LPD vs RGPD : Différences Clés pour les Entreprises Suisses en 2026

Depuis le 1er septembre 2023, la nouvelle Loi fédérale sur la protection des données (nLPD) est entrée en vigueur en Suisse. Si tu diriges une entreprise suisse, tu te poses sûrement la question : LPD ou RGPD, quelles différences concrètes ? Es-tu soumis à l'un, à l'autre, ou aux deux ? Et surtout, comment te mettre en conformité sans y passer des mois ?

Dans ce guide complet, on décortique ensemble les différences entre la LPD suisse et le RGPD européen, avec des exemples concrets pour les PME et grandes entreprises helvétiques.

LPD et RGPD : Définitions Rapides

La LPD (Loi fédérale sur la protection des données) est la loi suisse qui régit le traitement des données personnelles sur le territoire helvétique. Sa version révisée (nLPD) s'applique depuis le 1er septembre 2023.

Le RGPD (Règlement Général sur la Protection des Données) est le règlement européen en vigueur depuis le 25 mai 2018. Il s'applique à toutes les entreprises traitant des données de résidents de l'Union européenne, quelle que soit leur localisation.

Bonne nouvelle : la nLPD a été largement inspirée du RGPD pour permettre à la Suisse de conserver son statut de pays offrant un niveau de protection adéquat aux yeux de l'UE. Mauvaise nouvelle : il existe encore des différences importantes que tu dois connaître.

Tableau Comparatif LPD vs RGPD

Critère	LPD (Suisse)	RGPD (UE)
Entrée en vigueur	1er septembre 2023 (nLPD)	25 mai 2018
Autorité de contrôle	PFPDT (Préposé fédéral)	CNIL (France), autorités nationales
Champ d'application	Personnes physiques uniquement	Personnes physiques uniquement
Sanctions maximales	250 000 CHF (personnes physiques)	20 M€ ou 4% du CA mondial
DPO obligatoire	Non (recommandé)	Oui dans certains cas
Registre des traitements	Obligatoire (sauf PME <250 employés)	Obligatoire (sauf exceptions)
Notification de violation	Dans les meilleurs délais	72 heures
Analyse d'impact (AIPD)	Obligatoire si risque élevé	Obligatoire si risque élevé
Consentement explicite	Requis pour données sensibles	Requis pour données sensibles

Les 7 Différences Majeures à Connaître

1. Les sanctions visent les personnes, pas les entreprises

C'est probablement la différence la plus surprenante. Contrairement au RGPD qui sanctionne directement l'entreprise avec des amendes pouvant atteindre 4% du chiffre d'affaires mondial, la LPD suisse sanctionne les personnes physiques responsables (dirigeants, DPO, employés) jusqu'à 250 000 CHF.

Concrètement, si ton entreprise viole la LPD, c'est toi en tant que dirigeant qui risques l'amende personnelle. Cela change complètement la donne en matière de responsabilité interne.

2. Le délai de notification des violations

Le RGPD impose un délai strict de 72 heures pour notifier une violation de données à l'autorité de contrôle. La LPD, plus souple, parle simplement de notifier "dans les meilleurs délais" — mais attention, cela ne veut pas dire qu'on peut traîner.

Si tu opères dans les deux juridictions, mieux vaut t'aligner sur le délai RGPD de 72 heures pour être en sécurité partout.

3. Le Délégué à la Protection des Données (DPO)

Le RGPD rend le DPO obligatoire pour les autorités publiques, les entreprises faisant du suivi systématique à grande échelle, ou traitant des données sensibles à grande échelle.

La LPD, elle, ne rend pas le DPO obligatoire, mais recommande fortement la désignation d'un "conseiller à la protection des données". Si tu en désignes un, tu bénéficies d'avantages comme la possibilité de réaliser des analyses d'impact en interne.

4. Le registre des activités de traitement

Les deux régulations imposent un registre, mais avec des nuances :

RGPD : obligatoire sauf pour les entreprises de moins de 250 employés ne traitant pas de données sensibles régulièrement
LPD : obligatoire, mais exemption pour les PME de moins de 250 employés dont le traitement présente un risque limité

5. La représentation des entreprises étrangères

Si tu es une entreprise non-européenne traitant des données de résidents UE, le RGPD t'impose de désigner un représentant dans l'UE. Côté LPD, les entreprises étrangères traitant des données de personnes en Suisse doivent désigner un représentant en Suisse.

6. Les données des personnes décédées

Petite particularité suisse souvent ignorée : la LPD ne protège que les personnes physiques vivantes. Le RGPD aussi, mais certains pays membres (comme la France via la loi Informatique et Libertés) ont étendu certains droits aux données des personnes décédées. Si tu opères en France, n'oublie pas cette spécificité.

7. Le profilage

La LPD introduit une notion spécifique de "profilage à risque élevé", qui nécessite un consentement explicite. Le RGPD parle de "décision automatisée incluant le profilage". Les nuances juridiques sont subtiles mais peuvent impacter tes obligations de transparence.

Quelle Loi S'applique à Ton Entreprise ?

Cas 1 : PME suisse vendant uniquement en Suisse

Tu es soumis uniquement à la LPD. Tu peux te concentrer sur les obligations suisses, mais attention : dès qu'un client européen passe une commande, le RGPD entre en jeu.

Cas 2 : Entreprise suisse avec clients européens

Tu es soumis aux deux régulations. C'est le cas de la majorité des e-commerces suisses, des SaaS et des entreprises ayant un site web accessible depuis l'UE. La bonne stratégie : adopter le standard le plus strict (généralement le RGPD) pour être conforme partout.

Cas 3 : Entreprise européenne avec clients suisses

Tu es soumis au RGPD et dois respecter la LPD pour tes clients suisses. Tu dois désigner un représentant en Suisse si tu traites régulièrement leurs données.

Cas 4 : Entreprise non-européenne (US, etc.)

Si tu cibles des clients suisses ou européens, tu dois te conformer aux deux régulations et désigner des représentants dans chaque juridiction.

Comment Se Mettre en Conformité : Checklist Pratique

Cartographier tes traitements de données : liste tous les traitements (CRM, newsletter, RH, analytics, etc.)
Tenir un registre des activités de traitement même si tu es exempté, c'est une bonne pratique
Rédiger une politique de confidentialité claire et accessible sur ton site web
Mettre en place un système de gestion des consentements (cookies, marketing)
Sécuriser les données : chiffrement, contrôle d'accès, sauvegardes
Former tes équipes à la protection des données
Préparer une procédure de gestion des violations de données
Encadrer les transferts internationaux avec des clauses contractuelles types
Désigner un référent protection des données, même non obligatoire
Réaliser des AIPD pour les traitements à risque élevé

Transferts de Données : Suisse, UE et Pays Tiers

La Suisse bénéficie d'une décision d'adéquation de la Commission européenne, ce qui signifie que les transferts de données entre l'UE et la Suisse sont libres, sans formalité supplémentaire.

En revanche, pour les transferts vers des pays tiers (États-Unis, Asie, etc.), tu dois mettre en place des garanties appropriées : clauses contractuelles types (CCT), règles d'entreprise contraignantes (BCR), ou recours au cadre Data Privacy Framework pour les États-Unis.

Attention particulière aux outils américains (Google Analytics, Mailchimp, AWS) : tu dois t'assurer qu'ils respectent les conditions de transfert, notamment via les clauses contractuelles mises à jour en 2021.

Outils et Bonnes Pratiques pour la Conformité

Au-delà des aspects légaux, la conformité passe par des outils concrets. Voici quelques recommandations :

Navigateurs respectueux : encourage tes équipes à utiliser des navigateurs respectueux de la vie privée comme Brave ou Firefox
Gestionnaires de mots de passe : Bitwarden, 1Password pour sécuriser les accès
Outils de raccourcissement d'URL conformes : pour tes campagnes marketing, utilise des outils respectueux de la vie privée comme Lunyb, qui te permet de créer des liens courts personnalisés sans tracking abusif
Solutions de chiffrement : pour les emails sensibles et les fichiers
Cookie management platforms : Axeptio, Didomi, Cookiebot pour gérer les consentements

Sanctions et Risques Concrets

Les sanctions LPD sont certes moins élevées que celles du RGPD, mais elles présentent des particularités importantes :

Sanctions pénales LPD

Jusqu'à 250 000 CHF d'amende pour les personnes physiques responsables
Sanctions pour violation intentionnelle du devoir d'information, de collaboration avec le PFPDT, des obligations de sécurité, etc.
Les sanctions sont prononcées par les tribunaux pénaux cantonaux

Sanctions administratives RGPD

Jusqu'à 10 M€ ou 2% du CA mondial pour les violations moins graves
Jusqu'à 20 M€ ou 4% du CA mondial pour les violations majeures
Sanctions prononcées par les autorités de contrôle nationales (CNIL, APD, etc.)

Si tu veux comprendre comment se déroulent les plaintes dans les pays voisins, consulte nos guides sur comment porter plainte à la CNIL et comment porter plainte à l'APD Belgique.

L'Impact pour Différents Secteurs en Suisse

E-commerce et retail

Les e-commerçants suisses doivent être particulièrement vigilants : gestion des consentements cookies, sécurité des données de paiement (PCI-DSS), gestion des avis clients, programmes de fidélité. La double conformité LPD/RGPD est quasi systématique.

Santé et données médicales

Les données de santé sont considérées comme données sensibles et nécessitent un consentement explicite. Les cabinets médicaux, hôpitaux et assurances santé doivent mettre en place des mesures de sécurité renforcées.

Banque et finance

Le secteur bancaire suisse, déjà soumis au secret bancaire, doit composer avec la LPD pour les données personnelles non couvertes par le secret bancaire. Le profilage à risque élevé est particulièrement encadré.

RH et gestion du personnel

Les entreprises doivent porter une attention particulière aux données des employés : surveillance, géolocalisation, vidéosurveillance, données de santé. Le Code des obligations suisse ajoute des contraintes supplémentaires.

Pour les aspects plus larges de cybersécurité d'entreprise, consulte aussi notre guide sur la cybersécurité des entreprises qui contient des bonnes pratiques applicables en Suisse.

FAQ : Tes Questions sur la LPD et le RGPD

Mon entreprise suisse est-elle automatiquement soumise au RGPD ?

Non, pas automatiquement. Tu es soumis au RGPD si tu offres des biens ou services à des résidents de l'UE (même gratuitement) ou si tu surveilles leur comportement (analytics, profilage). Un site web suisse en français accessible aux clients français entre généralement dans ce cadre.

Quelles sont les sanctions concrètes en cas de non-conformité LPD ?

Les sanctions LPD visent principalement les personnes physiques responsables (dirigeants, DPO) avec des amendes pouvant atteindre 250 000 CHF. C'est une différence majeure avec le RGPD qui sanctionne l'entreprise. Pour les violations graves et intentionnelles, des poursuites pénales peuvent être engagées.

Dois-je désigner un DPO si je suis une PME suisse ?

La LPD ne rend pas le DPO obligatoire, mais le recommande. Si tu désignes un "conseiller à la protection des données", tu bénéficies d'avantages pratiques (analyses d'impact internes, interlocuteur unique). Si tu es également soumis au RGPD et traites des données sensibles à grande échelle, le DPO devient obligatoire.

Comment gérer les transferts de données vers les États-Unis ?

Tu dois mettre en place des garanties appropriées : clauses contractuelles types (CCT) mises à jour, ou recours au Data Privacy Framework si ton prestataire américain est certifié. Réalise une évaluation d'impact pour les transferts à risque (TIA) et documente tes décisions.

La nLPD remplace-t-elle complètement l'ancienne LPD ?

Oui, depuis le 1er septembre 2023, la nLPD a totalement remplacé l'ancienne loi de 1992. Il n'y a pas eu de période de transition : toutes les entreprises suisses doivent être conformes depuis cette date. Si tu n'es pas encore à jour, il est urgent de te mettre en conformité.

Conclusion : Une Conformité à Géométrie Variable

La LPD et le RGPD partagent une philosophie commune : protéger les données personnelles des individus et responsabiliser les entreprises. Mais les différences existent et peuvent avoir un impact concret sur tes obligations, notamment en matière de sanctions personnelles, de délais et de documentation.

Pour la majorité des entreprises suisses, la meilleure approche reste l'alignement sur le standard le plus strict, généralement le RGPD. Cela te garantit une conformité multi-juridictionnelle et te prépare à toute évolution réglementaire future.

N'oublie pas que la protection des données n'est pas qu'une contrainte légale : c'est aussi un argument de confiance auprès de tes clients suisses, traditionnellement attachés à la confidentialité. Investir dans la conformité, c'est investir dans ta réputation.