Amende nLPD : ce que risque vraiment le dirigeant

L'essentiel en une phrase

Une amende nLPD peut atteindre CHF 250'000, et particularité bien suisse : elle vise le dirigeant personnellement, pas l'entreprise. Pas de ligne au bilan, pas de provision comptable qui absorbe le choc : c'est le patrimoine privé du responsable qui est en jeu. Si vous dirigez une PME romande et que vous pensiez que « c'est un problème pour le service juridique », voici pourquoi il faut reconsidérer les choses.

Une amende qui vise la personne, pas l'entreprise

C'est le point que la plupart des dirigeants sous-estiment. La loi fédérale sur la protection des données (nLPD, entrée en vigueur en 2023) a fait un choix radicalement différent du RGPD européen : elle ne prévoit pas de sanction administrative contre la société en tant que telle. Elle prévoit une amende pénale contre la personne physique qui a pris la décision fautive, ou qui aurait dû l'empêcher.

Concrètement, dans une PME, cela signifie le plus souvent : le dirigeant, l'administrateur, ou le responsable désigné du traitement des données. Si votre entreprise transmet des données clients à l'étranger sans les garanties requises, ou refuse sciemment de répondre à une personne qui demande l'accès à ses propres données, ce n'est pas « l'entreprise SA » qui répond devant le juge pénal : c'est vous, ou la personne qui a matériellement pris la décision.

Cette logique change complètement la donne pour la gouvernance interne. Un contrat de travail, une assurance responsabilité civile professionnelle ou une clause de limitation de responsabilité ne protège pas automatiquement contre une amende pénale personnelle. C'est une question de droit pénal, pas de droit des contrats.

Ce qui déclenche vraiment une amende

Rassurons tout de suite les dirigeants qui liraient cet article la peur au ventre : la nLPD ne sanctionne pas la moindre imperfection de conformité, ni un oubli de forme, ni une négligence mineure isolée. Le législateur suisse l'a voulu ainsi : les amendes sanctionnent des violations intentionnelles d'obligations précises et identifiées, pas un vague « défaut de conformité » général.

Les cas concrets qui déclenchent réellement une poursuite sont limités et bien définis :

• Manquement au devoir d'information : ne pas informer les personnes concernées de manière adéquate lors de la collecte de leurs données, alors que la loi l'exige.
• Refus de renseigner une personne : quelqu'un exerce son droit d'accès à ses propres données et l'entreprise refuse, de manière délibérée, de lui répondre ou lui fournit des informations sciemment incomplètes ou inexactes.
• Non-respect du devoir de diligence sur les transferts de données à l'étranger : envoyer des données personnelles vers un pays qui n'offre pas un niveau de protection adéquat, sans mettre en place les garanties prévues par la loi (clauses contractuelles types, garanties spécifiques, etc.).
• Violation de la confidentialité professionnelle : divulguer ou exploiter des données personnelles traitées dans le cadre professionnel, en violation du secret auquel on est tenu.

Le point commun de ces situations : il faut un élément intentionnel. Une erreur de bonne foi, un processus perfectible ou une conformité « en cours d'amélioration » ne suffisent pas à eux seuls à fonder une amende. Ce qui expose réellement, c'est de savoir qu'on ne respecte pas une obligation précise et de le faire quand même — ou de fermer les yeux volontairement sur un manquement identifié.

Cela dit, « je ne savais pas » devient un argument de plus en plus fragile à mesure que la nLPD se diffuse dans le monde économique suisse. Un dirigeant qui n'a jamais formalisé le moindre registre des traitements, qui n'a jamais réfléchi à ses transferts de données vers des prestataires étrangers (hébergement cloud, outils marketing, sous-traitance IT), s'expose à ce qu'un manquement soit requalifié en négligence consciente plutôt qu'en simple maladresse.

Ce n'est pas un pourcentage du chiffre d'affaires

Autre confusion fréquente, entretenue par l'ombre du RGPD européen : non, la nLPD ne prévoit pas d'amende calculée en pourcentage du chiffre d'affaires. Le RGPD, lui, peut infliger jusqu'à 4 % du chiffre d'affaires mondial annuel à une entreprise — une mécanique qui peut se chiffrer en millions pour une PME internationale.

La nLPD fonctionne différemment sur deux plans :

1. Le plafond est fixe : CHF 250'000, quel que soit le chiffre d'affaires ou la taille de l'entreprise.
2. La sanction touche la personne physique responsable, pas la structure juridique de l'entreprise.

Cette différence n'est pas qu'un détail technique : elle signifie qu'une amende nLPD, même à son plafond, reste d'un tout autre ordre de grandeur qu'une sanction RGPD pour un grand groupe. Mais elle signifie aussi que le risque, aussi contenu soit-il en valeur absolue, touche directement et personnellement le dirigeant — ce qui, psychologiquement et financièrement, n'est pas anodin pour l'administrateur d'une PME familiale ou l'associé-gérant d'un cabinet.

Comment se protéger concrètement

La bonne nouvelle : la protection contre ce risque n'a rien de sorcier. Puisque l'amende sanctionne l'intention et le manquement à des obligations précises, la meilleure défense consiste à démontrer, documents à l'appui, que l'entreprise a agi de bonne foi et de manière diligente. Concrètement :

• Tenir un registre des activités de traitement à jour. C'est la pièce centrale : elle montre que vous savez quelles données vous traitez, pourquoi, et où elles vont.
• Publier une déclaration de confidentialité claire et actualisée, qui informe réellement les personnes concernées — pas un copier-coller générique trouvé en ligne.
• Documenter les transferts de données à l'étranger et les garanties mises en place (choix du prestataire, clauses contractuelles, vérification du pays de destination).
• Réagir aux violations de données dans les meilleurs délais, comme l'exige la loi, avec une procédure interne connue et suivie plutôt qu'improvisée sous la pression.
• Répondre systématiquement aux demandes d'accès ou de renseignement des personnes concernées, même quand la réponse est négative — le silence ou le refus délibéré est précisément ce que la loi sanctionne.

Chacun de ces éléments, pris isolément, est modeste à mettre en place. Ensemble, ils construisent un dossier qui démontre l'absence d'intention fautive — le critère central de toute amende nLPD. Un dirigeant qui peut montrer un registre à jour, une politique de confidentialité sérieuse et une procédure de réaction aux incidents n'est structurellement pas dans la même situation, aux yeux de la loi, qu'un dirigeant qui n'a jamais rien formalisé.

Pour aller plus loin sur l'ensemble de vos obligations, consultez notre guide nLPD complet pour les PME, qui détaille pas à pas ce que la loi attend concrètement de votre entreprise.

Et si vous voulez savoir où vous en êtes réellement, sans jargon ni y passer votre après-midi, faites le diagnostic de conformité Mylpd.ch : en quelques minutes, vous obtenez une photographie claire de votre exposition et des priorités à traiter en premier.