LPD vs RGPD : Différences Clés pour les Entreprises Suisses en 2026

Depuis le 1er septembre 2023, la nouvelle Loi fédérale sur la protection des données (nLPD) est entrée en vigueur en Suisse. Officiellement, elle vise à moderniser le cadre suisse et à le rapprocher du Règlement général sur la protection des données (RGPD) européen. Mais concrètement, les deux textes restent différents sur des points cruciaux, et beaucoup d'entreprises suisses se demandent encore lequel s'applique à leur activité, quelles obligations respecter et quelles sanctions risquer.

Dans ce guide, on décortique la LPD et le RGPD côte à côte, avec des exemples concrets pour les PME suisses, les startups et les indépendants. L'objectif : que tu saches exactement quoi faire pour être conforme, sans te noyer dans le jargon juridique.

LPD et RGPD : définitions rapides

La LPD (Loi fédérale sur la protection des données) est la loi suisse qui encadre le traitement des données personnelles par les entreprises privées et les organes fédéraux. Sa version révisée (nLPD) s'applique depuis septembre 2023.

Le RGPD (Règlement général sur la protection des données) est le règlement européen adopté en 2016 et applicable depuis mai 2018. Il régit le traitement des données personnelles des résidents de l'Union européenne.

Les deux textes partagent une philosophie commune : donner aux individus le contrôle sur leurs données personnelles et responsabiliser les entreprises qui les traitent. Mais leur champ d'application, leurs exigences détaillées et leurs sanctions divergent.

Quelle loi s'applique à ton entreprise suisse ?

C'est LA question qui revient tout le temps. Voici comment y répondre en trois étapes :

Ton entreprise est établie en Suisse ? La LPD s'applique automatiquement à tous tes traitements de données.
Tu proposes des biens/services à des personnes dans l'UE, ou tu surveilles leur comportement ? Le RGPD s'applique aussi, en plus de la LPD (principe d'extraterritorialité).
Tu traites uniquement des données de clients suisses depuis la Suisse ? Seule la LPD s'applique.

Exemple concret : une boutique en ligne genevoise qui vend en France et en Allemagne est soumise aux deux réglementations. Un cabinet comptable à Lausanne servant uniquement une clientèle suisse ne relève que de la LPD.

Tableau comparatif : LPD vs RGPD

Critère	LPD (Suisse)	RGPD (UE)
Entrée en vigueur	1er septembre 2023 (nLPD)	25 mai 2018
Autorité de contrôle	PFPDT (Préposé fédéral)	Autorités nationales (CNIL en France)
Sanctions maximales	250 000 CHF (amende pénale visant la personne responsable)	20 M€ ou 4% du CA mondial
Personnes protégées	Personnes physiques uniquement	Personnes physiques uniquement
Données des personnes morales	Non couvertes (nouveauté nLPD)	Non couvertes
DPO obligatoire	Recommandé, non obligatoire	Obligatoire dans certains cas
Registre des traitements	Obligatoire (sauf PME < 250 employés sans risque élevé)	Obligatoire (mêmes exemptions)
Notification de violation	Dès que possible (pas de délai fixe)	Dans les 72 heures
Analyse d'impact (AIPD)	Obligatoire si risque élevé	Obligatoire si risque élevé
Consentement	Nécessaire pour données sensibles / profilage à risque	Base légale parmi d'autres, très encadré

Les 7 différences clés à retenir

1. La nature des sanctions

C'est probablement la différence la plus commentée. Le RGPD prévoit des amendes administratives qui peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial (le montant le plus élevé). La LPD, elle, mise sur des sanctions pénales dirigées contre les personnes physiques responsables (dirigeants, DPO) jusqu'à 250 000 CHF.

En pratique, cela signifie qu'en Suisse, c'est le CEO ou le responsable de la conformité qui risque personnellement l'amende, pas l'entreprise. Ça change la donne psychologiquement.

2. Le champ d'application aux personnes morales

Grande nouveauté de la nLPD : contrairement à l'ancienne loi suisse, la nLPD ne protège plus que les personnes physiques. Les données concernant les entreprises (personnes morales) ne sont plus couvertes. C'est un alignement bienvenu avec le RGPD.

3. Les données sensibles

La LPD élargit la définition des données sensibles en y ajoutant les données génétiques et biométriques permettant d'identifier une personne. Elle inclut aussi les données sur les mesures d'aide sociale, ce qui est spécifique à la Suisse. Le RGPD couvre également ces catégories mais avec des nuances (opinions politiques, appartenance syndicale, etc.).

4. Le délai de notification des violations

Le RGPD est strict : 72 heures maximum pour notifier une violation de données à l'autorité de contrôle. La LPD est plus souple : elle demande une notification au PFPDT « dès que possible », sans délai précis. Attention, « dès que possible » ne veut pas dire « quand tu as le temps » — les tribunaux interpréteront ça strictement.

5. Le Data Protection Officer (DPO)

Sous RGPD, la désignation d'un DPO est obligatoire pour les autorités publiques et les organisations qui traitent des données à grande échelle ou des données sensibles. Sous LPD, la nomination d'un « conseiller à la protection des données » est recommandée mais pas obligatoire. Elle offre néanmoins des avantages, notamment en cas d'analyse d'impact.

6. Le profilage à risque élevé

La LPD introduit une notion spécifique : le « profilage à risque élevé », qui déclenche des obligations renforcées (consentement explicite, AIPD). Le RGPD parle plutôt de « décision automatisée » et de profilage en général. La formulation suisse est plus restrictive dans sa portée mais plus stricte dans ses exigences.

7. Les transferts internationaux

Les deux textes encadrent strictement les transferts hors de leur juridiction. Le Conseil fédéral publie une liste des pays offrant un niveau de protection adéquat (l'UE en fait partie). Pour les transferts vers d'autres pays (USA, notamment), il faut recourir à des clauses contractuelles types ou des règles d'entreprise contraignantes, comme sous le RGPD.

Checklist de conformité LPD pour les PME suisses

Voici les étapes concrètes à suivre pour te mettre en conformité :

Cartographier tes traitements de données : quelles données tu collectes, pourquoi, où elles sont stockées, qui y a accès.
Tenir un registre des activités de traitement (sauf exemption PME).
Rédiger une politique de confidentialité claire, accessible et à jour, sur ton site web.
Obtenir le consentement quand nécessaire, notamment pour les cookies non essentiels et les données sensibles.
Mettre en place des mesures de sécurité techniques et organisationnelles : chiffrement, contrôle d'accès, sauvegardes.
Prévoir une procédure en cas de violation de données : qui contacter, quand, comment.
Former ton équipe à la protection des données, au minimum une fois par an.
Vérifier tes contrats avec les sous-traitants (hébergeurs, outils SaaS) : clauses conformes à la LPD.
Répondre aux demandes d'accès, de rectification et de suppression dans un délai raisonnable (30 jours en pratique).
Réaliser une analyse d'impact pour les traitements à risque élevé.

Pour les aspects techniques, notamment le chiffrement de bout en bout, il est essentiel de comprendre comment protéger réellement les données sensibles que tu manipules.

Cas pratique : une PME suisse type

Prenons l'exemple de « Café des Alpes SA », une chaîne de cafés à Zurich et Berne avec 45 employés et un programme de fidélité en ligne. Quels sont ses obligations ?

LPD applicable : oui, entreprise établie en Suisse.
RGPD applicable : uniquement si des clients européens s'inscrivent au programme de fidélité.
Registre des traitements : recommandé, même si l'exemption PME pourrait s'appliquer (moins de 250 employés, pas de traitement à risque élevé).
DPO : non obligatoire, mais désigner un responsable interne est pertinent.
Politique de confidentialité : obligatoire sur le site web et lors de l'inscription au programme.
Cookies : bandeau de consentement pour les cookies analytiques et marketing.
Sous-traitants : vérifier que le CRM et le prestataire d'emailing offrent des garanties suffisantes.

Outils et bonnes pratiques pour la conformité

Au-delà des obligations légales, la conformité LPD/RGPD est aussi une question d'outils et de culture d'entreprise.

Réduire la collecte au strict nécessaire

Le principe de minimisation des données est central dans les deux textes. Demande-toi systématiquement : ai-je vraiment besoin de cette information ? Un formulaire de contact n'a pas besoin de la date de naissance ni du numéro de téléphone si l'échange se fait par email.

Sécuriser les liens et documents partagés

Quand tu partages des ressources en ligne (documents, campagnes, promotions), utilise des outils qui respectent la confidentialité. Un raccourcisseur de liens comme Lunyb permet par exemple de créer des liens courts avec statistiques anonymisées et sans revente de données à des tiers publicitaires. C'est un détail qui compte quand tu compares les différents raccourcisseurs disponibles en 2026.

QR codes et RGPD/LPD

Les QR codes utilisés dans le marketing (menus de restaurant, campagnes print) collectent souvent des données de scan. Assure-toi que ton fournisseur ne conserve pas de données identifiantes. On explique les bonnes pratiques dans notre guide sur la création de QR codes sécurisés.

Surveillance des courtiers en données

Beaucoup d'entreprises ignorent que leurs propres données professionnelles circulent parfois via des courtiers en données. Vérifie régulièrement ce qui se dit et se vend sur ton entreprise et ses dirigeants.

Les erreurs fréquentes des entreprises suisses

Voici les pièges qu'on voit le plus souvent lors d'audits de conformité :

Penser qu'être une PME dispense de tout : l'exemption ne concerne que le registre, pas l'ensemble des obligations.
Copier-coller une politique de confidentialité RGPD sans l'adapter au contexte suisse (mention du PFPDT, référence à la LPD).
Négliger les sous-traitants : ton hébergeur, ton outil de newsletter, ton CRM doivent tous offrir des garanties documentées.
Oublier les employés : les données RH sont soumises à la LPD au même titre que celles des clients.
Ne pas documenter : la LPD exige de pouvoir prouver ta conformité (principe d'accountability).

Pour aller plus loin sur les aspects individuels, consulte notre guide sur comment protéger sa vie privée en ligne en 2026.

FAQ : LPD vs RGPD

Une entreprise suisse doit-elle appliquer le RGPD ?

Oui, si elle propose des biens ou services à des personnes situées dans l'UE, ou si elle surveille leur comportement (par exemple via des cookies de tracking). Dans ce cas, elle doit respecter à la fois la LPD et le RGPD. Sinon, seule la LPD s'applique.

Quelle est la principale différence de sanction entre LPD et RGPD ?

Le RGPD sanctionne l'entreprise (jusqu'à 20 M€ ou 4% du CA mondial) via des amendes administratives. La LPD sanctionne pénalement la personne physique responsable (dirigeant, responsable conformité) avec une amende pouvant atteindre 250 000 CHF. La logique est fondamentalement différente.

Faut-il un DPO obligatoirement en Suisse ?

Non, la nLPD ne rend pas la désignation d'un « conseiller à la protection des données » obligatoire pour les entreprises privées. Elle est toutefois fortement recommandée, notamment parce qu'elle permet de bénéficier de certaines simplifications procédurales (par exemple sur les analyses d'impact).

Quel délai pour notifier une violation de données sous la LPD ?

La LPD exige une notification au PFPDT « dès que possible », sans fixer de délai chiffré comme les 72 heures du RGPD. En pratique, l'esprit de la loi implique une réaction rapide, généralement dans les jours suivant la découverte de la violation, dès que les faits sont suffisamment établis.

Les données des personnes morales sont-elles protégées par la LPD ?

Non, contrairement à l'ancienne loi, la nLPD ne protège plus que les personnes physiques. Les données concernant les entreprises (raison sociale, chiffre d'affaires, dirigeants agissant en cette qualité) ne relèvent plus de la loi sur la protection des données. Cet alignement avec le RGPD simplifie le cadre pour les échanges B2B.

Conclusion

La nLPD suisse et le RGPD européen convergent sur les principes fondamentaux — transparence, minimisation, sécurité, droits des personnes — mais divergent sur des points opérationnels importants : nature des sanctions, délais de notification, obligation de DPO, formulation du profilage. Pour une entreprise suisse, la bonne approche consiste à identifier clairement quel(s) texte(s) s'appliquent à son activité, puis à mettre en place un socle de conformité robuste qui satisfait le plus exigeant des deux.

La conformité n'est pas un projet ponctuel mais un processus continu. Documente tes traitements, forme tes équipes, choisis des outils qui respectent la vie privée par conception, et surtout : traite les données de tes clients comme tu aimerais qu'on traite les tiennes. C'est probablement le meilleur test de bon sens en matière de protection des données.