LPD vs RGPD : Différences Clés pour les Entreprises Suisses en 2026

Depuis le 1er septembre 2023, la nouvelle Loi fédérale sur la protection des données (nLPD) est entrée en vigueur en Suisse. Beaucoup d'entreprises helvétiques se demandent encore si elles doivent appliquer la LPD, le RGPD européen, ou les deux. La réponse est souvent : les deux. Et les différences, bien que subtiles, peuvent te coûter cher si tu les ignores.

Dans ce guide, on décortique les vraies différences entre la LPD suisse et le RGPD européen, avec un focus pratique pour les PME et startups basées en Suisse.

LPD vs RGPD : définitions et champ d'application

La LPD (Loi fédérale sur la protection des données) est la législation suisse qui encadre le traitement des données personnelles sur le territoire helvétique. Le RGPD (Règlement général sur la protection des données) est le règlement européen applicable dans les 27 États membres de l'UE et à toute entreprise traitant des données de résidents européens.

Qui est concerné par la LPD ?

Toute entreprise établie en Suisse traitant des données personnelles
Les entreprises étrangères dont le traitement produit des effets en Suisse
Les organisations à but non lucratif et associations
Les administrations publiques cantonales et fédérales

Qui est concerné par le RGPD ?

Toute entreprise établie dans l'UE
Toute entreprise (même suisse) qui offre des biens/services à des résidents UE
Toute entreprise qui surveille le comportement de résidents UE (analytics, cookies)

Concrètement : si ton site suisse vend en France, Allemagne ou Belgique, tu dois respecter les deux réglementations simultanément.

Les 7 différences majeures entre LPD et RGPD

Voici un tableau comparatif détaillé des points de divergence les plus importants pour une entreprise suisse :

Critère	LPD (Suisse)	RGPD (UE)
Personnes protégées	Uniquement personnes physiques	Uniquement personnes physiques
Base légale du traitement	Pas de liste exhaustive, principe de proportionnalité	6 bases légales strictes (art. 6)
Consentement	Requis pour données sensibles et profilage à risque élevé	Explicite, libre, éclairé et révocable pour de nombreux cas
DPO obligatoire	Non obligatoire (conseiller recommandé)	Obligatoire dans certains cas (art. 37)
Notification de violation	Au PFPDT « dans les meilleurs délais »	Dans les 72 heures à l'autorité
Sanctions maximales	250 000 CHF pour la personne physique responsable	20 M€ ou 4% CA mondial pour l'entreprise
Analyse d'impact (AIPD)	Obligatoire si risque élevé	Obligatoire si risque élevé (art. 35)

1. Les sanctions : personnelles vs corporatives

C'est LA différence la plus surprenante. Le RGPD frappe l'entreprise avec des amendes pouvant atteindre 4% du chiffre d'affaires mondial. La LPD, elle, sanctionne la personne physique responsable (dirigeant, DPO, responsable IT) jusqu'à 250 000 CHF.

Cela change radicalement l'approche : en Suisse, ce n'est pas la société qui paie, c'est toi personnellement si tu es le responsable désigné.

2. Le consentement : plus souple en Suisse

La LPD n'exige pas systématiquement un consentement explicite. Elle se base sur le principe de transparence et de proportionnalité. Le RGPD, à l'inverse, exige souvent un consentement clair, actif et documenté.

3. Le DPO (Data Protection Officer)

Le RGPD impose un DPO pour les autorités publiques et les traitements à grande échelle. La LPD parle de « conseiller à la protection des données », dont la désignation reste facultative mais fortement recommandée.

Les points communs entre LPD et RGPD

Bonne nouvelle : la nLPD a été largement inspirée du RGPD. Si tu es déjà conforme RGPD, tu es à 80% conforme LPD. Voici les principes partagés :

Principes de traitement : licéité, bonne foi, proportionnalité, exactitude
Droits des personnes concernées : accès, rectification, effacement, opposition, portabilité
Registre des activités de traitement obligatoire (avec exceptions pour PME de moins de 250 employés)
Privacy by design & by default intégrés
Notification des violations à l'autorité de contrôle
Encadrement des transferts internationaux vers des pays sans niveau de protection adéquat

Ce que doit faire concrètement une entreprise suisse en 2026

Voici une checklist pratique pour te mettre en conformité avec la LPD (et le RGPD si tu traites des données de résidents UE) :

Étape 1 : Cartographier tes traitements

Liste toutes les données personnelles que tu collectes : clients, prospects, employés, visiteurs du site. Pour chaque traitement, note :

La finalité (pourquoi tu collectes)
La base légale
Les catégories de données
La durée de conservation
Les destinataires (sous-traitants, hébergeurs)

Étape 2 : Mettre à jour ta politique de confidentialité

Ta politique doit désormais mentionner explicitement :

L'identité et coordonnées du responsable
Les finalités du traitement
Les destinataires ou catégories de destinataires
Les pays de destination en cas de transfert à l'étranger
Les droits des personnes concernées et comment les exercer

Étape 3 : Gérer les sous-traitants

Si tu utilises Google Analytics, Mailchimp, HubSpot ou tout outil SaaS qui traite des données, tu dois signer un contrat de sous-traitance (DPA). Vérifie aussi où sont hébergées les données. Les États-Unis, par exemple, sont considérés comme un pays sans niveau de protection adéquat, sauf via le Data Privacy Framework.

Étape 4 : Sécuriser techniquement

La sécurité est au cœur de la LPD. Prévois :

Chiffrement des données sensibles (en transit et au repos)
Authentification à deux facteurs pour tous les accès admin
Sauvegardes régulières et testées
Journalisation des accès
Formation régulière des équipes à la cybersécurité

Pour tes communications marketing, pense aussi à utiliser des outils qui respectent la vie privée. Par exemple, quand tu partages des liens dans tes newsletters ou sur les réseaux sociaux, un raccourcisseur d'URL respectueux comme Lunyb te permet de tracer tes clics sans collecter d'informations personnelles identifiables sur tes visiteurs.

Étape 5 : Préparer un plan de réponse aux incidents

En cas de violation de données, tu dois notifier le PFPDT (Préposé fédéral à la protection des données) « dans les meilleurs délais ». Prépare un modèle de notification, une procédure interne, et identifie les responsables.

Cas particuliers : les transferts de données Suisse-UE

La Suisse bénéficie d'une décision d'adéquation de la Commission européenne. Cela signifie que les données peuvent circuler librement entre la Suisse et l'UE sans garanties supplémentaires. C'est un énorme avantage pour les entreprises suisses.

Attention toutefois : cette adéquation est régulièrement réévaluée. La révision de la LPD en 2023 avait justement pour objectif de maintenir ce statut. En cas de perte, les entreprises suisses devraient mettre en place des clauses contractuelles types (CCT) pour chaque transfert vers l'UE.

Et vers les États-Unis ?

Depuis 2023, un nouveau cadre baptisé Swiss-US Data Privacy Framework permet certains transferts, à condition que l'entreprise américaine y soit certifiée. Vérifie systématiquement la certification de tes fournisseurs US.

Les erreurs fréquentes des PME suisses

Après avoir accompagné des dizaines d'entreprises helvétiques, voici les erreurs les plus courantes que je vois :

Croire que la LPD ne concerne que les grandes entreprises : faux, elle s'applique dès le premier traitement
Ne pas tenir de registre des activités : obligatoire même pour les PME dans certains cas
Utiliser Google Analytics sans configuration RGPD/LPD : anonymisation IP et consentement requis
Négliger les cookies : bandeau de consentement obligatoire avec refus aussi simple que l'acceptation
Ignorer les demandes d'accès : tu as 30 jours pour répondre à une demande de droit d'accès
Sous-estimer les risques liés au phishing et au vol de données : lis notre guide sur les QR codes dangereux pour former tes équipes

LPD et marketing : ce qui change vraiment

Le marketing digital est particulièrement impacté par ces deux réglementations. Voici les règles à retenir :

Email marketing (newsletter)

En Suisse, la LCD (Loi contre la concurrence déloyale) encadre déjà l'envoi de newsletters commerciales : opt-in requis, désinscription facile, identification claire de l'expéditeur. Le RGPD ajoute une couche : consentement libre, spécifique, éclairé et documenté.

Cookies et trackers

Contrairement au RGPD, la LPD n'impose pas explicitement un bandeau de consentement pour les cookies. Mais si tu vises aussi le marché européen, tu dois te conformer à la directive ePrivacy : bandeau avec choix granulaire, refus aussi facile que l'acceptation.

Profilage et publicité ciblée

La nLPD introduit la notion de « profilage à risque élevé », qui nécessite un consentement explicite. Si tu utilises des outils de retargeting comme Meta Pixel ou Google Ads, la vigilance s'impose.

N'oublie pas que les données collectées peuvent finir chez des courtiers en données, ce qui expose tes clients à des risques supplémentaires.

Comparaison rapide : quand appliquer quoi ?

Situation	Réglementation applicable
Entreprise suisse, clients uniquement suisses	LPD uniquement
Entreprise suisse, clients suisses + UE	LPD + RGPD
Entreprise suisse, site accessible en Europe	LPD + RGPD (si ciblage UE)
Entreprise UE avec bureau en Suisse	RGPD + LPD pour les traitements locaux
Employeur suisse avec employés frontaliers (FR/DE/IT)	LPD + RGPD pour les données des frontaliers

Conclusion : la conformité comme opportunité

La LPD et le RGPD ne sont pas juste des contraintes administratives. Bien menée, la conformité devient un avantage concurrentiel : elle rassure tes clients, renforce ta réputation et diminue les risques opérationnels.

Pour aller plus loin, tu peux consulter notre guide complet sur la vie privée en ligne qui donne des conseils applicables aux entreprises comme aux particuliers.

Le mot d'ordre : commence petit, documente tout, forme tes équipes. Et n'oublie pas : en Suisse, c'est toi personnellement qui risques l'amende. Raison suffisante pour prendre le sujet au sérieux.

FAQ : LPD vs RGPD pour les entreprises suisses

Une PME suisse doit-elle nommer un DPO ?

Non, la LPD ne rend pas obligatoire la nomination d'un conseiller à la protection des données. Cependant, elle est fortement recommandée dès que ton entreprise traite des données à grande échelle ou des données sensibles (santé, opinions politiques, données biométriques).

Quelle est la sanction maximale prévue par la LPD ?

La LPD prévoit une amende pouvant atteindre 250 000 CHF, mais elle vise la personne physique responsable (dirigeant, DPO, responsable technique) et non l'entreprise. C'est une spécificité suisse importante qui responsabilise directement les décideurs.

Mon site suisse doit-il afficher un bandeau cookies ?

La LPD ne l'impose pas explicitement, mais si ton site est accessible depuis l'UE ou cible des clients européens, le RGPD et la directive ePrivacy exigent un bandeau avec consentement granulaire et refus aussi facile que l'acceptation. En pratique, mieux vaut installer un vrai bandeau conforme.

Combien de temps ai-je pour répondre à une demande d'accès ?

Sous la LPD comme sous le RGPD, tu disposes de 30 jours pour répondre à une demande d'exercice des droits (accès, rectification, effacement). Ce délai peut être prolongé de 2 mois en cas de complexité, à condition d'en informer la personne concernée.

Comment notifier une violation de données au PFPDT ?

La notification se fait via le portail en ligne du PFPDT (Préposé fédéral à la protection des données et à la transparence) « dans les meilleurs délais ». Tu dois décrire la nature de la violation, les catégories de données touchées, le nombre de personnes concernées, les mesures prises et les conséquences probables.