La nLPD pour les PME suisses romandes

La nLPD, c'est quoi ?

La nLPD est la loi fédérale suisse sur la protection des données (référence légale RS 235.1), en vigueur depuis septembre 2023. Elle remplace l'ancienne LPD de 1992 et modernise les règles que doit respecter toute organisation qui traite des données personnelles en Suisse.

Beaucoup de dirigeants confondent la nLPD avec le RGPD européen. Ce sont deux textes différents : le RGPD est un règlement de l'Union européenne, la nLPD est une loi suisse, avec ses propres notions, ses propres délais et sa propre autorité de contrôle, le PFPDT (Préposé fédéral à la protection des données et à la transparence). Un modèle ou un outil conçu pour le RGPD ne couvre donc pas automatiquement vos obligations suisses - c'est une des raisons pour lesquelles Mylpd a été construit spécifiquement pour la nLPD.

Concrètement, la nLPD encadre tout ce que votre entreprise fait avec des informations qui se rapportent à une personne identifiée ou identifiable : un nom, une adresse e-mail, un numéro de téléphone, un salaire, un historique d'achats, une adresse IP. Dès qu'une telle information est collectée, stockée, consultée, transmise ou supprimée, on parle d'un « traitement de données personnelles » au sens de la loi. La nLPD ne vous interdit pas de traiter ces données - la plupart des activités commerciales en dépendent - mais elle exige que ce traitement soit transparent, sécurisé et limité à ce qui est réellement nécessaire.

Mon entreprise est-elle concernée ?

Oui, très probablement. La nLPD ne fixe aucun seuil de taille : que vous soyez indépendant, artisan ou PME de cinquante personnes, vous êtes concerné dès l'instant où vous traitez des données personnelles.

Concrètement, dès que votre entreprise détient un fichier clients, gère les salaires de ses employés ou récolte des adresses e-mail via un formulaire de contact ou une newsletter, elle traite des données personnelles au sens de la loi. C'est le cas de la quasi-totalité des PME suisses romandes : commerces, cabinets, artisans, garages, fiduciaires, associations, cliniques.

Quelques exemples concrets, tirés du quotidien des PME romandes : un garage qui conserve les coordonnées et l'historique d'entretien de ses clients ; un cabinet de thérapeute qui tient des dossiers de patients ; une agence immobilière qui centralise les dossiers de candidature locative ; un commerce en ligne qui stocke les adresses de livraison et l'historique de commandes ; une association qui gère un fichier de membres et de donateurs. Dans chacun de ces cas, l'entreprise traite des données personnelles et doit respecter la nLPD, quelle que soit sa taille.

La bonne nouvelle : pour une petite structure, la mise en conformité reste proportionnée et gérable, à condition d'être bien guidée. C'est justement ce que propose un diagnostic gratuit.

Vos obligations concrètes

La nLPD se traduit, pour une PME, en quatre grands chantiers. Aucun n'est insurmontable pris séparément, mais ils demandent d'être traités méthodiquement.

Les risques et sanctions

Le non-respect intentionnel de certaines obligations de la nLPD est passible d'une amende allant jusqu'à CHF 250'000. Point important : une simple négligence ou une erreur de bonne foi n'est pas sanctionnée pénalement - ce sont les manquements délibérés à des obligations précises (refuser de renseigner une personne, transférer des données à l'étranger sans garanties, violer le secret professionnel) qui exposent réellement.

La particularité du droit suisse, souvent méconnue, est que cette amende vise la personne physique responsable - le dirigeant, le responsable RH ou toute personne ayant pris la décision fautive - et non l'entreprise elle-même. Concrètement, c'est le patrimoine personnel du dirigeant qui peut être exposé, pas seulement le compte de l'entreprise. Se mettre en conformité, c'est donc aussi une manière de se protéger personnellement.

Au-delà du risque financier direct, une violation de données mal gérée expose aussi l'entreprise à un risque de réputation auprès de ses clients et partenaires, et à une perte de confiance difficile à regagner. Pour une PME dont la relation client repose souvent sur la confiance personnelle, ce risque réputationnel pèse parfois plus lourd encore que l'amende elle-même.

L'analyse d'impact (AIPD)

Lorsqu'un traitement de données présente un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, la nLPD impose de réaliser une analyse d'impact relative à la protection des données (AIPD) avant de le mettre en œuvre. C'est le cas par exemple d'un profilage étendu de clients ou employés, ou du traitement à grande échelle de données sensibles (santé, données biométriques). L'AIPD consiste à documenter le traitement, évaluer les risques qu'il fait courir aux personnes concernées et décrire les mesures prises pour les réduire. La majorité des PME n'y sont jamais confrontées, mais il est important de savoir identifier les situations qui le déclenchent - par exemple avant de déployer un nouvel outil de vidéosurveillance, un système de notation automatisée des clients, ou un traitement à grande échelle de données médicales. En cas de doute sur le niveau de risque d'un traitement, mieux vaut documenter la réflexion, même sommairement, que de ne rien faire du tout : c'est cette trace qui démontre votre sérieux en cas de contrôle.

Les sous-traitants

Dès que vous confiez le traitement de données personnelles à un tiers - un hébergeur web, un outil de CRM, une fiduciaire qui gère votre paie - un contrat de sous-traitance encadrant ce traitement est requis. Ce contrat précise les obligations du sous-traitant en matière de sécurité et de confidentialité.

Une vigilance particulière s'impose lorsque ce sous-traitant, ou les données elles-mêmes, se trouvent à l'étranger : la nLPD exige alors que le pays de destination offre un niveau de protection adéquat, ou qu'à défaut des garanties suffisantes (comme des clauses contractuelles types) soient mises en place. Vérifier où sont hébergées les données de vos outils quotidiens - messagerie, comptabilité, marketing - fait partie du travail de mise en conformité.

En pratique, la majorité des PME suisses romandes travaillent avec une poignée d'outils numériques récurrents : hébergement web, solution de messagerie professionnelle, logiciel de comptabilité ou de paie, CRM commercial, outil d'e-mailing. Dresser la liste de ces prestataires, vérifier où ils hébergent effectivement les données et s'assurer qu'un contrat encadre la relation est un chantier ponctuel mais structurant pour toute votre conformité.

Les droits des personnes

La nLPD accorde à toute personne dont vous traitez les données un ensemble de droits que votre entreprise doit être en mesure de respecter : le droit à l'information sur le traitement, le droit d'accès à ses propres données, le droit de rectification des données inexactes, le droit de demander la suppression de ses données et le droit d'opposition à certains traitements. Contrairement au RGPD, la nLPD ne consacre pas un « droit à l'effacement » autonome : la suppression des données s'obtient au titre de la protection de la personnalité. Lorsqu'une personne exerce l'un de ces droits - un client qui demande la suppression de son compte, un employé qui demande une copie de son dossier - votre entreprise a l'obligation d'y répondre, en principe gratuitement (une participation aux frais, plafonnée à CHF 300, ne peut être demandée qu'exceptionnellement, en cas d'efforts disproportionnés et après en avoir informé la personne). Pour une demande d'accès, la loi fixe un délai de 30 jours ; si vous ne pouvez pas le tenir, vous devez informer la personne dans ce même délai en indiquant sous quel délai les renseignements seront fournis.

Comment se mettre en conformité

La mise en conformité n'a pas besoin d'être menée dans le désordre. Voici les étapes concrètes, dans un ordre qui fonctionne pour la grande majorité des PME :

1. Cartographier vos traitements - lister les données que vous traitez, pour quels usages, et où elles sont stockées.
2. Constituer votre registre - même si vous êtes potentiellement dispensé, un registre reste la meilleure preuve de sérieux.
3. Rédiger votre déclaration de confidentialité et la publier là où vos clients et employés peuvent la consulter.
4. Sécuriser vos données avec des mesures proportionnées : accès, mots de passe, sauvegardes, contrats fournisseurs.
5. Préparer votre réaction aux violations - savoir qui alerter en interne, et dans quels cas annoncer au PFPDT.

Fait seul, ce travail représente facilement plusieurs jours de recherche juridique. Un diagnostic guidé permet de savoir en quinze minutes où vous en êtes réellement, et quelles étapes traiter en priorité.

Questions fréquentes