La nouvelle loi fédérale sur la protection des données, entrée en vigueur le 1er septembre 2023, s’applique à pratiquement toutes les entreprises suisses. Beaucoup de dirigeants de PME l’ont découverte à ce moment-là, ont entendu parler d’amendes à six chiffres, puis ont laissé le sujet de côté faute de savoir par où commencer.
Cet article répond à la seule question qui compte vraiment : qu’est-ce que cette loi exige concrètement de votre entreprise, et qu’est-ce qui peut vous arriver si vous ne faites rien. Si vous préférez une réponse immédiate, le test « suis-je concerné par la nLPD ? » vous situe en cinq questions.
Qu’est-ce que la loi a changé pour les entreprises suisses ?
L’ancienne loi datait de 1992. Elle avait été écrite avant le web grand public, avant le cloud, avant les smartphones. La révision poursuit trois objectifs : rapprocher le droit suisse du RGPD européen, renforcer la transparence envers les personnes concernées, et donner de vrais moyens de sanction.
Le changement de philosophie est le point le plus important. La loi ne vous demande plus seulement de ne pas mal faire. Elle vous demande de pouvoir démontrer que vous faites correctement : documenter vos traitements, informer les personnes, sécuriser vos données par des mesures adaptées. C’est ce qu’on appelle le principe de responsabilité.
Une précision qui rassure souvent : contrairement à une idée répandue, la nLPD n’impose pas de certification, pas d’audit obligatoire, et pas de déclaration préalable auprès d’une autorité. Il n’y a aucun formulaire à envoyer pour se mettre en règle.
Votre entreprise est-elle concernée ?
Oui, dans la quasi-totalité des cas. La loi s’applique dès que vous traitez des données personnelles, c’est-à-dire toute information se rapportant à une personne identifiée ou identifiable.
Cela couvre bien plus large que ce qu’on imagine :
- le nom et l’adresse email d’un client dans votre logiciel de facturation ;
- le dossier d’un employé, son salaire, ses certificats de travail ;
- les images de votre caméra de surveillance ;
- la liste de vos contacts commerciaux dans un CRM ;
- les candidatures reçues pour un poste, même non retenues.
Il n’existe aucun seuil d’effectif ni de chiffre d’affaires. Une entreprise individuelle est soumise à la loi au même titre qu’un groupe. Ce que la taille change, c’est le niveau de mesures qu’on peut raisonnablement attendre de vous, pas le fait d’être concerné.
Une réserve tient au secteur public. Les communes et les institutions publiques cantonales ne relèvent pas de la loi fédérale, mais de leur loi cantonale sur la protection des données. Une PME qui travaille pour une collectivité doit donc connaître ce second régime, présenté pour le canton de Fribourg dans notre article sur la LPrD fribourgeoise et ses prestataires.
Beaucoup d'entreprises pensent être soumises au RGPD parce qu'elles ont un site web accessible depuis l'Europe. Ce n'est pas suffisant. Le RGPD s'applique si vous visez activement le marché européen : prix affichés en euros, livraison vers l'UE, site traduit pour un public européen, publicité ciblée. Une PME romande qui vend uniquement en Suisse relève de la nLPD seule.
Les obligations qui concernent réellement une PME
Le texte de loi compte plus de soixante articles. Voici ceux qui produisent des effets concrets dans une PME.
| Obligation | Ce que cela veut dire concrètement | Concerne |
|---|---|---|
| Informer les personnes | Une politique de confidentialité claire, accessible, indiquant qui traite quoi, pourquoi, et vers où les données partent | Toutes |
| Sécuriser les données | Des mesures techniques et organisationnelles proportionnées au risque : accès restreints, sauvegardes, mots de passe robustes | Toutes |
| Annoncer les violations graves | Signaler au PFPDT toute fuite qui présente un risque élevé pour les personnes | Toutes |
| Répondre aux demandes d’accès | Fournir à une personne, sur demande, les données que vous détenez sur elle, en principe dans les 30 jours et gratuitement | Toutes |
| Tenir un registre des traitements | Documenter vos activités de traitement | Dès 250 collaborateurs, et certaines PME |
| Analyse d’impact | Évaluer formellement les risques avant un traitement à risque élevé | Cas particuliers |
Dans la pratique, deux obligations posent problème aux PME : le registre et l’annonce des fuites. Les voici en détail.
Le registre des traitements : l’exemption et ses deux pièges
C’est le point qui génère le plus de questions, et la réponse est plutôt bonne pour les PME.
L’article 12 al. 5 de la loi charge le Conseil fédéral de prévoir des exceptions pour les entreprises de moins de 250 collaborateurs dont le traitement présente un risque limité. Ces conditions sont fixées à l’article 24 de l’ordonnance sur la protection des données (OPDo, RS 235.11).
En résumé : une entreprise de moins de 250 collaborateurs au 1er janvier de l’année est dispensée de tenir un registre, sauf si l’un de ces deux cas s’applique :
- elle traite des données sensibles à grande échelle ;
- elle pratique un profilage à risque élevé.
Ces deux exceptions sont alternatives : une seule suffit à faire tomber l’exemption.
Les données sensibles comprennent notamment les données de santé, les opinions religieuses ou politiques, l’appartenance syndicale, les données génétiques et biométriques, et les informations sur des poursuites pénales ou administratives.
Un cabinet médical, un cabinet de physiothérapie, une caisse de pension, une fiduciaire qui gère des dossiers de poursuites, une agence de placement : ces PME traitent des données sensibles de façon régulière. L'exemption ne s'applique probablement pas chez elles, même avec cinq employés. Le seuil des 250 collaborateurs n'est pas le seul critère.
Une remarque de bon sens : même quand l’exemption s’applique, tenir un registre sommaire reste utile. C’est un document d’une à deux pages qui liste vos traitements, leur finalité et vos prestataires. Il vous sert à répondre vite en cas d’incident et à démontrer votre sérieux face à un client ou un assureur.
Que faire en cas de fuite de données ?
L’article 24 de la loi impose d’annoncer au PFPDT les violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
Deux différences majeures avec le RGPD méritent d’être connues, parce qu’elles sont très souvent mal restituées.
Il n’y a pas de délai de 72 heures. La loi suisse dit « dans les meilleurs délais » et ne fixe aucun nombre d’heures. Cela ne veut pas dire qu’on peut attendre : le standard reste exigeant, et un retard non justifié vous serait reproché. Mais la mécanique du compte à rebours européen n’existe pas ici.
Le seuil de déclenchement est plus haut. Le RGPD impose l’annonce sauf si le risque est improbable. La loi suisse ne l’impose qu’en cas de risque élevé. Concrètement, beaucoup moins d’incidents sont annonçables en Suisse. Un ordinateur portable chiffré perdu, sans accès possible aux données, ne déclenche en règle générale pas d’obligation d’annonce.
Deux points complémentaires, souvent ignorés :
- Si vous êtes sous-traitant de quelqu’un d’autre, vous devez annoncer toute violation à votre mandant, sans condition de seuil de risque.
- L’annonce que vous faites ne peut pas être utilisée contre vous dans une procédure pénale sans votre consentement (art. 24 al. 6). Le législateur a voulu éviter que la peur de s’auto-incriminer dissuade les entreprises de signaler. C’est un argument à connaître quand la question de déclarer ou non se pose en interne.
L’annonce se fait via le portail dédié du PFPDT. Elle décrit la nature de la violation, ses conséquences et les mesures prises. La procédure complète est détaillée dans notre article sur l’annonce d’une violation de données au PFPDT.
Que risquez-vous vraiment ?
C’est ici que circulent le plus d’approximations. Voici ce que dit le texte.
Les articles 60 à 63 de la loi prévoient une amende pouvant atteindre CHF 250 000. Elle sanctionne notamment le fait de ne pas informer les personnes, de transférer des données à l’étranger sans base valable, de confier un traitement à un sous-traitant sans garanties suffisantes, ou de ne pas respecter les exigences minimales de sécurité des données.
Trois précisions changent complètement la portée pratique de ce chiffre.
L’amende vise la personne physique responsable, pas l’entreprise. C’est la différence la plus marquante avec le RGPD. Le dirigeant ou le collaborateur en cause est personnellement sanctionné. C’est une raison de plus pour que la direction connaisse le sujet de première main plutôt que par délégation, comme nous l’expliquons dans former la direction en premier. Une exception existe toutefois : lorsque l’amende envisagée ne dépasse pas CHF 50 000 et que l’identification de la personne responsable exigerait des mesures d’enquête disproportionnées, l’autorité peut condamner l’entreprise à payer à sa place (art. 64 al. 2).
Seules les violations intentionnelles sont punissables. La négligence n’est pas sanctionnée pénalement. Une erreur de bonne foi ne conduit pas à une amende.
La poursuite a lieu sur plainte pour l’essentiel des infractions. Il faut donc que quelqu’un, généralement une personne concernée, dépose plainte. Le PFPDT peut par ailleurs ouvrir une enquête et rendre des décisions contraignantes.
Pour une PME suisse, la sanction pénale reste rare. Le risque concret est ailleurs : la perte de confiance de vos clients après une fuite, la responsabilité contractuelle envers un donneur d'ordre qui vous imposait des garanties, et l'interruption d'activité quand l'incident touche vos systèmes. Se mettre en conformité protège surtout de cela.
Par où commencer concrètement
Si vous partez de zéro, cet ordre donne le meilleur résultat pour le temps investi.
- Faites l’inventaire de vos données. Quels outils contiennent des données personnelles ? Logiciel de facturation, messagerie, CRM, cloud, badgeuse, caméras. Une page suffit.
- Identifiez vos prestataires. Qui héberge ces données, et où ? Un prestataire situé hors de Suisse ou hors de l’UE demande une attention particulière.
- Rédigez ou reprenez votre politique de confidentialité. C’est l’obligation la plus visible, la plus simple à traiter, et la première que vos clients vérifient.
- Sécurisez l’accès aux données. Authentification à deux facteurs, suppression des comptes des employés partis, sauvegardes testées. Ce sont les mesures que la loi attend derrière l’expression « sécurité des données », et elles figurent toutes dans les 10 mesures essentielles pour une PME, dont le rythme de mise en œuvre est décliné par effectif dans le plan d’action selon la taille de l’entreprise.
- Écrivez la marche à suivre en cas de fuite. Qui décide, qui annonce, dans quel ordre. Deux paragraphes valent mieux qu’une improvisation le jour venu.
- Vérifiez si l’exemption de registre vous concerne vraiment, en particulier si vous traitez des données de santé ou des données de poursuites.
Ces étapes recoupent largement les mesures de sécurité de base attendues de toute entreprise. La conformité à la loi et la protection contre les cyberattaques avancent ensemble : les mêmes mesures servent les deux objectifs.
Pour situer votre entreprise en trois minutes, le check-up cyber reprend ces points sous forme de questions et vous donne un score avec vos trois priorités. Les autres obligations applicables aux entreprises suisses sont regroupées dans le pilier Réglementations.