LPD vs RGPD : Différences Clés pour les Entreprises Suisses en 2026

Depuis le 1er septembre 2023, la nouvelle Loi fédérale sur la protection des données (nLPD) est entrée en vigueur en Suisse. Si tu diriges une entreprise helvétique, tu te poses probablement la question : est-ce que la LPD suffit, ou dois-je aussi respecter le RGPD européen ? La réponse courte : ça dépend. La réponse longue, c'est cet article.

On va décortiquer ensemble les différences concrètes entre la LPD suisse et le RGPD européen, et surtout ce que ça change pour toi au quotidien : obligations, sanctions, transferts de données, et pièges à éviter.

Qu'est-ce que la LPD et le RGPD ?

La LPD (Loi fédérale sur la protection des données) est la législation suisse qui encadre le traitement des données personnelles. Sa version révisée (nLPD) est entrée en vigueur le 1er septembre 2023, remplaçant l'ancienne loi de 1992 devenue obsolète.

Le RGPD (Règlement général sur la protection des données), lui, est le règlement européen applicable depuis le 25 mai 2018 dans tous les États membres de l'UE. Il fait figure de référence mondiale en matière de protection des données personnelles.

Les deux textes poursuivent le même objectif : protéger les droits fondamentaux des personnes concernées par le traitement de leurs données. Mais ils diffèrent sur plusieurs aspects pratiques que toute entreprise suisse doit comprendre.

Pourquoi la Suisse a-t-elle révisé sa LPD ?

Trois raisons principales ont poussé la révision :

Maintenir la décision d'adéquation avec l'UE : sans mise à jour, la Suisse risquait de perdre son statut de pays offrant un niveau de protection adéquat, ce qui aurait compliqué les échanges de données avec l'Europe.
Se rapprocher du RGPD : pour faciliter la vie des entreprises actives sur les deux territoires.
Moderniser la loi : l'ancienne LPD datait de 1992, une éternité à l'échelle numérique.

Les principales différences entre LPD et RGPD

Même si la nLPD s'inspire largement du RGPD, plusieurs différences importantes subsistent. Voici le comparatif complet.

Critère	nLPD (Suisse)	RGPD (UE)
Champ d'application	Personnes physiques uniquement	Personnes physiques uniquement (depuis 2018)
Base légale explicite	Non exigée pour la plupart des traitements	Obligatoire (6 bases prévues à l'art. 6)
Consentement	Requis pour données sensibles et profilage à risque élevé	Souvent requis, standards très stricts
Registre des traitements	Obligatoire (sauf PME < 250 employés à faible risque)	Obligatoire (sauf exceptions similaires)
Analyse d'impact (AIPD)	Requise en cas de risque élevé	Requise en cas de risque élevé
Notification de violation	« Dans les meilleurs délais » au PFPDT	Sous 72 heures à l'autorité
Délégué à la protection des données	Recommandé, pas obligatoire	Obligatoire dans certains cas
Sanctions maximales	250 000 CHF (personne physique responsable)	20 M€ ou 4 % du CA mondial (entreprise)
Autorité de contrôle	PFPDT	CNIL en France, équivalent dans chaque État

1. La question du consentement

C'est probablement la différence la plus importante au quotidien. Le RGPD impose de disposer d'une base légale pour chaque traitement (consentement, contrat, obligation légale, intérêt légitime, etc.). Chaque traitement doit être justifié à l'avance.

La LPD est plus souple : elle part du principe que le traitement de données personnelles est autorisé, sauf s'il porte une atteinte illicite à la personnalité. Autrement dit, tu n'as pas besoin de justifier chaque traitement par une base légale explicite, mais tu dois respecter les principes de bonne foi, de proportionnalité et de finalité.

2. Les sanctions : qui paie ?

Grosse différence culturelle ici. Le RGPD sanctionne les entreprises, avec des amendes qui peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. La LPD, elle, vise les personnes physiques responsables (dirigeants, DPO, employés), avec des amendes jusqu'à 250 000 CHF.

Concrètement, si ton entreprise viole la nLPD, c'est toi en tant que dirigeant qui risques une amende personnelle. Pas l'entreprise. Ça change la perception du risque.

3. Le délai de notification en cas de violation

Le RGPD impose 72 heures pour notifier une violation de données à l'autorité de contrôle. La nLPD demande simplement une notification « dans les meilleurs délais » au Préposé fédéral à la protection des données et à la transparence (PFPDT). Plus flexible, mais attention : « meilleurs délais » ne veut pas dire « quand tu auras le temps ».

Ton entreprise suisse doit-elle appliquer le RGPD ?

C'est LA question. La réponse dépend de l'article 3 du RGPD, qui définit son champ d'application territorial. Ton entreprise suisse est soumise au RGPD si :

Tu as un établissement dans l'UE (succursale, filiale, bureau).
Tu offres des biens ou services à des personnes situées dans l'UE (même gratuitement).
Tu surveilles le comportement de personnes situées dans l'UE (cookies analytiques, tracking, etc.).

En pratique, la plupart des entreprises suisses actives en ligne tombent sous le RGPD. Si ton site est accessible depuis la France, l'Allemagne ou l'Italie, et que tu vends à ces clients, tu dois respecter le RGPD en plus de la LPD.

Comment savoir si tu es concerné ?

Pose-toi ces 5 questions :

Est-ce que je vends à des clients dans l'UE ?
Est-ce que mon site est disponible dans une langue de l'UE (français, allemand, italien) et cible des Européens ?
Est-ce que j'accepte les paiements en euros ?
Est-ce que j'utilise Google Analytics, Meta Pixel ou d'autres outils de tracking sur des visiteurs européens ?
Est-ce que je fais du marketing (newsletter, publicité) vers des adresses européennes ?

Si tu réponds « oui » à l'une de ces questions, tu dois te conformer au RGPD, en plus de la LPD.

Les obligations concrètes pour les entreprises suisses

Voici ce que tu dois mettre en place, que tu sois soumis uniquement à la LPD ou aux deux régimes.

1. Tenir un registre des activités de traitement

Ce document liste tous les traitements de données que tu effectues : finalité, catégories de données, destinataires, durée de conservation, mesures de sécurité. Obligatoire sauf pour les PME de moins de 250 employés dont les traitements présentent peu de risques.

2. Rédiger une politique de confidentialité

Elle doit informer les personnes concernées sur : l'identité du responsable, les finalités du traitement, les catégories de données, les destinataires, les transferts à l'étranger, les droits des personnes. La nLPD renforce cette obligation d'information active.

3. Sécuriser les données

Mesures techniques et organisationnelles adaptées : chiffrement, contrôle d'accès, sauvegardes, formation du personnel. Un audit de sécurité annuel est recommandé, surtout si tu traites des données sensibles.

4. Gérer les droits des personnes

Droit d'accès, de rectification, d'effacement, d'opposition, de portabilité. Tu dois pouvoir répondre à ces demandes dans un délai raisonnable (30 jours généralement). Mets en place une procédure interne claire.

5. Encadrer les sous-traitants

Si tu utilises un prestataire cloud, un CRM, un outil marketing, tu dois signer un contrat de sous-traitance conforme (data processing agreement). Vérifie où sont hébergées les données et si le prestataire respecte la LPD/RGPD.

Petit exemple concret : si tu utilises un raccourcisseur d'URL pour ton marketing, choisis-en un qui respecte la vie privée et n'exploite pas les données de tes utilisateurs. Lunyb, par exemple, propose un raccourcisseur d'URL respectueux de la confidentialité, ce qui simplifie ta conformité.

Les transferts de données à l'étranger

Point sensible. La LPD comme le RGPD encadrent strictement les transferts de données vers des pays tiers.

Pays reconnus comme adéquats

La Suisse et l'UE ont chacune leur liste de pays offrant un niveau de protection adéquat. Vers ces pays, les transferts sont libres. Les listes sont proches mais pas identiques : par exemple, la Suisse reconnaît certains pays que l'UE ne reconnaît pas, et inversement.

Le cas des États-Unis

Depuis l'arrêt Schrems II (2020), les transferts vers les États-Unis sont particulièrement complexes. Le nouveau cadre Swiss-US Data Privacy Framework (entré en vigueur en 2024) permet des transferts vers des entreprises américaines certifiées. Vérifie toujours le statut de tes prestataires US.

Les clauses contractuelles types

Pour les transferts vers des pays non adéquats, tu peux utiliser les clauses contractuelles types (CCT) reconnues par le PFPDT. Elles fournissent un cadre juridique standardisé.

Le rôle du délégué à la protection des données

La LPD ne rend pas obligatoire la désignation d'un conseiller à la protection des données (l'équivalent du DPO). C'est une recommandation, sauf pour les organes fédéraux.

Le RGPD, lui, impose un DPO si :

Tu es une autorité publique.
Ton activité principale implique un suivi régulier et systématique à grande échelle.
Tu traites à grande échelle des données sensibles.

Même sans obligation légale, désigner une personne référente en interne est une bonne pratique. Elle centralise les questions, forme les équipes et sert d'interlocuteur avec les autorités.

Les pièges à éviter

Piège n°1 : Croire que la LPD suffit toujours

Si tu as des clients européens, tu dois respecter le RGPD. Point. Beaucoup d'entreprises suisses l'oublient et se retrouvent en défaut. Sache aussi que de nombreux courtiers en données exploitent les failles de conformité pour revendre les informations personnelles.

Piège n°2 : Négliger les cookies et le tracking

Le RGPD (et sa cousine la directive ePrivacy) impose un consentement préalable pour la plupart des cookies. La LPD est plus souple, mais si tu cibles l'UE, tu dois mettre en place un bandeau cookies conforme, avec option de refus aussi visible que l'acceptation.

Piège n°3 : Oublier les collaborateurs

Les données RH sont aussi concernées ! Contrats, fiches de paie, évaluations, données de badge, surveillance électronique... Tu dois informer tes employés et documenter ces traitements. C'est souvent le premier point vérifié en cas de contrôle.

Piège n°4 : Sous-estimer les applications mobiles

Si ton entreprise développe ou utilise des apps professionnelles, attention aux données collectées en arrière-plan. Certaines applications espionnent les téléphones plus qu'on ne le pense, et te rendent responsable en tant que déployeur.

Piège n°5 : Ne pas former les équipes

La conformité ne se limite pas à la juridique. Tes équipes marketing, RH, IT et commerciales doivent connaître les bases. Une formation annuelle de 2 heures évite 90 % des incidents. Pense aussi à sensibiliser sur les signes de piratage pour prévenir les violations.

Plan d'action : par où commencer ?

Cartographier tes traitements : liste tous les endroits où tu stockes ou traites des données personnelles.
Identifier ton champ d'application : LPD seule ou LPD + RGPD ?
Rédiger ou mettre à jour ta politique de confidentialité.
Établir le registre des traitements.
Auditer tes sous-traitants et signer les DPA nécessaires.
Mettre en place une procédure de gestion des demandes des personnes concernées.
Former ton équipe.
Documenter tout : la traçabilité est ta meilleure défense en cas de contrôle.

Pour renforcer la vie privée de ton entreprise, pense aussi aux outils que tu utilises au quotidien. Choisir des navigateurs respectueux de la vie privée pour tes équipes est un premier pas simple et efficace.

FAQ : LPD vs RGPD pour les entreprises suisses

Une entreprise suisse peut-elle être sanctionnée par une autorité européenne ?

Oui. Si tu es soumis au RGPD (clients dans l'UE, surveillance de comportement, etc.), les autorités européennes peuvent te sanctionner. La CNIL française, par exemple, a déjà infligé des amendes à des entreprises hors UE. Il faut alors désigner un représentant dans l'UE au sens de l'article 27 du RGPD.

La nLPD est-elle plus stricte que l'ancienne LPD ?

Oui, nettement. Elle introduit de nouvelles obligations : registre des traitements, notification des violations, analyse d'impact, information active des personnes concernées, sanctions renforcées. Les entreprises qui n'avaient rien mis à jour depuis 1992 ont du travail.

Faut-il un consentement explicite pour la newsletter ?

Sous RGPD, oui, le consentement doit être libre, spécifique, éclairé et univoque (case à cocher non pré-cochée). Sous LPD, l'intérêt légitime peut suffire dans certains cas, mais l'opt-in reste la meilleure pratique. Si tu cibles l'UE, applique le standard RGPD par sécurité.

Qui contrôle l'application de la LPD en Suisse ?

Le Préposé fédéral à la protection des données et à la transparence (PFPDT). Il peut ouvrir des enquêtes, ordonner des mesures et transmettre les cas aux autorités pénales cantonales pour sanction. Depuis la nLPD, ses pouvoirs ont été renforcés.

Combien coûte la mise en conformité pour une PME suisse ?

Ça varie beaucoup selon la taille et le secteur. Pour une PME de 10-50 employés, compte entre 5 000 et 20 000 CHF pour un audit initial et la mise en place. Après, le maintien coûte 2 000 à 5 000 CHF par an. Moins cher qu'une amende de 250 000 CHF, tu en conviendras.

Conclusion

La LPD et le RGPD partagent le même esprit mais divergent sur des points pratiques importants. Pour la majorité des entreprises suisses actives à l'international ou en ligne, la question n'est pas « LPD ou RGPD ? » mais « LPD ET RGPD, comment concilier les deux ? ».

La bonne nouvelle : un système de conformité bien pensé couvre les deux régimes en même temps. Investis dans une démarche structurée, documente tout, forme tes équipes, et choisis des prestataires respectueux de la vie privée. Ta responsabilité de dirigeant en dépend, et tes clients te feront davantage confiance.