Conformité nLPD en Suisse : le guide pratique pour les PME

Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) s’applique à toutes les entreprises suisses ; sans période transitoire, et quelle que soit leur taille. Un cabinet fiduciaire de 4 personnes à Bulle est concerné au même titre qu’un groupe industriel zurichois.

Ce guide résume ce que la loi exige concrètement d’une PME romande, ce que vous risquez en cas de manquement, et par où commencer. Il fournit des informations générales ; il ne remplace pas un avis juridique.

La nLPD (aussi appelée nFADP en anglais) remplace la loi de 1992 et rapproche le droit suisse du RGPD européen, avec des spécificités propres. Les points essentiels :

• Elle s’applique à tous : toute entreprise qui traite des données de personnes physiques (clients, employés, prospects, visiteurs du site web) est concernée.
• Les sanctions visent les personnes, pas seulement l’entreprise : les amendes, jusqu’à CHF 250’000, peuvent être prononcées contre les dirigeants et responsables à titre personnel.
• L’autorité de surveillance est le PFPDT : le Préposé fédéral à la protection des données et à la transparence peut ouvrir des enquêtes et ordonner des mesures.

1. Informer les personnes concernées. Votre site web et vos contrats doivent expliquer clairement quelles données vous collectez, pourquoi, et avec qui vous les partagez ; c’est le rôle d’une politique de confidentialité à jour.
2. Tenir un registre des activités de traitement. Un inventaire de vos traitements de données (paie, CRM, newsletter, vidéosurveillance…). Les entreprises de moins de 250 collaborateurs peuvent en être exemptées si leurs traitements présentent un risque limité ; dans la pratique, le registre reste le meilleur point de départ d’une mise en conformité.
3. Annoncer les violations de sécurité. En cas de fuite ou de piratage entraînant un risque élevé pour les personnes concernées, vous devez l’annoncer au PFPDT dans les meilleurs délais.
4. Protéger les données dès la conception (« privacy by design »). Tout nouveau logiciel, site ou application doit intégrer la protection des données dès sa conception, et offrir par défaut les réglages les plus protecteurs.
5. Évaluer les traitements à risque. Les traitements susceptibles d’entraîner un risque élevé (données sensibles à grande échelle, profilage…) exigent une analyse d’impact préalable.
6. Encadrer vos sous-traitants et les transferts à l’étranger. Hébergeur, agence marketing, outil SaaS américain : chaque prestataire qui touche à vos données doit offrir des garanties, et les transferts hors de Suisse ne sont autorisés que vers des pays au niveau de protection adéquat ou avec des garanties contractuelles.
7. Respecter les droits des personnes. Toute personne peut demander l’accès à ses données, leur remise dans un format usuel ou leur suppression ; vous devez pouvoir répondre.

Le risque le plus cité est l’amende jusqu’à CHF 250’000, prononcée contre les personnes physiques responsables ; autrement dit, le dirigeant peut être visé personnellement. Mais pour une PME, le risque le plus fréquent est ailleurs :

• La perte de confiance : une fuite de données clients annoncée publiquement abîme durablement une réputation locale.
• Le blocage commercial : de plus en plus de grandes entreprises et de collectivités exigent la preuve de conformité nLPD de leurs fournisseurs avant de signer.
• Le coût de l’urgence : se mettre en conformité dans la précipitation, après un incident ou une demande client, coûte toujours plus cher qu’une démarche planifiée.

1. Votre politique de confidentialité reflète-t-elle réellement vos traitements actuels ?
2. Savez-vous précisément quelles données personnelles votre entreprise détient, et où ?
3. Vos données sont-elles hébergées en Suisse ou dans un pays reconnu adéquat ?
4. Avez-vous un contrat de sous-traitance avec chaque prestataire qui accède à vos données ?
5. Votre site web recueille-t-il le consentement pour les cookies non essentiels ?
6. Sauriez-vous détecter et annoncer une violation de données dans les délais ?
7. Vos collaborateurs savent-ils reconnaître une tentative de phishing ?
8. Pouvez-vous répondre à une demande d’accès d’un client dans un délai raisonnable ?
9. Vos nouveaux projets informatiques intègrent-ils la protection des données dès la conception ?
10. Une personne dans l’entreprise est-elle clairement responsable du sujet ?

Moins de 8 « oui » ? Vous n’êtes probablement pas conforme ; et vous êtes loin d’être seul.

La conformité n’est pas un document qu’on classe ; elle vit dans vos outils. C’est pourquoi nous la traitons à trois niveaux :

• Audit et cybersécurité : état des lieux nLPD, tests de sécurité, plan d’action priorisé.
• Développement sur mesure : vos logiciels et sites sont conçus conformes dès le départ (« privacy by design »), pas corrigés après coup.
• Hébergement et infogérance en Suisse : vos données restent sur sol suisse, surveillées et maintenues.

SOLVTK est une agence suisse basée à Bulle (Fribourg) ; nous travaillons en français, allemand, anglais et arabe, avec la réactivité d’une équipe boutique.

Dernière mise à jour : juillet 2026. Informations générales ; ne constitue pas un conseil juridique.