LPD vs RGPD : Différences Clés pour les Entreprises Suisses en 2026

Depuis l'entrée en vigueur de la nouvelle Loi fédérale sur la protection des données (nLPD) le 1er septembre 2023, les entreprises suisses doivent jongler avec deux cadres juridiques majeurs : la LPD helvétique et le RGPD européen. Si les deux textes partagent une philosophie commune — protéger les données personnelles des individus — leurs exigences diffèrent sur de nombreux points pratiques. Et pour une PME suisse qui vend aussi en France, en Allemagne ou en Italie, comprendre ces nuances n'est plus optionnel : c'est une question de conformité et de réputation.

Dans ce guide complet, on décortique les différences réelles entre la LPD et le RGPD, les obligations spécifiques pour les entreprises basées en Suisse, et les bonnes pratiques pour rester conforme sans transformer ton quotidien en cauchemar administratif.

LPD et RGPD : définitions et contexte

La nLPD (nouvelle Loi fédérale sur la protection des données) est la législation suisse révisée, entrée en vigueur le 1er septembre 2023. Elle remplace l'ancienne LPD de 1992 et vise à aligner partiellement la Suisse sur les standards européens tout en conservant certaines spécificités helvétiques.

Le RGPD (Règlement Général sur la Protection des Données) est le règlement européen entré en application le 25 mai 2018. Il s'applique à toute organisation traitant les données de résidents de l'Union européenne, qu'elle soit ou non établie dans l'UE.

Les deux textes partagent les mêmes grands principes : licéité du traitement, minimisation des données, transparence, droits des personnes concernées. Mais le diable, comme toujours, se cache dans les détails.

Pourquoi une entreprise suisse doit s'intéresser aux deux

Même si ton entreprise est basée à Genève, Zurich ou Lausanne, le RGPD peut s'appliquer à toi dans trois cas de figure :

Tu offres des biens ou services à des personnes situées dans l'UE (même gratuitement).
Tu surveilles le comportement de personnes dans l'UE (cookies, tracking analytique).
Tu as une filiale, un bureau ou un établissement dans l'UE.

Autrement dit : si ton site e-commerce suisse livre à Lyon ou si tu utilises Google Analytics pour tracker des visiteurs allemands, le RGPD te concerne directement — en plus de la nLPD.

Les différences majeures entre LPD et RGPD

Champ d'application territorial

La nLPD s'applique aux traitements de données qui produisent leurs effets en Suisse, même si le responsable du traitement est à l'étranger. Le RGPD, lui, suit un principe extraterritorial basé sur la localisation des personnes concernées.

Conséquence pratique : une entreprise française qui vise le marché suisse doit respecter la nLPD, et une entreprise suisse qui vise le marché européen doit respecter le RGPD. C'est une double contrainte à anticiper.

Données sensibles : des définitions différentes

La nLPD intègre dans les données sensibles des catégories que le RGPD ne couvre pas explicitement, notamment :

Les données sur les poursuites et sanctions administratives et pénales
Les données sur les mesures d'aide sociale
Les données génétiques et biométriques identifiant une personne de manière univoque

Le RGPD, de son côté, inclut explicitement l'orientation sexuelle dans les données sensibles — ce que la nLPD fait aussi désormais.

Délégué à la protection des données (DPO vs conseiller)

Le RGPD impose la nomination d'un DPO (Data Protection Officer) dans trois cas : autorité publique, suivi régulier et systématique à grande échelle, ou traitement à grande échelle de données sensibles.

La nLPD, elle, est plus souple : la désignation d'un conseiller à la protection des données est facultative pour les entreprises privées. Elle apporte toutefois un avantage concret : elle permet de se dispenser de la consultation préalable du PFPDT en cas d'analyse d'impact révélant un risque élevé.

Analyse d'impact (AIPD)

Les deux textes exigent une analyse d'impact relative à la protection des données lorsque le traitement présente un risque élevé. Les critères et seuils sont globalement similaires, mais le RGPD impose une consultation préalable obligatoire de la CNIL ou autorité équivalente, alors que la nLPD prévoit la consultation du PFPDT uniquement si aucun conseiller interne n'est désigné.

Notification des violations de données

Le RGPD impose une notification à l'autorité de contrôle dans un délai strict de 72 heures après la découverte d'une violation. La nLPD exige une notification « dans les meilleurs délais », formulation plus floue mais potentiellement tout aussi exigeante en pratique.

Pour les personnes concernées, la nLPD n'impose la notification que si c'est nécessaire à leur protection ou si le PFPDT l'exige, tandis que le RGPD la rend obligatoire dès qu'il y a un risque élevé.

Comparatif détaillé LPD vs RGPD

Critère	nLPD (Suisse)	RGPD (UE)
Entrée en vigueur	1er septembre 2023	25 mai 2018
Autorité de contrôle	PFPDT	CNIL (France), autorités nationales UE
Sanctions maximales	CHF 250'000 (personne physique responsable)	20 M€ ou 4 % du CA mondial
Qui est sanctionné ?	Personne physique responsable	Entreprise (personne morale)
DPO obligatoire	Non (conseiller facultatif)	Oui dans certains cas
Registre des traitements	Obligatoire (dispense pour PME <250 employés sans risque élevé)	Obligatoire (dispense similaire)
Délai notification violation	« Dans les meilleurs délais »	72 heures
Consentement	Pas toujours requis (intérêt légitime souvent suffisant)	Requis dans de nombreux cas, strictement encadré
Droit à la portabilité	Oui (droit à la remise ou transmission)	Oui
Profilage à haut risque	Notion spécifique à la nLPD	Encadré via décision automatisée

Les sanctions : un système radicalement différent

C'est probablement la différence la plus frappante entre les deux textes. Le RGPD peut infliger des amendes administratives massives directement à l'entreprise : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé.

La nLPD, elle, fonctionne sur un modèle pénal : ce sont les personnes physiques responsables (dirigeants, responsables de traitement) qui peuvent être condamnées à des amendes allant jusqu'à 250'000 francs suisses. L'entreprise elle-même n'est sanctionnée que si l'identification de la personne responsable nécessiterait des mesures d'instruction disproportionnées, et dans ce cas l'amende est plafonnée à 50'000 CHF.

Autrement dit : en Suisse, c'est ton directeur IT ou toi-même en tant que CEO qui risques l'amende, pas l'entreprise. Cette approche personnelle change radicalement la perception du risque chez les dirigeants.

Obligations concrètes pour une entreprise suisse

1. Tenir un registre des activités de traitement

Que tu sois soumis à la nLPD, au RGPD ou aux deux, tu dois documenter tous tes traitements de données : finalités, catégories de données, destinataires, durées de conservation, mesures de sécurité. Les PME de moins de 250 collaborateurs qui ne traitent pas de données à risque élevé peuvent en être dispensées en Suisse, mais autant la tenir : c'est un filet de sécurité en cas de contrôle.

2. Mettre à jour ta politique de confidentialité

La nLPD renforce les obligations d'information. Ta politique de confidentialité doit désormais mentionner clairement :

L'identité et les coordonnées du responsable du traitement
La finalité du traitement
Les destinataires des données (y compris les sous-traitants étrangers)
Les pays tiers vers lesquels les données sont transférées
Les droits des personnes concernées

Si tu es également soumis au RGPD, prévois une version bilingue ou une mention spécifique pour les visiteurs européens.

3. Encadrer les transferts internationaux

La nLPD maintient une liste des pays offrant un niveau de protection adéquat (publiée par le Conseil fédéral). Pour les transferts vers les États-Unis, le Swiss-US Data Privacy Framework est désormais reconnu depuis septembre 2024, à condition que l'entreprise destinataire y soit certifiée.

Si tu utilises des outils américains (Google Workspace, Microsoft 365, HubSpot...), vérifie leur certification et documente les garanties contractuelles en place.

4. Mettre en place le « privacy by design »

Les deux textes imposent de concevoir tes produits et services en intégrant la protection des données dès le départ. Concrètement : minimiser les données collectées, chiffrer par défaut, limiter les accès internes, prévoir des durées de conservation réalistes.

Pour les liens marketing, par exemple, utiliser un service de raccourcissement d'URL respectueux de la vie privée comme Lunyb permet de garder le contrôle sur les données de tracking plutôt que de les confier à un acteur tiers hors de ta juridiction. Pour aller plus loin, consulte notre guide pour créer des liens courts personnalisés.

5. Former ton équipe

Rien ne sert d'avoir une politique parfaite si tes collaborateurs envoient encore des fichiers Excel contenant des données clients par email non chiffré. Une formation annuelle de base (1 à 2 heures) suffit à sensibiliser la majorité des équipes aux réflexes essentiels.

Cas pratiques : qui s'applique à qui ?

Cas 1 : PME suisse vendant uniquement en Suisse

Seule la nLPD s'applique. Tu dois tenir ton registre, publier une politique de confidentialité conforme et notifier les violations au PFPDT. Pas besoin de DPO, mais désigner un conseiller interne est une bonne pratique.

Cas 2 : E-commerce suisse livrant dans l'UE

Double conformité nLPD + RGPD. Tu dois notamment désigner un représentant dans l'UE (sauf exceptions pour traitements occasionnels), notifier les violations dans les 72 heures aux autorités concernées, et gérer les demandes RGPD (accès, suppression, portabilité).

Cas 3 : SaaS suisse B2B avec clients européens

Même situation que le cas 2, avec une attention particulière aux contrats de sous-traitance (DPA) à conclure avec chaque client européen, et à la documentation des transferts internationaux si tu héberges les données hors Suisse ou UE.

Les écueils à éviter

Croire que la nLPD est « RGPD light » : elle a ses propres spécificités, notamment sur les sanctions pénales et le profilage à haut risque.
Oublier le registre des traitements : même les PME devraient le tenir pour se protéger en cas de contrôle ou d'incident.
Négliger les sous-traitants : chaque prestataire traitant des données personnelles doit être encadré par un contrat précisant les obligations respectives.
Mal gérer les cookies : si tu cibles des visiteurs européens, le consentement explicite est obligatoire. En Suisse, c'est plus souple mais la transparence reste de mise.
Confondre anonymisation et pseudonymisation : seule la vraie anonymisation (irréversible) fait sortir les données du champ des deux lois.

Bonnes pratiques pour une double conformité efficace

Si ton entreprise doit respecter les deux cadres, la stratégie la plus simple consiste à aligner tes pratiques sur le niveau le plus exigeant — généralement le RGPD. Tu seras automatiquement conforme à la nLPD sur la plupart des points.

Quelques réflexes à adopter :

Cartographier tous tes traitements et flux de données
Identifier systématiquement la base légale de chaque traitement
Automatiser l'exercice des droits (accès, suppression) via un portail dédié
Chiffrer les données au repos et en transit
Auditer tes sous-traitants au moins une fois par an
Mettre en place un plan de réponse aux incidents testé régulièrement

Pour approfondir le sujet de la protection des données dans l'espace francophone, notre guide complet sur la protection des données en France complète utilement cet article. Et si tu te demandes qui collecte et revend tes informations en coulisses, jette un œil à notre analyse sur les courtiers en données.

FAQ : LPD vs RGPD en Suisse

Mon entreprise suisse doit-elle vraiment se soucier du RGPD ?

Oui, dès que tu offres des produits ou services à des résidents de l'UE, ou que tu surveilles leur comportement en ligne (analytics, cookies). Même une boutique en ligne basée à Lausanne qui livre à Paris est concernée par le RGPD.

Quelles sont les sanctions concrètes en cas de non-conformité à la nLPD ?

Les amendes peuvent atteindre 250'000 CHF, mais surtout elles visent les personnes physiques responsables (dirigeants, responsables de traitement), pas l'entreprise elle-même. C'est une spécificité suisse qui responsabilise directement le management.

Faut-il désigner un délégué à la protection des données en Suisse ?

Non, c'est facultatif pour les entreprises privées. Mais désigner un conseiller à la protection des données présente plusieurs avantages : expertise interne, dispense de consultation préalable du PFPDT en cas d'analyse d'impact à risque, et crédibilité renforcée auprès des clients.

Comment gérer les transferts de données vers les États-Unis ?

Depuis septembre 2024, le Swiss-US Data Privacy Framework est reconnu comme offrant un niveau de protection adéquat. Vérifie que ton prestataire américain y est certifié. Sinon, utilise des clauses contractuelles types et documente les mesures techniques supplémentaires (chiffrement, pseudonymisation).

La nLPD impose-t-elle le consentement pour les cookies ?

La nLPD ne crée pas d'obligation stricte de consentement pour les cookies, contrairement à la directive ePrivacy européenne. Mais si ton site cible aussi des visiteurs européens, le consentement explicite reste obligatoire. En pratique, la plupart des sites suisses adoptent une bannière conforme RGPD pour simplifier.