« Notre site est accessible depuis l’Europe, donc nous sommes soumis au RGPD. » Cette phrase revient dans presque toutes les discussions avec des dirigeants de PME romandes. Elle est fausse dans la grande majorité des cas.
La confusion coûte cher. Certaines entreprises appliquent des règles européennes qui ne les concernent pas, et s’imposent des contraintes inutiles. D’autres, à l’inverse, visent réellement le marché européen sans le savoir et ignorent des obligations qui, elles, s’appliquent vraiment.
Cet article clarifie deux choses : quand chaque texte s’applique, et ce qui change concrètement entre les deux. Si vous cherchez d’abord vos obligations suisses en détail, commencez plutôt par vos obligations nLPD.
Le point de départ : la nLPD s’applique de toute façon
Première chose à poser, parce qu’elle évite beaucoup de raisonnements de travers : il ne s’agit pas de choisir entre deux lois.
Si votre entreprise est établie en Suisse et traite des données personnelles, la nouvelle loi fédérale sur la protection des données s’applique. Sans seuil d’effectif, sans seuil de chiffre d’affaires. Une entreprise individuelle est concernée au même titre qu’un groupe.
Il existe un troisième texte que cette opposition fait souvent oublier : les lois cantonales, qui régissent les communes et les institutions publiques. Elles concernent toute PME qui accomplit une tâche publique ou fournit une collectivité, et le cas fribourgeois est traité dans notre article sur la LPrD cantonale et ses prestataires.
La vraie question est donc différente. Elle n’est pas « RGPD ou nLPD », mais « la nLPD seule, ou la nLPD plus le RGPD ». Les deux textes se cumulent quand les conditions du second sont réunies.
Quand le RGPD s’applique-t-il vraiment à une entreprise suisse ?
Le règlement européen peut s’appliquer à une entreprise qui n’a aucun établissement dans l’Union. Deux situations sont visées.
Vous offrez des biens ou des services à des personnes dans l’Union. C’est le cas de figure le plus courant. Le critère n’est pas l’accessibilité de votre site, mais votre intention de viser ce marché.
Vous suivez le comportement de personnes dans l’Union. Typiquement du traçage, du profilage publicitaire ou de l’analyse comportementale portant sur des internautes situés dans l’UE.
Le premier point mérite des exemples, parce que c’est là que tout se joue.
Les indices qui montrent que vous visez le marché européen :
- vous affichez vos prix en euros, en plus ou à la place du franc ;
- vous proposez la livraison vers des pays de l’UE, avec des frais de port prévus pour ces destinations ;
- votre site est traduit dans une langue destinée à un public européen, au-delà des langues nationales suisses ;
- vous faites de la publicité ciblée sur des internautes situés dans l’UE ;
- vous mentionnez des clients ou références européens pour démarcher ce marché ;
- vous utilisez un nom de domaine ou un référencement orienté vers un pays de l’UE.
À l’inverse, ce qui ne suffit pas : un site simplement visible depuis l’étranger, une adresse email accessible partout, un client européen qui vous contacte spontanément une fois, ou la présence de votre entreprise sur des annuaires internationaux.
Un menuisier fribourgeois avec un site vitrine en français, des chantiers uniquement en Suisse romande : nLPD seule. Le fait que son site s'affiche depuis Lyon ne change rien.
Une boutique en ligne vaudoise qui affiche ses prix en CHF et en EUR et livre en France et en Allemagne : nLPD et RGPD. Elle vise clairement le marché européen.
Un cabinet de conseil genevois qui fait de la publicité ciblée sur LinkedIn auprès de dirigeants français : RGPD applicable également, au titre du ciblage.
Une réserve utile : ces critères s’apprécient au cas par cas, sur la base d’un faisceau d’indices. Aucun élément pris isolément n’est décisif. Si votre situation est ambiguë, notamment si une partie seulement de votre activité est tournée vers l’Europe, faites valider votre analyse par un juriste spécialisé.
Les cinq différences qui comptent en pratique
Les deux textes partagent la même philosophie générale : transparence, proportionnalité, sécurité des données, droits des personnes. La révision suisse de 2023 a d’ailleurs rapproché volontairement les deux régimes.
Mais les écarts qui subsistent sont précisément ceux qui se manifestent le jour où quelque chose tourne mal.
| Sujet | nLPD (Suisse) | RGPD (Union européenne) |
|---|---|---|
| Délai d’annonce d’une fuite | « Dans les meilleurs délais », aucun délai chiffré (art. 24 LPD) | 72 heures après la prise de connaissance (art. 33 RGPD) |
| Seuil déclenchant l’annonce | Uniquement si risque élevé pour les personnes | Annonce due sauf si le risque est improbable |
| Cible de la sanction | La personne physique responsable | L’entreprise |
| Montant maximal | CHF 250 000 (art. 60 à 63 LPD) | Jusqu’à 20 millions EUR ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu |
| Élément subjectif | Seules les violations intentionnelles sont punissables | La négligence est également sanctionnable |
| Mode de poursuite | Le plus souvent sur plainte | Action de l’autorité de contrôle |
| Registre des traitements | Exemption en dessous de 250 collaborateurs, avec deux exceptions | Exemption plus étroite, assortie de conditions cumulatives |
| Délégué à la protection des données | Facultatif pour une entreprise privée suisse | Obligatoire dans certains cas définis |
Avez-vous 72 heures pour annoncer une fuite en Suisse ?
C’est le point sur lequel circulent le plus d’approximations, y compris dans des documents vendus comme des modèles de conformité.
La loi suisse ne fixe aucun délai de 72 heures. L’article 24 LPD demande d’annoncer au PFPDT « dans les meilleurs délais ». Pas 72 heures, pas 24 heures, aucun chiffre. Le RGPD, lui, impose bien une notification dans les 72 heures suivant la prise de connaissance de la violation, avec une justification obligatoire en cas de retard.
Il faut lire cette différence correctement, car elle est souvent mal comprise dans les deux sens.
D’un côté, « dans les meilleurs délais » n’autorise pas à attendre. Le standard reste exigeant. Vous devez agir dès que vous avez qualifié l’incident, et un délai non justifié vous serait reproché. En pratique, une entreprise organisée annonce en quelques jours.
De l’autre, l’absence de compte à rebours change la manière de gérer les premières heures. Sous le RGPD, la pression du chronomètre pousse parfois à notifier avant d’avoir compris l’incident. En Suisse, vous disposez du temps raisonnablement nécessaire pour établir les faits, évaluer le risque et préparer une annonce complète.
La seconde différence est au moins aussi importante : le seuil. La nLPD n’impose l’annonce que si la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Le RGPD retient la logique inverse : on notifie, sauf si le risque est improbable.
La conséquence est très concrète. Beaucoup moins d’incidents sont annonçables en Suisse. Un ordinateur portable chiffré perdu, sans accès possible aux données, ne déclenche en règle générale pas d’obligation d’annonce en droit suisse, alors que le raisonnement européen part d’un point de départ plus strict. La procédure suisse complète est détaillée dans notre article sur l’annonce d’une violation de données au PFPDT.
Deux précisions valables dans les deux régimes : si vous êtes sous-traitant, vous devez annoncer toute violation à votre mandant, sans condition de seuil. Et les incidents concernés sont d’abord ceux que décrit notre article sur le vol et fuite de données.
Les sanctions : deux philosophies opposées
C’est la différence structurelle la plus profonde, et elle explique beaucoup de malentendus.
Le RGPD sanctionne l’entreprise. Les amendes administratives peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les manquements les moins graves, et 20 millions d’euros ou 4 % pour les plus graves, le montant le plus élevé étant retenu. La logique est dissuasive et proportionnée à la taille de l’organisation.
La nLPD sanctionne la personne physique responsable. L’amende peut atteindre CHF 250 000 selon les articles 60 à 63 LPD, mais elle vise le dirigeant ou le collaborateur en cause, pas la société. Une exception existe : lorsque l’amende envisagée ne dépasse pas CHF 50 000 et que l’identification de la personne responsable exigerait des mesures d’enquête disproportionnées, l’autorité peut condamner l’entreprise à payer à sa place (art. 64 al. 2 LPD).
Deux filtres supplémentaires réduisent encore la portée pratique du chiffre suisse. Seules les violations intentionnelles sont punissables : une erreur de bonne foi ou une négligence ne conduit pas à une amende pénale. Et la poursuite a lieu le plus souvent sur plainte, ce qui suppose que quelqu’un, généralement une personne concernée, la dépose. Le PFPDT peut par ailleurs ouvrir une enquête et rendre des décisions contraignantes.
Comparer les montants donne une fausse sécurité. Pour une PME suisse, la sanction pénale reste rare. Le risque réel est ailleurs : la perte de confiance de vos clients après une fuite, la responsabilité contractuelle envers un donneur d'ordre qui vous imposait des garanties, et l'interruption d'activité. Ces trois risques existent quel que soit le texte applicable.
Devez-vous tenir un registre des traitements en Suisse ?
C’est la différence qui soulage le plus les PME au quotidien.
L’article 12 al. 5 LPD charge le Conseil fédéral de prévoir des exceptions pour les entreprises de moins de 250 collaborateurs dont le traitement présente un risque limité. Ces conditions figurent à l’article 24 de l’ordonnance sur la protection des données.
En résumé : une entreprise de moins de 250 collaborateurs au 1er janvier de l’année est dispensée de tenir un registre, sauf si elle traite des données sensibles à grande échelle ou pratique un profilage à risque élevé. Ces deux exceptions sont alternatives : une seule suffit à faire tomber l’exemption. Un cabinet médical, une caisse de pension ou une fiduciaire qui gère des dossiers de poursuites sont donc concernés, même avec cinq employés.
Même quand l’exemption s’applique, tenir un registre sommaire d’une à deux pages reste utile. Il vous sert à répondre vite en cas d’incident et à démontrer votre sérieux face à un client ou un assureur. Et si une partie de votre activité relève du RGPD, ce document devient de toute façon nécessaire.
Que faire concrètement ?
La bonne nouvelle est que les deux régimes attendent les mêmes mesures de fond. Voici l’ordre le plus efficace.
- Déterminez votre situation. Visez-vous activement le marché européen, ou travaillez-vous uniquement en Suisse ? Le test « suis-je concerné par la nLPD ? » vous situe en quelques questions.
- Mettez-vous d’abord en règle avec la nLPD. Elle s’applique dans tous les cas et couvre l’essentiel des attentes.
- Si le RGPD s’ajoute, alignez-vous sur le texte le plus exigeant sur chaque point : délai de 72 heures, seuil d’annonce plus bas, registre.
- Écrivez votre marche à suivre en cas de fuite. Qui décide, qui annonce, dans quel ordre. C’est le document qui fait la différence le jour venu.
- Sécurisez l’accès aux données. Authentification à deux facteurs, suppression des comptes des employés partis, sauvegardes testées.
Un dernier mot de prudence : cet article donne des repères généraux et ne remplace pas une analyse de votre situation. Les cas mixtes, les activités partiellement tournées vers l’Europe et les transferts de données à l’étranger méritent l’avis d’un juriste spécialisé.
Pour situer votre entreprise en trois minutes, le check-up cyber vous donne un score et vos trois priorités. Les autres obligations applicables aux entreprises suisses sont regroupées dans le pilier Réglementations.