LPD vs RGPD : Différences Clés pour les Entreprises Suisses (2026)

Depuis le 1er septembre 2023, la nouvelle Loi fédérale sur la protection des données (nLPD) est en vigueur en Suisse. Elle se rapproche fortement du Règlement Général sur la Protection des Données (RGPD) européen, mais garde des spécificités propres à la Confédération. Si tu diriges une entreprise suisse, la question n'est plus si tu dois te conformer, mais à quoi exactement, et comment gérer les deux textes en parallèle quand tu traites des données de clients européens.

Dans ce guide, on décortique les différences concrètes entre la LPD et le RGPD, les obligations qui pèsent sur ton entreprise, les sanctions encourues et les étapes pratiques pour être conforme sans y passer tes nuits.

LPD vs RGPD : la définition rapide

La LPD (Loi fédérale sur la protection des données) est la loi suisse qui encadre le traitement des données personnelles par les entreprises privées et les organes fédéraux. Sa dernière révision (nLPD) est entrée en vigueur le 1er septembre 2023.

Le RGPD (Règlement Général sur la Protection des Données) est le règlement européen applicable depuis le 25 mai 2018 dans les 27 États membres de l'UE. Il s'impose aussi aux entreprises hors UE qui ciblent ou surveillent des résidents européens.

Autrement dit : une entreprise suisse qui vend uniquement en Suisse applique la LPD. Une entreprise suisse qui vend aussi en France, Allemagne ou Belgique doit respecter les deux.

Pourquoi la Suisse a révisé sa LPD ?

La raison est essentiellement économique et stratégique. La Commission européenne évalue régulièrement si les pays tiers offrent un niveau de protection « adéquat » aux données des Européens. Sans cette reconnaissance d'adéquation, les transferts de données de l'UE vers la Suisse deviendraient un cauchemar administratif pour les entreprises helvétiques.

La révision de la LPD visait donc trois objectifs :

Maintenir la reconnaissance d'adéquation par l'UE
Renforcer les droits des citoyens suisses face à la numérisation
Aligner la Suisse sur les standards internationaux (Convention 108+ du Conseil de l'Europe)

Tableau comparatif : LPD vs RGPD en un coup d'œil

Critère	LPD (Suisse)	RGPD (UE)
Champ d'application	Traitements ayant un effet en Suisse	Résidents UE, où que soit l'entreprise
Données personnes morales	Non protégées (depuis nLPD)	Non protégées
Consentement	Requis dans certains cas seulement	Souvent requis, très encadré
Registre des traitements	Obligatoire (dispense < 250 employés sous conditions)	Obligatoire (dispense < 250 employés sous conditions)
DPO / Conseiller à la protection des données	Recommandé, pas obligatoire	Obligatoire dans certains cas
Notification de violation	« Dans les meilleurs délais » au PFPDT	72 heures à l'autorité de contrôle
Analyse d'impact (AIPD)	Obligatoire si risque élevé	Obligatoire si risque élevé
Sanctions maximales	250 000 CHF (personne physique responsable)	20 M€ ou 4 % du CA mondial
Autorité de contrôle	PFPDT	CNIL (FR), APD (BE), etc.
Privacy by design	Obligatoire	Obligatoire

Les 7 différences majeures à retenir

1. Le régime des sanctions : une logique radicalement différente

C'est probablement la différence la plus marquante. Le RGPD sanctionne l'entreprise avec des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. La LPD, elle, sanctionne la personne physique responsable (dirigeant, responsable IT, DPO interne) à hauteur de 250 000 CHF maximum.

Concrètement, un CEO suisse peut être personnellement condamné à une amende. Cette approche « personnalisée » change complètement la façon dont les décisions de conformité sont prises en interne.

2. Le consentement : plus souple en Suisse

Le RGPD exige un consentement explicite, libre, éclairé et spécifique pour de nombreux traitements. La LPD adopte une approche plus pragmatique : le consentement n'est requis que pour les données sensibles, le profilage à risque élevé ou lorsqu'une base légale fait défaut.

Pour beaucoup d'entreprises suisses, l'information transparente suffit là où le RGPD imposerait une case à cocher. Attention toutefois : dès que tu traites des données de clients européens, tu bascules dans le régime RGPD.

3. Le délai de notification des violations

Le RGPD est strict : 72 heures pour notifier une violation à l'autorité de contrôle. La LPD utilise la formule « dans les meilleurs délais », ce qui laisse une marge d'interprétation. Le PFPDT (Préposé fédéral à la protection des données et à la transparence) recommande néanmoins d'agir aussi vite que possible.

4. Le DPO (Data Protection Officer)

Le RGPD impose la désignation d'un DPO dans plusieurs cas (autorité publique, traitement à grande échelle, données sensibles). La LPD ne rend pas obligatoire un « conseiller à la protection des données » mais l'encourage fortement, avec des avantages pratiques : par exemple, une entreprise dotée d'un conseiller peut se dispenser de consulter le PFPDT après une analyse d'impact.

5. Le profilage à risque élevé

Notion propre à la LPD, le « profilage à risque élevé » est une catégorie plus stricte que le simple profilage. Elle déclenche des obligations renforcées (consentement explicite notamment). Le RGPD parle plutôt de « décisions automatisées » avec des règles précises.

6. Les données des personnes morales

Avant la révision, la LPD protégeait aussi les données des entreprises (personnes morales). Depuis la nLPD, seules les personnes physiques sont protégées, en cohérence avec le RGPD.

7. Les transferts internationaux

Les deux textes exigent un niveau de protection adéquat lors des transferts vers l'étranger. La liste des pays adéquats diffère légèrement entre le PFPDT et la Commission européenne. Les Clauses Contractuelles Types (CCT) et les Règles d'entreprise contraignantes (BCR) sont acceptées des deux côtés.

Quelle loi s'applique à mon entreprise suisse ?

Voici la règle simple :

Uniquement la LPD si tu traites uniquement des données de personnes en Suisse, sans cibler l'UE.
LPD + RGPD si tu proposes des biens ou services à des résidents de l'UE (site e-commerce avec livraison en France, application accessible depuis l'Allemagne, newsletter en allemand ciblant l'Autriche, etc.).
LPD + RGPD si tu surveilles le comportement de résidents UE (analytics, cookies, tracking publicitaire ciblant l'UE).

Dans le doute, une PME suisse active en ligne devrait considérer qu'elle est soumise aux deux. Pour approfondir tes droits en tant qu'utilisateur européen, consulte notre article sur le RGPD expliqué simplement ou le guide spécifique au RGPD en Belgique.

Les 8 obligations incontournables pour ton entreprise suisse

Tenir un registre des traitements — Liste de toutes les activités de traitement (finalité, catégories de données, destinataires, durée de conservation).
Informer les personnes concernées — Politique de confidentialité claire, lisible, à jour, mentionnant toutes les finalités.
Sécuriser les données — Chiffrement, contrôle des accès, sauvegardes, pseudonymisation quand c'est possible.
Encadrer les sous-traitants — Contrats de sous-traitance avec les prestataires (hébergeur, CRM, outil marketing).
Gérer les demandes d'accès — Répondre dans les 30 jours aux personnes qui exercent leur droit d'accès, de rectification, de suppression.
Faire une analyse d'impact si le traitement présente un risque élevé (biométrie, géolocalisation à grande échelle, profilage).
Notifier les violations — Au PFPDT et éventuellement aux personnes concernées si le risque est élevé.
Documenter la conformité — Principe d'accountability : tu dois pouvoir prouver que tu respectes la loi.

Cas pratiques pour PME suisses

Cas 1 : boutique en ligne romande vendant en France

Cette entreprise est soumise à la LPD (siège en Suisse) et au RGPD (clients français). Elle doit : nommer un représentant dans l'UE, tenir un double registre si les traitements diffèrent, appliquer le régime le plus strict des deux (souvent le RGPD).

Cas 2 : cabinet médical à Zurich

Traite des données sensibles (santé). LPD applicable, avec obligations renforcées : consentement explicite, sécurité maximale, analyse d'impact quasi systématique, journalisation des accès.

Cas 3 : startup SaaS à Lausanne avec utilisateurs mondiaux

LPD + RGPD + potentiellement d'autres lois (CCPA en Californie, LGPD au Brésil). La stratégie : appliquer le RGPD comme socle commun, puis ajuster à la marge pour la LPD et les autres.

Outils pratiques pour être conforme sans se ruiner

Voici les catégories d'outils à mettre en place :

Gestion des cookies : bannière conforme (Axeptio, Didomi, ou solutions open source)
Registre des traitements : tableur simple ou logiciel dédié (GDPR-tools, LeanDPO)
Chiffrement et stockage : services hébergés en Suisse ou dans l'UE, chiffrement de bout en bout
Navigation privée en interne : équipe formée aux navigateurs respectueux de la vie privée
Partage de liens sécurisé : pour partager des documents ou campagnes sans exposer d'URL sensibles, un raccourcisseur avec statistiques anonymisées comme Lunyb permet de garder le contrôle. Voir aussi notre guide pour raccourcir un lien facilement.

Sanctions concrètes : ce que tu risques vraiment

Sous LPD, le PFPDT ne peut pas prononcer directement d'amendes administratives. Il enquête, ordonne des mesures correctives, et peut transmettre au ministère public cantonal en cas d'infraction pénale. Les amendes sont prononcées par la justice pénale contre la personne physique responsable.

Ce qui est puni :

Violation intentionnelle des obligations d'information
Non-respect des exigences minimales de sécurité
Violation du devoir de diligence lors de transferts internationaux
Non-respect des décisions du PFPDT

Sous RGPD, les autorités comme la CNIL peuvent prononcer directement des amendes contre l'entreprise. En 2024, plusieurs entreprises ont été sanctionnées à hauteur de plusieurs millions d'euros pour non-conformité cookies, publicité ciblée ou transferts illicites.

Plan d'action en 10 étapes pour être conforme

Cartographier tous les traitements de données de ton entreprise
Identifier les données sensibles et les traitements à risque élevé
Créer ou mettre à jour le registre des traitements
Rédiger une politique de confidentialité claire et complète
Auditer et sécuriser les prestataires (contrats de sous-traitance)
Mettre en place une procédure de gestion des demandes d'accès
Former le personnel (au moins les équipes marketing, RH, IT)
Établir un plan de réponse aux violations de données
Documenter toutes les décisions (principe d'accountability)
Réviser annuellement la conformité

FAQ : LPD vs RGPD pour les entreprises suisses

Une PME suisse de 5 employés doit-elle vraiment se conformer à la LPD ?

Oui, la LPD s'applique quelle que soit la taille. Les petites entreprises bénéficient de quelques allègements (dispense de registre si moins de 250 employés et absence de traitement à risque élevé), mais les principes fondamentaux — information, sécurité, droits des personnes — s'appliquent à tous.

Dois-je nommer un DPO si je suis une entreprise suisse ?

La LPD ne l'impose pas, mais le recommande. Si tu es aussi soumis au RGPD (clients européens), la nomination devient obligatoire dans certains cas : traitement à grande échelle de données sensibles, surveillance systématique, ou activité principale portant sur ce type de traitement.

Le PFPDT peut-il directement m'infliger une amende ?

Non. Le PFPDT enquête, émet des recommandations et peut ordonner des mesures. Les amendes pénales (jusqu'à 250 000 CHF) sont prononcées par les tribunaux cantonaux contre la personne physique responsable de l'infraction, pas contre l'entreprise elle-même.

Puis-je utiliser un service cloud américain comme entreprise suisse ?

Oui, mais avec précautions. Depuis l'accord Swiss-U.S. Data Privacy Framework (2024), certains transferts vers les États-Unis sont facilités. Vérifie que ton prestataire est certifié, ou utilise des Clauses Contractuelles Types complétées par des mesures techniques (chiffrement, pseudonymisation).

Que faire en cas de violation de données ?

Documente immédiatement l'incident, évalue le risque pour les personnes concernées, notifie le PFPDT dans les meilleurs délais (et sous 72 h si tu es aussi soumis au RGPD), informe les personnes si le risque est élevé, et mets en place des mesures correctives. Garde une trace de toutes les actions entreprises.

Conclusion : LPD et RGPD, deux régimes proches mais distincts

La bonne nouvelle, c'est que la nLPD s'est considérablement rapprochée du RGPD. Si tu es déjà conforme au RGPD, tu es à 90 % conforme à la LPD, et vice-versa. Les différences résiduelles concernent surtout les sanctions (personne physique vs entreprise), les délais de notification et le régime du consentement.

La priorité pour une entreprise suisse en 2026 : cartographier tes traitements, documenter tes décisions, sécuriser tes données et informer clairement tes utilisateurs. Le reste découle de ces fondations. Et si tu veux aller plus loin sur la protection au quotidien, jette un œil à nos guides sur la vie privée en ligne — ils s'appliquent aussi bien aux dirigeants qu'aux équipes.