LPD vs RGPD : Différences Clés pour les Entreprises Suisses en 2026

Depuis le 1er septembre 2023, la nouvelle Loi fédérale sur la protection des données (nLPD) est entrée en vigueur en Suisse. Pour les entreprises suisses qui traitent des données personnelles, notamment celles qui ont des clients dans l'Union européenne, une question revient sans cesse : quelles sont les différences concrètes entre la LPD suisse et le RGPD européen ? Ce guide 2026 fait le point de manière claire et pragmatique.

LPD vs RGPD : définition rapide

La LPD (Loi fédérale sur la protection des données) est la législation suisse qui encadre le traitement des données personnelles sur le territoire helvétique. Le RGPD (Règlement général sur la protection des données) est le règlement européen en vigueur depuis mai 2018 dans les 27 États membres de l'UE.

Bien que la nouvelle LPD suisse s'inspire largement du RGPD pour maintenir l'adéquation avec l'UE, il existe des différences importantes qu'il faut connaître pour être en conformité.

Pourquoi la nouvelle LPD ressemble tant au RGPD ?

La Suisse n'est pas membre de l'Union européenne, mais son économie est fortement liée à celle de l'UE. Pour que les flux de données entre la Suisse et l'UE puissent continuer librement, la Commission européenne doit reconnaître la Suisse comme un pays offrant un « niveau de protection adéquat ».

C'est pour cela que la nLPD a été modernisée : elle intègre de nombreux principes du RGPD (transparence, minimisation des données, droits des personnes concernées) tout en gardant certaines spécificités suisses.

Champ d'application territorial : qui est concerné ?

Application de la LPD

La LPD s'applique aux traitements de données effectués en Suisse ou qui produisent des effets en Suisse, même si le responsable du traitement est basé à l'étranger. Elle concerne autant les entreprises privées que les organes fédéraux.

Application du RGPD

Le RGPD s'applique dès qu'une entreprise :

est établie dans l'UE, peu importe où le traitement a lieu ;
propose des biens ou services à des personnes situées dans l'UE ;
surveille le comportement de personnes dans l'UE (tracking, profilage).

Concrètement, une entreprise suisse qui vend en ligne à des clients français ou allemands doit respecter à la fois la LPD et le RGPD.

Comparaison détaillée : LPD vs RGPD

Critère	LPD (Suisse)	RGPD (UE)
Entrée en vigueur (version actuelle)	1er septembre 2023	25 mai 2018
Autorité de contrôle	PFPDT (Préposé fédéral)	Autorités nationales (CNIL en France)
Personnes protégées	Personnes physiques uniquement	Personnes physiques uniquement
Données des personnes morales	Non protégées (depuis la nLPD)	Non protégées
Consentement explicite	Requis pour données sensibles et profilage à risque élevé	Requis pour données sensibles et marketing
Registre des activités	Obligatoire (sauf PME < 250 employés à faible risque)	Obligatoire (sauf PME < 250 employés à faible risque)
Analyse d'impact (AIPD)	Obligatoire pour risques élevés	Obligatoire pour risques élevés
Délégué à la protection des données	Recommandé, non obligatoire	Obligatoire dans certains cas
Notification de violation	« Dans les meilleurs délais »	72 heures
Sanctions maximales	250 000 CHF (personne physique responsable)	20 M€ ou 4% CA mondial (entreprise)
Sanctions pénales	Contre la personne physique responsable	Contre l'entreprise (amendes administratives)

Les 7 différences majeures à retenir

1. Le modèle de sanctions est radicalement différent

C'est probablement la différence la plus surprenante. Le RGPD sanctionne les entreprises avec des amendes administratives pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial. La LPD, elle, sanctionne les personnes physiques responsables (dirigeants, DPO) avec des amendes jusqu'à 250 000 CHF.

En clair : en Suisse, c'est le patron ou le responsable de la conformité qui paie personnellement, pas l'entreprise.

2. Délai de notification en cas de violation

Le RGPD impose une notification à l'autorité de contrôle dans les 72 heures après la découverte d'une fuite de données. La LPD utilise une formule plus souple : « dans les meilleurs délais ». En pratique, on recommande également d'agir sous 72 heures pour rester aligné sur les standards internationaux.

3. Délégué à la protection des données (DPO)

Le RGPD rend le DPO obligatoire pour les autorités publiques, les entreprises qui font du suivi à grande échelle ou qui traitent des données sensibles. En Suisse, le « conseiller à la protection des données » est facultatif, mais fortement recommandé pour prouver sa bonne foi en cas de contrôle.

4. Profilage à risque élevé

La LPD introduit une notion spécifique de « profilage à risque élevé », qui nécessite un consentement explicite. Le RGPD parle simplement de « profilage » et de « décisions automatisées ». Les définitions sont proches mais pas identiques.

5. Représentant en Suisse ou dans l'UE

Une entreprise étrangère qui traite des données de personnes suisses doit désigner un représentant en Suisse. Symétriquement, une entreprise suisse qui vise le marché européen doit désigner un représentant dans l'UE conformément à l'article 27 du RGPD.

6. Données des personnes morales

Point important : depuis la nLPD de 2023, les données des personnes morales (entreprises) ne sont plus protégées, alignant la Suisse sur l'approche du RGPD. C'est un changement majeur par rapport à l'ancienne LPD.

7. Transferts internationaux

Les deux régimes exigent des garanties pour les transferts vers des pays tiers. La Suisse tient sa propre liste de pays offrant un niveau de protection adéquat, qui diffère légèrement de celle de la Commission européenne.

Obligations concrètes pour les entreprises suisses

Tenir un registre des activités de traitement

Toute entreprise de plus de 250 employés, ou celle qui traite des données sensibles à grande échelle, doit tenir un registre. Ce document liste :

l'identité du responsable du traitement ;
les finalités du traitement ;
les catégories de données traitées ;
les destinataires des données ;
les durées de conservation ;
les mesures de sécurité mises en place.

Informer les personnes concernées

Chaque collecte de données doit être accompagnée d'une information claire : qui collecte, pourquoi, combien de temps, quels sont les droits. C'est le rôle de la fameuse « politique de confidentialité » que tu dois mettre à jour régulièrement.

Sécuriser les données par des mesures techniques

La LPD comme le RGPD imposent des mesures de sécurité « adéquates » : chiffrement, contrôle d'accès, sauvegardes, journaux d'accès. Pour les liens partagés ou les campagnes marketing, un service comme Lunyb permet de raccourcir tes URLs tout en gardant le contrôle sur les statistiques et la confidentialité des données de tes utilisateurs.

Gérer les demandes d'accès et de suppression

Les personnes concernées ont le droit d'accéder à leurs données, de les rectifier, de les supprimer ou de s'opposer à leur traitement. Tu dois avoir un processus clair pour répondre à ces demandes, généralement dans un délai de 30 jours.

Cas pratique : une PME suisse qui vend en ligne

Imagine une PME basée à Lausanne qui vend des produits artisanaux via son site web à des clients en Suisse, France et Allemagne. Voici ce qu'elle doit faire :

Se conformer aux deux textes : LPD pour les clients suisses, RGPD pour les clients européens ;
Rédiger une politique de confidentialité unique couvrant les deux régimes ;
Mettre en place un bandeau cookies conforme au RGPD (plus strict que la LPD) ;
Désigner un représentant dans l'UE si elle n'a pas d'établissement européen ;
Documenter tous les traitements dans un registre ;
Former ses équipes aux bonnes pratiques de sécurité.

Les pièges à éviter

Croire que la LPD suisse est plus permissive

C'était vrai avant 2023. Aujourd'hui, la nLPD est presque aussi exigeante que le RGPD. Ne baisse pas ta garde sous prétexte que « c'est juste la loi suisse ».

Oublier le consentement pour le marketing

L'envoi d'emails marketing exige un consentement libre, éclairé et documenté. Sans preuve du consentement, tes campagnes sont illégales.

Négliger les sous-traitants

Si tu utilises Google Analytics, Mailchimp ou tout autre service SaaS, ces prestataires sont tes sous-traitants. Tu dois signer un contrat de sous-traitance (DPA) et vérifier où sont hébergées les données.

Sous-estimer la sensibilisation interne

La majorité des violations viennent d'erreurs humaines : mot de passe faible, phishing, perte d'un ordinateur. Former tes équipes est aussi important que d'installer un pare-feu.

Comment se mettre en conformité en 2026 : plan d'action

Cartographier tes traitements : liste tous les endroits où tu collectes et stockes des données personnelles ;
Rédiger ou mettre à jour ton registre des activités de traitement ;
Vérifier tes politiques de confidentialité et bandeaux cookies ;
Auditer tes sous-traitants et signer les DPA nécessaires ;
Mettre en place un processus de gestion des demandes des personnes concernées ;
Renforcer la sécurité technique : chiffrement, sauvegardes, authentification forte ;
Former le personnel au moins une fois par an ;
Préparer un plan de réponse aux incidents de sécurité.

Pour aller plus loin

Si tu veux approfondir tes connaissances en protection des données et sécurité, ces articles complémentaires peuvent t'intéresser :

FAQ : LPD vs RGPD

Une entreprise suisse doit-elle appliquer le RGPD ?

Oui, dès qu'elle propose des produits ou services à des personnes situées dans l'UE, ou qu'elle surveille leur comportement (cookies, tracking). Dans ce cas, elle doit se conformer à la fois à la LPD et au RGPD, et souvent désigner un représentant dans l'UE.

Quelles sont les sanctions maximales prévues par la LPD ?

La nouvelle LPD prévoit des amendes pouvant atteindre 250 000 CHF, prononcées contre la personne physique responsable (dirigeant, DPO), et non contre l'entreprise elle-même. C'est une différence majeure avec le RGPD qui vise l'entreprise.

Faut-il désigner un DPO en Suisse ?

Non, ce n'est pas obligatoire selon la LPD, contrairement au RGPD dans certains cas. Cependant, désigner un « conseiller à la protection des données » est fortement recommandé : cela facilite la conformité, rassure les partenaires et prouve ta diligence en cas de contrôle du PFPDT.

Combien de temps ai-je pour notifier une fuite de données ?

Le RGPD impose 72 heures maximum après la découverte. La LPD demande « dans les meilleurs délais », ce qui est plus flou. En pratique, aligne-toi sur les 72 heures pour rester en sécurité, surtout si tu traites aussi des données de citoyens européens.

La LPD protège-t-elle les données des entreprises ?

Non, plus depuis la révision de septembre 2023. La nouvelle LPD s'aligne sur le RGPD et ne protège que les données des personnes physiques. Les données des personnes morales (entreprises, associations) ne bénéficient plus de la protection de la LPD.