LPD : La Loi Suisse sur la Protection des Données Expliquée (2026)

Depuis le 1er septembre 2023, la Suisse applique une nouvelle Loi fédérale sur la protection des données (nLPD). Si tu gères une entreprise, un site web ou simplement des données personnelles de résidents suisses, cette loi te concerne directement. Et contrairement à ce que beaucoup pensent, être conforme au RGPD européen ne suffit pas automatiquement pour être conforme à la LPD.

Dans ce guide complet, on va décortiquer ensemble la LPD suisse : ce qu'elle impose, à qui elle s'applique, quelles sont les sanctions et comment t'y conformer concrètement en 2026.

Qu'est-ce que la LPD suisse ?

La LPD (Loi fédérale sur la Protection des Données) est la législation suisse qui encadre le traitement des données personnelles par les entreprises privées et les organes fédéraux. Révisée en profondeur en 2020 et entrée en vigueur le 1er septembre 2023, la nouvelle LPD (nLPD) modernise un texte qui datait de 1992 et l'aligne partiellement sur le RGPD européen.

L'objectif principal reste le même : protéger la personnalité et les droits fondamentaux des personnes dont les données sont traitées. Mais la nLPD renforce considérablement les obligations des responsables de traitement et étend les droits des personnes concernées.

Pourquoi une nouvelle LPD ?

Trois raisons principales ont motivé cette révision :

Adaptation à l'ère numérique : la loi de 1992 était totalement dépassée face au cloud, à l'IA, aux réseaux sociaux et au big data.
Compatibilité avec le RGPD : pour maintenir le statut de pays tiers « adéquat » reconnu par l'UE, essentiel aux échanges commerciaux.
Renforcement de la confiance : donner aux citoyens suisses plus de contrôle sur leurs données personnelles.

À qui s'applique la LPD ?

La nLPD s'applique à tout traitement de données personnelles qui déploie ses effets en Suisse, même si le responsable du traitement est basé à l'étranger. Autrement dit, le critère n'est pas la nationalité ni le siège de l'entreprise, mais l'impact sur les personnes en Suisse.

Les acteurs concernés

Toutes les entreprises privées suisses, quelle que soit leur taille, qui traitent des données personnelles.
Les organes fédéraux (administrations publiques fédérales).
Les entreprises étrangères qui proposent des biens ou services en Suisse, ou qui surveillent le comportement de personnes en Suisse.
Les sous-traitants qui traitent des données pour le compte d'un responsable de traitement.

À noter : contrairement au RGPD, la LPD ne s'applique qu'aux données des personnes physiques. Les données des personnes morales (entreprises) ne sont plus protégées depuis la révision de 2023.

Les principales nouveautés de la nLPD

La révision apporte des changements majeurs par rapport à l'ancienne loi. Voici les plus importants.

1. Nouvelles catégories de données sensibles

La nLPD élargit la définition des données sensibles pour inclure :

Les données génétiques
Les données biométriques identifiant une personne de manière univoque
Les opinions religieuses, philosophiques, politiques, syndicales
Les données sur la santé, la sphère intime, l'appartenance ethnique
Les données sur les poursuites, sanctions pénales et administratives
Les mesures d'aide sociale

2. Obligation d'information renforcée

Tu dois désormais informer activement les personnes concernées lors de toute collecte de données, pas seulement pour les données sensibles. Cela passe généralement par une politique de confidentialité claire et accessible.

3. Registre des activités de traitement

Les entreprises de 250 employés et plus (ou celles traitant des données sensibles à grande échelle) doivent tenir un registre détaillé de leurs activités de traitement.

4. Analyse d'impact (AIPD)

Avant tout traitement présentant un risque élevé pour la personnalité ou les droits fondamentaux, une analyse d'impact doit être réalisée.

5. Privacy by design et by default

La protection des données doit être intégrée dès la conception des produits et services, et les paramètres par défaut doivent être les plus protecteurs possible.

6. Notification des violations

Toute violation de la sécurité des données entraînant un risque élevé pour les personnes concernées doit être notifiée au Préposé fédéral à la protection des données et à la transparence (PFPDT) « dans les meilleurs délais ».

LPD vs RGPD : les différences clés

Beaucoup pensent qu'être conforme RGPD suffit pour être conforme LPD. C'est en grande partie vrai, mais il existe des différences importantes.

Critère	LPD suisse (nLPD)	RGPD européen
Personnes morales	Non protégées	Non protégées
Délai de notification de violation	« Dans les meilleurs délais »	72 heures
Base légale pour traiter	Pas obligatoire (sauf exceptions)	Obligatoire (6 bases possibles)
Sanctions	Jusqu'à 250 000 CHF (personne physique)	Jusqu'à 20 M€ ou 4% CA mondial
Responsabilité	Personne physique responsable	Entreprise
DPO obligatoire	Non (sauf organes fédéraux)	Oui dans certains cas
Consentement	Requis uniquement pour données sensibles	Souvent requis

La particularité suisse la plus marquante : les sanctions pénales visent la personne physique responsable (dirigeant, employé), pas l'entreprise. Cela change radicalement la donne en matière de responsabilité individuelle.

Les droits des personnes concernées

La nLPD renforce et clarifie les droits des individus sur leurs données personnelles.

Droit d'accès

Toute personne peut demander gratuitement à une entreprise si elle traite ses données, et obtenir une copie de ces données ainsi que des informations sur leur origine, leur finalité et les destinataires.

Droit à la portabilité

Nouveauté de la nLPD : tu peux demander la restitution de tes données dans un format électronique courant et structuré, ou leur transfert direct vers un autre responsable de traitement.

Droit de rectification et d'effacement

Les personnes peuvent exiger la correction de données inexactes ou leur suppression lorsque le traitement n'est plus justifié.

Droit d'opposition

Possibilité de s'opposer à certains traitements, notamment au profilage et au marketing direct.

Décisions automatisées

Si une décision purement automatisée (sans intervention humaine) produit des effets juridiques, la personne doit en être informée et peut demander une intervention humaine.

Les sanctions en cas de non-conformité

C'est le point qui surprend souvent : la LPD prévoit des sanctions pénales, pas administratives comme le RGPD.

Amendes jusqu'à 250 000 CHF

Les personnes physiques responsables (dirigeants, employés en charge) peuvent être condamnées à une amende maximale de 250 000 francs suisses en cas de violation intentionnelle des obligations suivantes :

Violation du devoir d'information
Violation des devoirs de diligence (sécurité, transfert à l'étranger)
Non-respect du droit d'accès et d'information
Violation du devoir de collaboration avec le PFPDT
Violation du secret professionnel

Qui est responsable ?

C'est la personne physique qui a commis l'infraction qui est pénalement responsable. Si on ne peut pas l'identifier, c'est le dirigeant de l'entreprise qui est visé. L'entreprise elle-même peut être condamnée à une amende maximale de 50 000 CHF uniquement si l'identification de la personne responsable nécessiterait des mesures d'enquête disproportionnées.

Comment se mettre en conformité LPD en 10 étapes

Voici une feuille de route concrète pour aligner ton entreprise sur la nLPD.

Cartographier tes traitements : liste toutes les données personnelles que tu collectes, pourquoi, où elles sont stockées, qui y a accès.
Rédiger ou mettre à jour ta politique de confidentialité : elle doit être claire, complète, accessible et conforme aux exigences d'information renforcées.
Tenir un registre des activités de traitement si tu dépasses les 250 employés ou traites des données sensibles à grande échelle.
Mettre en place des procédures pour les droits des personnes : accès, rectification, suppression, portabilité.
Sécuriser les données : chiffrement, contrôle d'accès, sauvegardes, pseudonymisation lorsque possible.
Encadrer les sous-traitants par des contrats conformes (DPA).
Vérifier les transferts à l'étranger : vers quels pays tes données partent-elles ? Des garanties adéquates sont-elles en place ?
Préparer un plan de gestion des violations : procédure interne, modèle de notification au PFPDT.
Réaliser des AIPD pour les traitements à risque élevé.
Former tes équipes : la conformité n'est pas qu'un sujet juridique, c'est l'affaire de tous.

Transferts de données à l'étranger

La nLPD encadre strictement les transferts de données personnelles hors de Suisse. Tu peux transférer librement vers les pays considérés comme offrant un niveau de protection adéquat (liste tenue par le Conseil fédéral, qui inclut notamment l'UE/EEE, le Royaume-Uni, le Canada, le Japon).

Vers les autres pays (dont les États-Unis), il faut mettre en place des garanties supplémentaires : clauses contractuelles types, règles d'entreprise contraignantes, ou obtenir le consentement explicite de la personne. Depuis l'accord Swiss-US Data Privacy Framework de 2024, les transferts vers des entreprises américaines certifiées sont facilités.

Outils et bonnes pratiques pour rester conforme

La conformité LPD n'est pas qu'une question juridique, c'est aussi une question technique. Voici quelques leviers concrets.

Minimisation des données

Ne collecte que ce dont tu as réellement besoin. Chaque donnée superflue est un risque. Si tu as besoin de l'âge, demande une tranche d'âge plutôt qu'une date de naissance complète.

Chiffrement systématique

HTTPS partout, chiffrement des bases de données, chiffrement des sauvegardes. C'est la base.

Outils respectueux de la vie privée

Privilégie les services qui respectent la vie privée dès leur conception. Par exemple, pour partager des liens, un raccourcisseur comme Lunyb permet de créer des URLs courtes sans tracking abusif ni revente de données, tout en gardant des statistiques utiles pour ton activité. C'est un petit détail, mais multiplié par tous les outils que tu utilises, ça fait une vraie différence.

Analyse d'audience éthique

Remplace Google Analytics par des alternatives comme Matomo (en self-hosting), Plausible ou Simple Analytics qui ne nécessitent pas de bannière cookies et respectent la vie privée.

Gestion du consentement

Si tu utilises des cookies non essentiels, mets en place une bannière de consentement claire, avec un vrai choix (le bouton « refuser » doit être aussi visible que « accepter »).

Le rôle du PFPDT

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est l'autorité suisse chargée de la surveillance de la LPD. Ses missions principales :

Conseiller les entreprises et les particuliers
Enquêter sur les traitements problématiques (d'office ou sur plainte)
Rendre des recommandations publiques
Collaborer avec les autorités de protection des données étrangères
Dénoncer les infractions aux autorités pénales

Contrairement à la CNIL française qui peut infliger des amendes administratives colossales, le PFPDT n'a pas de pouvoir de sanction directe. Il doit passer par la justice pénale.

Pour aller plus loin

Si tu veux approfondir le sujet de la protection des données en Suisse et dans la région, voici quelques ressources utiles :

FAQ : Questions fréquentes sur la LPD suisse

Est-ce qu'une entreprise étrangère doit respecter la LPD ?

Oui, si elle traite des données de personnes se trouvant en Suisse, propose des biens ou services en Suisse, ou surveille leur comportement. Le critère est l'effet du traitement en Suisse, pas la localisation de l'entreprise.

La conformité RGPD suffit-elle pour être conforme LPD ?

Dans la plupart des cas, être conforme RGPD te met en très bonne position pour la LPD, car les principes sont largement similaires. Mais il y a quelques spécificités suisses à vérifier : règles sur les transferts internationaux (liste des pays adéquats différente), responsabilité pénale individuelle, et parfois des exigences d'information plus précises.

Dois-je nommer un délégué à la protection des données (DPO) ?

Contrairement au RGPD, la nLPD n'impose pas de DPO aux entreprises privées. Elle encourage cependant la désignation d'un « conseiller à la protection des données » qui apporte certains avantages (notamment la dispense de consultation du PFPDT pour les AIPD).

Quelles sont les sanctions concrètes de la LPD ?

Des amendes pénales jusqu'à 250 000 CHF pour les personnes physiques responsables en cas de violation intentionnelle, et jusqu'à 50 000 CHF pour l'entreprise dans certains cas limités. Attention : ce sont les dirigeants ou employés responsables qui sont visés, pas l'entreprise elle-même en principe.

Combien de temps ai-je pour notifier une violation de données ?

La nLPD exige une notification au PFPDT « dans les meilleurs délais » lorsque la violation entraîne un risque élevé pour les personnes concernées. Il n'y a pas de délai strict comme les 72 heures du RGPD, mais mieux vaut agir rapidement : plus tu tardes, plus tu risques d'être considéré comme négligent.