou arrêt d’un service. Une révision périodique peut compléter ces déclencheurs, mais aucune périodicité universelle ne remplace la mise à jour après un changement concret. Une ancienne fiche toujours exacte n’est pas fausse du seul fait de son âge ; une fiche récente peut déjà être incomplète.
Le tableur peut convenir si les responsabilités, versions et accès sont maîtrisés. Un logiciel de registre des traitements peut faciliter les relations entre activités et prestataires. Pour une solution de conformité suisse, vérifiez les champs LPD, la séparation des rôles, les exceptions et les exports. Une fonction annoncée de double conformité doit être démontrée sur une fiche réelle, sans supposer qu’un catalogue commercial valide l’analyse juridique.
Le registre privé n’est pas soumis à une déclaration générale au PFPDT du seul fait de son existence. L’article 12, alinéa 4, impose aux organes fédéraux de déclarer leur registre. Distinguez également le registre d’activités du règlement de traitement prévu dans certaines situations par l’OPDo. Ce dernier décrit notamment l’organisation et les procédures : ce n’est pas un autre nom pour le même fichier.
FAQ
Une petite entreprise doit-elle tout inscrire dès qu’elle traite des données sensibles ?
Non. L’exception de l’OPDo s’apprécie notamment selon la grande échelle ou le profilage à risque élevé. Le rapport explicatif précise que les petites structures concernées doivent documenter les activités répondant à ces catégories. Une couverture volontaire plus large reste possible et parfois utile.
Un registre RGPD peut-il servir en Suisse ?
Oui, après adaptation des champs, rôles et analyses. Il faut notamment conserver les distinctions concernant les transferts, la licéité et les exceptions. Une seule base documentaire peut produire plusieurs vues ; une étiquette « RGPD/LPD » ne suffit pas.
Faut-il transmettre le registre au PFPDT ?
Les organes fédéraux doivent le déclarer. Une entreprise privée ne procède pas à une déclaration générale équivalente, mais doit pouvoir répondre aux demandes légalement fondées de l’autorité. Le registre doit donc être compréhensible et disponible lorsqu’il est nécessaire.