Guide nLPD : comment se mettre en conformité ?

Qu'est-ce que la nLPD ?

La nLPD modernise le droit suisse de la protection des données pour l'aligner sur les standards européens et préserver la reconnaissance d'adéquation avec l'UE — essentielle pour que les données puissent circuler librement entre la Suisse et l'Union.

Elle introduit des notions désormais familières aux praticiens du RGPD : protection des données dès la conception (privacy by design) et par défaut (by default), registre des activités de traitement, analyse d'impact, information renforcée lors de la collecte, et notification des violations au PFPDT.

Elle conserve toutefois des particularités structurantes : un champ limité aux personnes physiques, un régime de sanctions orienté vers la responsabilité pénale individuelle, et certaines obligations formulées différemment de leur équivalent européen.

nLPD vs RGPD : les différences à connaître

C'est le point crucial pour les entreprises déjà conformes au RGPD. Voici les écarts qui exigent une adaptation spécifique.

La différence la plus lourde de conséquences est le régime pénal individuel : en Suisse, c'est souvent le dirigeant ou le responsable qui est visé.

Qui est concerné ?

La nLPD s'applique aux traitements effectués par des personnes privées et des organes fédéraux. Elle concerne toutes les organisations qui traitent des données de personnes physiques, quelle que soit leur taille.

• Entreprises suisses de toute taille traitant des données de personnes physiques.
• Sous-traitants agissant pour le compte d'un responsable de traitement.
• Groupes opérant des deux côtés de la frontière, qui doivent concilier nLPD et RGPD.
• Secteurs manipulant des données sensibles au sens suisse (santé, RH, finance).

Quelles obligations concrètes ?

Les obligations recoupent largement celles du RGPD, avec des nuances suisses. Voici l'essentiel à mettre en place.

• Tenir un registre des activités de traitement (avec allègements pour les PME sous conditions).
• Informer les personnes lors de la collecte, de façon transparente et compréhensible.
• Respecter privacy by design et privacy by default.
• Réaliser une analyse d'impact pour les traitements à risque élevé.
• Notifier au PFPDT les violations entraînant un risque élevé, dans les meilleurs délais.
• Encadrer la sous-traitance par des contrats et des mesures de sécurité proportionnées.
• Protéger spécifiquement les données sensibles au sens de la nLPD.

Quelles sanctions en cas de non-conformité ?

La particularité suisse est décisive : les sanctions pénales visent avant tout les personnes physiques responsables, pas seulement l'entreprise. Cela renforce considérablement l'enjeu de gouvernance interne et de désignation claire des responsabilités.

Le régime diffère nettement du RGPD : ici, l'amende cible la personne responsable, ce qui suppose de désigner et de documenter clairement qui répond de quoi.

Comment se mettre en conformité : la feuille de route en 7 étapes

Étape 1 — Cartographier vos traitements

Recensez les traitements de données de personnes physiques : clients, employés, prospects, fournisseurs. Notez pour chacun la finalité, les catégories de données, les destinataires et les durées.

Portez une attention particulière aux données sensibles au sens suisse, dont le traitement appelle une vigilance renforcée.

• Identifiez les données sensibles au sens de la nLPD.
• Notez finalités, destinataires et durées de conservation.
• Distinguez vos rôles de responsable et de sous-traitant.

Étape 2 — Désigner un responsable interne

Nommez un référent conformité en interne, chargé de piloter la démarche et d'être l'interlocuteur du PFPDT. Compte tenu du régime pénal individuel, clarifiez précisément qui porte la responsabilité.

Cette désignation claire des responsabilités est d'autant plus importante que la sanction vise la personne physique responsable.

• Désignez un référent conformité clairement identifié.
• Clarifiez qui porte la responsabilité de chaque traitement.
• Documentez la répartition des responsabilités.

Étape 3 — Mettre à jour l'information et les mentions

Adaptez vos politiques et mentions d'information aux exigences de transparence de la nLPD lors de la collecte des données. L'information doit être claire, complète et compréhensible.

Si vous partez d'une base RGPD, vérifiez que la formulation et le périmètre correspondent bien aux exigences suisses.

• Informez clairement lors de chaque collecte.
• Couvrez finalités, destinataires et droits des personnes.
• Adaptez vos mentions RGPD au contexte suisse.

Étape 4 — Tenir le registre

Constituez et maintenez le registre des activités de traitement. Les PME bénéficient d'allègements sous conditions, mais dès qu'il existe des traitements à risque ou sensibles, le registre s'impose pleinement.

Un registre vivant est aussi votre meilleure protection en cas d'enquête du PFPDT.

• Vérifiez l'éligibilité aux allègements PME.
• Reliez chaque traitement à sa finalité et ses durées.
• Maintenez le registre à jour en continu.

Étape 5 — Sécuriser et évaluer les risques

Appliquez privacy by design et by default, sécurisez les données par des mesures proportionnées et réalisez une analyse d'impact pour les traitements à risque élevé.

La sécurité est un point d'autant plus sensible que sa défaillance peut engager la responsabilité pénale du responsable.

• Intégrez la protection des données dès la conception.
• Réalisez une analyse d'impact pour les traitements à risque.
• Déployez des mesures de sécurité proportionnées.

Étape 6 — Encadrer la sous-traitance

Formalisez des contrats de sous-traitance conformes avec vos prestataires, précisant finalités, sécurité, confidentialité et sort des données en fin de contrat.

Recensez vos sous-traitants et évaluez leurs garanties : leur défaillance peut engager votre responsabilité.

• Signez des contrats de sous-traitance conformes.
• Recensez et évaluez vos sous-traitants.
• Encadrez toute sous-traitance ultérieure.

Étape 7 — Préparer la gestion des violations

Mettez en place une procédure de détection et de notification au PFPDT en cas de violation entraînant un risque élevé pour les personnes concernées, dans les meilleurs délais.

Comme pour le RGPD, cette procédure ne s'improvise pas : préparez-la et testez-la à froid.

• Définissez le circuit de détection et de qualification.
• Préparez la notification au PFPDT.
• Documentez chaque incident et sa gestion.

Les erreurs fréquentes à éviter

• Supposer que la conformité RGPD suffit automatiquement : les différences suisses doivent être couvertes point par point.
• Sous-estimer le risque pénal individuel propre au régime suisse.
• Négliger la protection spécifique des données sensibles au sens de la nLPD.
• Ne pas clarifier qui porte la responsabilité, alors que la sanction vise la personne physique.
• Négliger la préparation de la notification des violations au PFPDT.
• Reprendre des mentions RGPD sans les adapter au vocabulaire et au périmètre suisses.