nLPD : la protection des données à la suisse, avec des sanctions personnelles
En vigueur depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données s'applique aux entreprises suisses et à toute entreprise étrangère dont les traitements produisent des effets en Suisse. Nous capitalisons sur votre conformité RGPD pour traiter les écarts.
Pas seulement les entreprises suisses
La nLPD s'applique à tout traitement qui déploie des effets en Suisse, même s'il est réalisé à l'étranger. Pour une entreprise de la région Auvergne-Rhône-Alpes, la question se pose vite.
Entreprises suisses
Toute entreprise privée établie en Suisse qui traite des données personnelles, quelle que soit sa taille.
Employeurs de frontaliers
Entreprises françaises qui emploient ou recrutent des personnes résidant en Suisse.
Clients et prospects suisses
E-commerce, SaaS, services B2B ou B2C proposés à des personnes situées en Suisse.
Groupes et filiales
Groupes franco-suisses qui partagent outils, CRM, SIRH ou hébergement entre les deux pays.
Proches, mais pas identiques
La nLPD s'inspire du RGPD. Une entreprise déjà conforme au RGPD a fait l'essentiel du chemin — à condition de traiter les différences qui comptent.
| RGPD (UE) | nLPD (Suisse) | |
|---|---|---|
| Sanctions | Amendes administratives visant l'entreprise : jusqu'à 20 M€ ou 4 % du CA mondial | Amendes pénales visant les personnes physiques responsables : jusqu'à CHF 250 000 |
| Violation de données | Notification à la CNIL sous 72 h | Annonce au PFPDT « dans les meilleurs délais » si risque élevé |
| Délégué | DPO obligatoire dans certains cas | Conseiller à la protection des données facultatif |
| Représentant | Représentant dans l'UE pour les acteurs hors UE | Représentant en Suisse pour certains responsables étrangers |
| Registre | Obligatoire, allègement limité sous 250 salariés | Obligatoire, exemption sous 250 salariés sauf traitements à risque |
| Autorité | CNIL (en France) | Préposé fédéral à la protection des données et à la transparence (PFPDT) |
Une responsabilité qui devient personnelle
Contrairement au RGPD, la nLPD sanctionne pénalement les personnes physiques qui ont intentionnellement violé certaines obligations : devoir d'informer, droit d'accès, sous-traitance, transferts à l'étranger, exigences minimales de sécurité. En pratique, ce sont les dirigeants et responsables qui sont exposés.
Diagnostic, mise en conformité, suivi
- Analyse d'applicabilité : êtes-vous concerné, et à quel titre ?
- Analyse d'écart nLPD / RGPD : réutiliser l'existant, traiter les différences.
- Registre et devoir d'informer : mise à jour des mentions et politiques.
- AIPD pour les traitements à risque élevé.
- Procédure de violation adaptée au PFPDT.
- Représentant en Suisse : analyse du besoin et organisation de la désignation.
- Sécurité des données : contrôle technique des exigences minimales.
Ce que l'on nous demande le plus
Nous sommes conformes au RGPD : devons-nous faire autre chose ?
Probablement peu, mais pas rien : mentions d'information adaptées, procédure de violation vers le PFPDT, éventuel représentant en Suisse, prise en compte de la responsabilité pénale des dirigeants. Une analyse d'écart ciblée suffit généralement.
La France est-elle considérée comme un pays « adéquat » par la Suisse ?
Oui. Les États de l'Union européenne figurent sur la liste des États offrant un niveau de protection adéquat : les transferts vers la France ne nécessitent pas de garanties supplémentaires. L'inverse est également vrai.
Faut-il un représentant en Suisse ?
Un responsable établi à l'étranger doit désigner un représentant en Suisse lorsqu'il traite, de manière régulière et à grande échelle, des données de personnes en Suisse dans le cadre d'une offre de biens ou de services ou d'une observation de leur comportement, avec un risque élevé. Nous analysons votre situation.
Intervenez-vous en Suisse ?
Oui, depuis Grenoble, à distance ou sur site en Suisse romande, pour des entreprises suisses comme pour des entreprises françaises actives en Suisse.
Vos traitements ont-ils des effets en Suisse ?
Un échange de 30 minutes pour savoir si la nLPD vous concerne et quels écarts traiter.