LPD vs RGPD : Différences Clés pour les Entreprises Suisses en 2026

Depuis le 1er septembre 2023, la nouvelle Loi fédérale sur la protection des données (nLPD) a profondément transformé le paysage juridique suisse. Si tu diriges une entreprise en Suisse, tu te demandes probablement : faut-il appliquer la LPD, le RGPD, ou les deux ? Et surtout, quelles sont les vraies différences entre ces deux cadres réglementaires ?

Dans ce guide, on va décortiquer ensemble les points de convergence et de divergence entre la LPD suisse et le RGPD européen, pour que tu saches exactement quoi faire en pratique.

LPD et RGPD : définitions rapides

La LPD (Loi sur la Protection des Données) est la législation suisse qui encadre le traitement des données personnelles sur le territoire helvétique. Sa version révisée (nLPD) est entrée en vigueur le 1er septembre 2023.

Le RGPD (Règlement Général sur la Protection des Données) est le règlement européen en vigueur depuis le 25 mai 2018, applicable à tous les États membres de l'UE et, par extraterritorialité, à de nombreuses entreprises hors UE.

Bonne nouvelle : la nLPD a été largement inspirée du RGPD, ce qui facilite la mise en conformité pour les entreprises déjà alignées avec le droit européen. Mais attention, ce n'est pas une copie carbone — il reste des différences majeures à connaître.

Pourquoi la Suisse a dû réviser sa LPD ?

La LPD originale datait de 1992, autant dire une éternité à l'ère du numérique. Trois raisons principales ont poussé la révision :

Maintenir la décision d'adéquation accordée par la Commission européenne, qui permet des échanges de données fluides entre la Suisse et l'UE.
S'adapter aux nouvelles technologies : intelligence artificielle, big data, profilage automatisé, etc.
Renforcer les droits des personnes concernées et imposer plus de responsabilités aux entreprises.

Sans cette révision, la Suisse risquait de perdre son statut de pays tiers « adéquat » aux yeux de l'UE, ce qui aurait compliqué considérablement les flux de données transfrontaliers.

Comparatif détaillé : LPD vs RGPD

Voici un tableau comparatif qui résume les principales différences entre les deux cadres réglementaires :

Critère	LPD (Suisse)	RGPD (UE)
Date d'entrée en vigueur	1er septembre 2023	25 mai 2018
Champ d'application	Personnes physiques uniquement	Personnes physiques uniquement
Autorité de contrôle	PFPDT (Préposé fédéral)	CNIL (France) et équivalents
Sanctions maximales	250 000 CHF (personne physique)	20 M€ ou 4% du CA mondial
Responsable de la sanction	Personne physique responsable	Entreprise
DPO/CPD obligatoire	Recommandé, non obligatoire	Obligatoire dans certains cas
Notification de violation	« Dès que possible »	72 heures
Analyse d'impact (AIPD)	Obligatoire si risque élevé	Obligatoire si risque élevé
Consentement explicite	Requis pour données sensibles	Requis plus largement
Registre des traitements	Obligatoire (sauf PME < 250 employés avec faible risque)	Obligatoire (sauf PME < 250 employés avec faible risque)

Les 7 différences majeures à retenir

1. Les sanctions visent les personnes, pas les entreprises

C'est LA différence la plus surprenante. Alors que le RGPD sanctionne les entreprises avec des amendes pouvant atteindre 4% du chiffre d'affaires mondial, la LPD suisse sanctionne la personne physique responsable du manquement, avec des amendes jusqu'à 250 000 CHF.

Concrètement, cela signifie que le dirigeant, le responsable informatique ou le responsable de la conformité peut être personnellement condamné. Ça change radicalement la responsabilité individuelle.

2. Les données des personnes morales ne sont plus protégées

Avant la révision, la LPD protégeait aussi les données des entreprises. Désormais, comme le RGPD, elle ne concerne que les personnes physiques. Un alignement bienvenu pour simplifier la vie des entreprises internationales.

3. Définition élargie des données sensibles

La nLPD a élargi la définition des données sensibles pour inclure :

Les données génétiques
Les données biométriques identifiant une personne
Les données sur les poursuites et sanctions administratives/pénales

C'est aligné avec le RGPD, mais la gestion de ces données requiert désormais des mesures de sécurité renforcées en Suisse.

4. Notification des violations : plus de flou

Le RGPD impose une notification sous 72 heures à l'autorité de contrôle. La LPD, elle, demande une notification « dès que possible » au PFPDT, sans délai chiffré précis. Mais ne t'y trompe pas : « dès que possible » signifie généralement sous quelques jours maximum.

5. Le registre des activités de traitement

Les deux textes imposent un registre, mais la LPD accorde une exemption aux PME de moins de 250 employés dont les traitements présentent un risque faible pour les personnes concernées. Le RGPD a une exemption similaire mais plus stricte en pratique.

6. Transferts internationaux de données

Pour transférer des données vers des pays non adéquats, la LPD exige des garanties similaires au RGPD (clauses contractuelles types, règles d'entreprise contraignantes, etc.). Le Conseil fédéral tient à jour la liste des pays considérés comme adéquats.

7. Profilage à haut risque

La LPD introduit la notion de « profilage à haut risque », qui nécessite un consentement exprès. Le RGPD parle plutôt de « décisions automatisées » avec des règles strictes. Les deux visent le même objectif mais avec des approches légèrement différentes.

Quelle loi s'applique à ton entreprise ?

C'est la question qui fâche. La réponse courte : souvent les deux. Voici les cas de figure :

Entreprise suisse uniquement, clients suisses

→ LPD applicable. Pas de RGPD si tu ne vises pas le marché européen.

Entreprise suisse avec clients dans l'UE

→ LPD + RGPD. Dès que tu offres des biens/services à des personnes en UE ou que tu surveilles leur comportement, le RGPD s'applique par extraterritorialité.

Entreprise européenne avec clients en Suisse

→ RGPD + LPD. Tu dois respecter la LPD pour tes traitements concernant des personnes en Suisse.

Entreprise hors UE/Suisse

→ Selon ton marché cible et où se trouvent les personnes concernées.

La bonne nouvelle : si tu es déjà conforme au RGPD, tu es à 90% conforme à la LPD. Les 10% restants concernent surtout les spécificités suisses (langues officielles, PFPDT, droit suisse applicable aux contrats).

Checklist de conformité LPD en 10 étapes

Cartographier les données : identifier quelles données personnelles tu collectes, pourquoi et où elles sont stockées.
Créer un registre des traitements (sauf exemption PME).
Mettre à jour la politique de confidentialité avec un langage clair et accessible.
Obtenir les consentements valides, surtout pour les données sensibles et le profilage à haut risque.
Mettre en place des mesures techniques : chiffrement, pseudonymisation, contrôle d'accès.
Former les équipes aux bonnes pratiques et aux obligations légales.
Établir une procédure de gestion des violations pour notifier rapidement le PFPDT.
Vérifier les sous-traitants et formaliser les relations par contrat.
Encadrer les transferts internationaux avec les garanties appropriées.
Réaliser des analyses d'impact pour les traitements à risque élevé.

Les erreurs classiques à éviter

Beaucoup d'entreprises suisses tombent dans les mêmes pièges. Voici les plus fréquents :

Croire que la LPD est optionnelle parce que l'entreprise est petite. Faux : toutes les entreprises sont concernées, seules certaines obligations varient selon la taille.
Copier-coller une politique RGPD sans l'adapter au contexte suisse (références à la CNIL au lieu du PFPDT, etc.).
Oublier les données collectées via des outils tiers comme les URL raccourcies, les formulaires embarqués ou les plugins marketing. D'ailleurs, pour tes campagnes qui nécessitent du tracking respectueux de la vie privée, un service comme Lunyb permet de raccourcir des URL sans collecter de données personnelles identifiantes.
Négliger les sous-traitants et leurs propres pratiques de sécurité.
Sous-estimer les risques de courtiers en données qui pourraient revendre les informations collectées. On en parle dans notre article sur les courtiers en données qui vendent tes infos personnelles.

Les droits renforcés des personnes concernées

La nLPD renforce les droits des personnes, en alignement avec le RGPD :

Droit d'accès

Toute personne peut demander quelles données la concernent, à qui elles ont été transmises, et dans quel but.

Droit à la rectification et à l'effacement

Si les données sont inexactes ou traitées illicitement, la personne peut exiger leur correction ou suppression.

Droit à la portabilité

Nouveauté importante de la nLPD : la personne peut demander à récupérer ses données dans un format structuré et exploitable.

Droit d'opposition

Possibilité de s'opposer au traitement, notamment pour des finalités de marketing direct ou de profilage.

Sécuriser les données au quotidien : bonnes pratiques

La conformité juridique c'est bien, mais la sécurité technique c'est indispensable. Quelques pratiques essentielles :

Utiliser des mots de passe forts et uniques, idéalement avec un gestionnaire
Activer l'authentification à deux facteurs partout où c'est possible
Chiffrer les disques durs et les communications sensibles
Sensibiliser les employés aux attaques de phishing et aux QR codes dangereux
Mettre en place une politique de gestion des appels et sollicitations non désirées
Faire des sauvegardes régulières et tester leur restauration
Encadrer le partage de données de localisation dans les applications professionnelles

Combien coûte la non-conformité ?

Au-delà des 250 000 CHF d'amende individuelle, les conséquences financières d'un manquement peuvent être lourdes :

Perte de confiance des clients et partenaires
Coûts de remédiation suite à une violation de données
Actions civiles des personnes concernées
Atteinte à la réputation suite à une publication par le PFPDT
Blocage des flux de données avec l'UE en cas de perte d'adéquation

Investir dans la conformité, c'est aussi investir dans la pérennité de ton business.

FAQ : LPD vs RGPD

Mon entreprise suisse vend uniquement en Suisse. Dois-je appliquer le RGPD ?

Non, pas directement. Si tu ne vises aucun client dans l'UE et que tu ne surveilles pas le comportement de personnes européennes, le RGPD ne s'applique pas. En revanche, dès qu'un site web est accessible depuis l'UE et propose des services ciblant les Européens (prix en euros, livraison en UE, etc.), le RGPD s'applique.

Faut-il nommer un DPO en Suisse ?

La LPD ne rend pas obligatoire la nomination d'un Conseiller à la Protection des Données (CPD), équivalent du DPO. C'est cependant fortement recommandé, surtout pour les entreprises traitant des volumes importants de données ou des données sensibles. Si tu es soumis au RGPD en parallèle, l'obligation RGPD s'applique.

Quelle est la différence entre le PFPDT et la CNIL ?

Le PFPDT (Préposé Fédéral à la Protection des Données et à la Transparence) est l'autorité de contrôle suisse, équivalente de la CNIL française. Ses pouvoirs ont été renforcés par la nLPD, mais restent moins étendus que ceux de la CNIL en matière de sanctions directes aux entreprises.

Un consentement RGPD est-il valable pour la LPD ?

Dans la majorité des cas, oui. Les exigences de la LPD en matière de consentement sont très proches de celles du RGPD. Attention cependant à bien mentionner les spécificités suisses dans tes mentions légales (droit applicable, for juridique, référence au PFPDT, etc.).

Quelles sanctions concrètes risque un dirigeant en cas de violation ?

Un dirigeant peut encourir une amende personnelle allant jusqu'à 250 000 CHF en cas de violation intentionnelle de certaines obligations de la LPD (défaut d'information, non-respect des exigences de sécurité, violation du secret professionnel, etc.). Cette responsabilité personnelle est unique dans le paysage européen et pousse à prendre la conformité très au sérieux.

Conclusion

La LPD et le RGPD partagent une philosophie commune : protéger les personnes et responsabiliser les entreprises. Si les grandes lignes se recoupent (consentement, droits des personnes, registre des traitements, notifications de violation), les différences dans les sanctions et certaines modalités pratiques méritent toute ton attention.

Pour une entreprise suisse, la meilleure stratégie est souvent de viser une conformité RGPD complète, qui couvre automatiquement la quasi-totalité des exigences LPD, tout en ajoutant les spécificités helvétiques (PFPDT, langues officielles, droit suisse). C'est un investissement initial, mais c'est aussi un formidable argument commercial à l'ère où la protection des données devient un critère de choix pour les clients.

N'attends pas une violation ou un contrôle pour agir : la conformité se construit sereinement en amont, pas dans l'urgence.