Protection des données nLPD en Suisse : guide de conformité 2026
La nouvelle Loi fédérale sur la protection des données (nLPD), entrée en vigueur le 1er septembre 2023, représente la réforme la plus importante du droit suisse des données depuis 1992. Les entreprises suisses qui traitent des données personnelles doivent s’y conformer sous peine de sanctions pénales.
Les principales exigences de la nLPD pour les entreprises
La nLPD impose aux organisations de : tenir un registre des activités de traitement (obligatoire pour les entreprises de 250+ employés et pour ceux présentant des risques élevés), effectuer des analyses d’impact (PIA) pour les traitements à risque élevé, respecter le principe de privacy by design et by default, et nommer un Conseiller à la protection des données (CPD) si nécessaire.
Droits des personnes concernées renforcés
La nLPD renforce les droits individuels : droit d’accès aux données, droit de rectification, droit à la portabilité, droit d’opposition. Les entreprises doivent pouvoir répondre aux demandes d’exercice de ces droits dans un délai raisonnable (30 jours en pratique). Les déclarations de protection des données (privacy policies) doivent être mises à jour.
Notification des violations de données
En cas de violation de données personnelles (fuite, perte, accès non autorisé), l’entreprise doit notifier le Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais si la violation est susceptible d’entraîner un risque élevé pour les personnes concernées.
FAQ – nLPD et conformité
La nLPD s’applique-t-elle aux petites entreprises ?
Oui, la nLPD s’applique à toute personne privée et toute entité fédérale qui traite des données personnelles de personnes physiques, quelle que soit sa taille. Cependant, le registre de traitement obligatoire ne concerne que les entreprises de 250 employés ou plus (sauf traitements à risque élevé).
Quelles sanctions pour non-conformité à la nLPD ?
La nLPD prévoit des sanctions pénales (pas d’amendes administratives comme le RGPD). Les violations intentionnelles peuvent entraîner des amendes jusqu’à 250 000 CHF. La responsabilité est personnelle (dirigeant ou employé responsable), pas celle de l’entreprise en tant que telle, ce qui est une spécificité du droit suisse.
Besoin d’aide sur ce point ? Poser une question