LPD : La Loi Suisse sur la Protection des Données Expliquée

Depuis le 1er septembre 2023, la Suisse applique une version totalement révisée de sa loi sur la protection des données. La nouvelle LPD (nLPD) modernise un texte qui datait de 1992 et rapproche la Suisse des standards européens, tout en gardant ses spécificités. Que tu sois un particulier qui veut comprendre ses droits, ou un entrepreneur qui doit se mettre en conformité, ce guide t'explique tout sans jargon inutile.

Qu'est-ce que la LPD suisse ?

La Loi fédérale sur la protection des données (LPD) est la législation suisse qui encadre le traitement des données personnelles par les entreprises privées et les organes fédéraux. Sa version révisée, entrée en vigueur le 1er septembre 2023, renforce considérablement les droits des personnes concernées et les obligations des responsables de traitement.

Concrètement, la LPD répond à trois questions fondamentales :

• Quelles données peuvent être collectées et traitées ?
• Par qui et dans quelles conditions ?
• Quels droits ont les personnes dont les données sont traitées ?

La loi s'applique à toute entreprise traitant des données de personnes situées en Suisse, qu'elle soit basée en Suisse ou à l'étranger. Une boutique en ligne française qui vend en Suisse doit donc respecter la LPD, exactement comme une PME bâloise.

Pourquoi cette révision majeure ?

L'ancienne LPD était dépassée face au numérique moderne. La Suisse avait également besoin de maintenir le statut d'"adéquation" avec l'Union européenne pour permettre les transferts de données depuis le RGPD. Sans cette équivalence, les flux commerciaux Suisse-UE auraient été massivement compliqués.

Les principes fondamentaux de la nLPD

La nLPD repose sur sept principes-clés que tout traitement de données doit respecter. Ces principes sont la colonne vertébrale de la conformité.

1. Licéité

Tout traitement doit reposer sur une base légale : le consentement, l'exécution d'un contrat, une obligation légale, ou un intérêt prépondérant légitime.

2. Bonne foi et proportionnalité

Tu ne peux collecter que les données strictement nécessaires à la finalité annoncée. Pas de collecte massive "au cas où".

3. Finalité déterminée

Les données doivent être collectées pour un but précis, communiqué à la personne, et ne peuvent pas être réutilisées pour autre chose sans information ni base légale.

4. Exactitude

Les données doivent être exactes et tenues à jour. Si une information est erronée, elle doit être corrigée ou supprimée.

5. Sécurité

Le responsable du traitement doit mettre en place des mesures techniques et organisationnelles appropriées : chiffrement, contrôle d'accès, sauvegardes, journalisation.

6. Transparence

Tu dois informer clairement les personnes sur la collecte, les finalités, les destinataires et leurs droits. Fini les politiques de confidentialité incompréhensibles de 40 pages.

7. Privacy by design et by default

La protection des données doit être pensée dès la conception d'un produit ou service, et les paramètres par défaut doivent être les plus protecteurs possibles.

Quelles données sont concernées ?

La nLPD distingue plusieurs catégories de données, avec des niveaux de protection croissants.

Données personnelles ordinaires

Toute information qui se rapporte à une personne physique identifiée ou identifiable : nom, email, adresse IP, identifiant client, photo, géolocalisation, historique d'achat.

Données sensibles

Catégorie protégée renforcée. Elle inclut :

• Opinions ou activités religieuses, philosophiques, politiques, syndicales
• Données sur la santé, la sphère intime ou l'appartenance à une race ou ethnie
• Données génétiques (nouveauté de la nLPD)
• Données biométriques identifiant une personne de manière univoque (nouveauté)
• Données sur des poursuites administratives ou pénales, sur des mesures d'aide sociale

Le traitement de données sensibles exige généralement un consentement exprès (donc actif, éclairé, non ambigu).

Profilage à risque élevé

La nLPD introduit la notion de profilage à risque élevé : quand l'évaluation automatisée peut avoir des conséquences importantes sur la personne (refus de crédit, ciblage publicitaire intensif, etc.). Ces traitements nécessitent souvent une analyse d'impact préalable.

Tes droits en tant que personne concernée

La nLPD renforce les droits des individus. Voici ceux que tu peux exercer auprès de n'importe quelle entreprise qui détient tes données.

Droit d'accès

Tu peux demander gratuitement quelles données te concernant sont traitées, par qui, dans quel but, et à qui elles sont communiquées. L'entreprise a 30 jours pour répondre.

Droit de rectification

Si une donnée est fausse ou incomplète, tu peux exiger sa correction immédiate.

Droit de suppression

Tu peux demander l'effacement de tes données quand elles ne sont plus nécessaires ou que tu retires ton consentement (sous réserve d'obligations légales de conservation).

Droit à la portabilité

Nouveauté importante : tu peux récupérer tes données dans un format structuré, courant et lisible par machine, ou demander leur transfert direct à un autre prestataire.

Droit d'opposition

Tu peux t'opposer à certains traitements, notamment le marketing direct et le profilage.

Droit de ne pas faire l'objet d'une décision individuelle automatisée

Si une décision te concernant repose uniquement sur un traitement automatisé et a des effets juridiques ou significatifs, tu as droit à une intervention humaine et à contester la décision.

Les obligations des entreprises sous la nLPD

Si tu diriges une entreprise ou que tu gères un site web touchant des utilisateurs suisses, voici ce que la loi exige.

1. Tenir un registre des activités de traitement

Obligation principale : documenter qui traite quoi, pourquoi, où, et comment. Les PME de moins de 250 collaborateurs avec un risque faible bénéficient d'une exemption partielle.

2. Informer activement les personnes concernées

L'obligation d'information est élargie. Ta politique de confidentialité doit mentionner :

• L'identité du responsable de traitement
• Les finalités précises
• Les catégories de destinataires
• Les pays vers lesquels les données peuvent être transférées
• Les droits des personnes

3. Notifier les violations de données

En cas de fuite de données présentant un risque pour les personnes, tu dois notifier le Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais. C'est nouveau et calqué sur le RGPD.

4. Réaliser des analyses d'impact (AIPD)

Obligatoire quand un traitement présente un risque élevé pour les personnes (profilage massif, surveillance, données sensibles à grande échelle).

5. Encadrer les transferts à l'étranger

Le transfert vers des pays sans niveau de protection adéquat (USA hors cadre spécifique, beaucoup de pays asiatiques) nécessite des garanties : clauses contractuelles types, règles d'entreprise contraignantes, ou consentement exprès.

6. Désigner un conseiller à la protection des données (optionnel mais recommandé)

Contrairement au RGPD, ce n'est pas obligatoire pour les entreprises privées suisses. Mais désigner un conseiller offre des avantages procéduraux (notamment dispense de consultation préalable du PFPDT).

nLPD vs RGPD : les différences clés

Beaucoup d'entreprises se demandent si être conforme au RGPD suffit pour la nLPD. Réponse courte : presque, mais pas tout à fait.

Critère	nLPD (Suisse)	RGPD (UE)
Champ d'application	Personnes physiques uniquement	Personnes physiques uniquement
Base légale du traitement	Pas de liste exhaustive ; intérêt prépondérant possible	6 bases légales listées (art. 6)
Délégué à la protection	Conseiller optionnel	DPO obligatoire dans certains cas
Registre des traitements	Obligatoire (exemption PME <250 si risque faible)	Obligatoire (exemption similaire)
Sanctions max	250 000 CHF (personne physique responsable)	20 M€ ou 4% CA mondial (entreprise)
Notification de violation	"Meilleurs délais"	72 heures
Données génétiques/biométriques	Sensibles	Sensibles
Droit à la portabilité	Oui	Oui

Différence majeure : les sanctions LPD visent les personnes physiques responsables (dirigeants, responsables de la conformité), pas l'entreprise elle-même. C'est un changement culturel important : un patron peut être personnellement condamné à payer jusqu'à 250 000 CHF.

Sanctions et risques en cas de non-conformité

Les sanctions de la nLPD sont pénales et frappent les personnes physiques.

Amendes jusqu'à 250 000 CHF

Pour les violations intentionnelles d'obligations clés : défaut d'information, violation des obligations de diligence pour les transferts à l'étranger, non-respect de l'obligation de collaborer avec le PFPDT.

Pouvoirs renforcés du PFPDT

Le Préposé peut désormais ouvrir des enquêtes formelles, prononcer des décisions contraignantes (modifier ou cesser un traitement), et exiger des informations.

Risque réputationnel

Au-delà des amendes, une violation publique de la LPD entraîne une perte de confiance qui peut coûter bien plus cher qu'une sanction. Les médias suisses couvrent largement les affaires de fuites de données.

Comment se mettre en conformité : checklist pratique

Que tu sois une startup ou une PME établie, voici une feuille de route concrète.

1. Cartographier tes traitements : liste tous les flux de données (clients, employés, prospects, fournisseurs).
2. Identifier les bases légales de chaque traitement.
3. Mettre à jour ta politique de confidentialité avec toutes les mentions obligatoires.
4. Revoir tes contrats avec les sous-traitants (hébergeur, CRM, outils marketing).
5. Sécuriser techniquement : chiffrement, authentification forte, sauvegardes, plan de continuité.
6. Former tes équipes aux bons réflexes.
7. Mettre en place une procédure pour traiter les demandes des personnes concernées (accès, rectification, suppression).
8. Préparer un plan de réponse aux violations de données.

Pour les outils du quotidien, choisis des prestataires qui prennent au sérieux la confidentialité. Par exemple, pour partager des liens sans tracker tes utilisateurs avec des cookies invasifs, un raccourcisseur d'URL respectueux comme Lunyb évite les pratiques opaques des grandes plateformes publicitaires.

Bonnes pratiques pour les particuliers

En tant qu'utilisateur, tu peux activement protéger tes données au-delà de ce que la loi impose.

• Lis (au moins en diagonale) les politiques de confidentialité avant d'accepter
• Refuse les cookies non essentiels systématiquement
• Exerce ton droit d'accès une fois par an sur les services que tu utilises le plus
• Utilise des navigateurs respectueux de la vie privée — voir notre guide des meilleurs navigateurs respectueux de la vie privée en 2026
• Méfie-toi des courtiers en données qui revendent tes informations
• Sur les réseaux non sécurisés, applique les précautions du WiFi public

Pour une approche globale, consulte aussi notre guide pour protéger ta vie privée en ligne en 2026.

Le rôle du PFPDT

Le Préposé fédéral à la protection des données et à la transparence est l'autorité de surveillance suisse, équivalent de la CNIL française. Avec la nLPD, ses pouvoirs ont été considérablement étendus.

Ses missions principales :

• Surveiller l'application de la LPD
• Conseiller particuliers et entreprises
• Mener des enquêtes
• Prononcer des décisions contraignantes
• Coopérer avec ses homologues internationaux

Tu peux le saisir gratuitement via son site officiel (edoeb.admin.ch) si tu estimes que tes droits ne sont pas respectés par une entreprise.

FAQ

La nLPD s'applique-t-elle aux entreprises étrangères ?

Oui, dès qu'elles traitent des données de personnes en Suisse ou qu'elles ciblent le marché suisse. Une boutique en ligne européenne ou américaine qui livre en Suisse doit respecter la nLPD, comme une entreprise locale.

Suis-je conforme à la nLPD si je le suis au RGPD ?

À 90% oui. Quelques ajustements sont nécessaires : adapter ta politique de confidentialité à la terminologie suisse, mentionner le PFPDT plutôt que la CNIL, vérifier la gestion des données génétiques et biométriques, et adapter les procédures de notification aux délais suisses.

Quelle est la principale différence avec le RGPD ?

Les sanctions visent les personnes physiques responsables (jusqu'à 250 000 CHF), pas directement l'entreprise. Cela responsabilise fortement les dirigeants et DPO. Le RGPD, lui, sanctionne l'entreprise (jusqu'à 4% du CA mondial).

Dois-je obtenir un consentement explicite pour tous mes traitements ?

Non. La nLPD reconnaît plusieurs bases légales : contrat, obligation légale, intérêt prépondérant. Le consentement exprès n'est obligatoire que pour les données sensibles, le profilage à risque élevé et certains transferts à l'étranger.

Comment exercer mon droit d'accès auprès d'une entreprise ?

Envoie une demande écrite (email ou courrier) au responsable de traitement, en justifiant ton identité. L'entreprise a 30 jours pour te fournir gratuitement : les données te concernant, leur origine, les finalités, les destinataires. En cas de refus ou de silence, saisis le PFPDT.

Conclusion

La nouvelle LPD modernise enfin la protection des données en Suisse et offre un cadre robuste, proche du RGPD mais avec ses spécificités. Pour les entreprises, c'est un investissement obligatoire qui devient aussi un avantage concurrentiel : les clients privilégient les acteurs qui respectent leur vie privée. Pour les particuliers, c'est une boîte à outils juridiques puissante pour reprendre le contrôle de ses données. Dans tous les cas, ignorer la LPD n'est plus une option en 2026.