La conformité à la nLPD pour les groupes d'entreprises suisses — conçue par une équipe suisse, hébergée en Suisse

Points clés — La conformité à la nLPD suisse avec Priverion

La loi fédérale révisée sur la protection des données (nLPD/nDSG), en vigueur depuis le 01.09.2023, oblige les responsables du traitement à tenir des registres de traitement, à réaliser des AIPD pour les activités à risque élevé, à notifier au PFPDT les violations graves et à documenter les transferts transfrontaliers assortis de garanties adéquates. Priverion est une plateforme SaaS hébergée en Suisse qui automatise les sept domaines de conformité — registre des traitements, gouvernance, déclarations de confidentialité, AIPD, gestion des sous-traitants, notification des violations et transferts transfrontaliers — à la fois sous la nLPD et le RGPD européen, dans un espace de travail unique.

Qu'est-ce que la nLPD suisse (nDSG) ?

La loi fédérale sur la protection des données (nLPD), connue en allemand sous le nom de Datenschutzgesetz (DSG), est la principale loi suisse en matière de protection des données. La version entièrement révisée est entrée en vigueur le 01.09.2023, remplaçant la loi de 1992. Elle rapproche la protection des données suisse du RGPD européen tout en conservant des particularités suisses telles que la responsabilité pénale individuelle et le modèle de surveillance consultatif du PFPDT. Le texte complet consolidé est disponible sur fedlex.admin.ch.

En quoi la nLPD révisée diffère-t-elle du RGPD européen ?

Si les deux cadres partagent des principes fondamentaux — licéité, limitation des finalités, minimisation des données et responsabilité —, des différences essentielles subsistent. La nLPD ne prévoit pas de base légale fondée sur l'« intérêt légitime » ; le droit suisse autorise plutôt le traitement fondé sur un « intérêt privé ou public prépondérant » (art. 31 nLPD). Les amendes pénales prévues aux art. 60 à 63 nLPD visent les personnes responsables (jusqu'à 250'000 CHF), et non l'organisation. Le PFPDT émet des recommandations plutôt que des injonctions contraignantes assorties d'amendes directes. Selon l'IAPP, ce modèle de responsabilité individuelle est unique parmi les grands régimes de protection des données dans le monde.

Qui doit se conformer à la nLPD suisse ?

Toutes les personnes privées et tous les organes fédéraux qui traitent des données personnelles de personnes en Suisse doivent s'y conformer. La nLPD s'applique de manière extraterritoriale : les entreprises étrangères dont les traitements produisent des effets en Suisse sont également soumises à la loi (art. 3 al. 1 nLPD). Le PFPDT (Préposé fédéral à la protection des données et à la transparence) supervise la conformité et publie des orientations à l'intention des responsables du traitement nationaux comme étrangers.

Qu'est-ce qu'une AIPD selon la nLPD suisse ?

Selon l'art. 22 nLPD, une analyse d'impact relative à la protection des données doit être réalisée lorsqu'un traitement prévu est susceptible de présenter un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. L'analyse doit décrire le traitement, évaluer la nécessité et la proportionnalité, identifier les risques et documenter les mesures d'atténuation. Si un risque élevé résiduel subsiste après atténuation, le responsable du traitement doit consulter le PFPDT avant de poursuivre (art. 23 nLPD). Les lignes directrices de l'EDPB sur les AIPD, bien qu'axées sur l'UE, sont largement utilisées comme référence méthodologique par les praticiens suisses (Lignes directrices EDPB 4/2017).

Quelles sont les exigences de notification des violations selon la nLPD ?

L'art. 24 nLPD impose aux responsables du traitement de notifier au PFPDT, « dans les meilleurs délais », les violations de données personnelles présentant un risque élevé. Le PFPDT recommande un délai de notification de 72 heures, conformément à la pratique du RGPD. Les personnes concernées touchées doivent également être informées lorsque cela est nécessaire à leur protection. Un registre des violations documenté — consignant la date, la nature, l'étendue, l'appréciation des risques et les mesures correctives — constitue une preuve essentielle de conformité.

Quelles sont les sanctions en cas de non-conformité à la nLPD ?

Les violations intentionnelles d'obligations clés — notamment le défaut de fournir des informations (art. 60), le défaut de coopérer avec le PFPDT (art. 63) et la violation du secret professionnel (art. 62) — entraînent des amendes pouvant atteindre 250'000 CHF à l'encontre de la personne responsable. Selon une enquête menée en 2024 par l'IAPP, 68 % des professionnels suisses de la protection des données ont indiqué que le modèle de responsabilité individuelle a accru l'attention du conseil d'administration à la conformité en matière de protection des données.

Comment Priverion automatise-t-il la conformité à la nLPD ?

Priverion met en correspondance chaque activité de traitement à la fois avec la nLPD suisse et le RGPD européen, simultanément. La plateforme automatise le registre des activités de traitement avec des champs de contenu minimal propres à la Suisse, génère une documentation d'AIPD prête pour le PFPDT, assure le suivi des contrats de sous-traitance et des chaînes de sous-traitants ultérieurs, gère les délais de notification des violations et documente les transferts transfrontaliers au moyen d'analyses d'impact des transferts (TIA) au titre des art. 16–17 nLPD. Toutes les données sont hébergées sur Google Cloud Suisse (région de Zurich) avec une certification ISO 27001.

Statistiques et contexte

Selon le rapport IAPP-EY 2023 sur la gouvernance de la protection des données, l'organisation moyenne consacre environ 54 % de son budget de protection des données à des tâches opérationnelles de conformité telles que la maintenance du registre des traitements, la réalisation des AIPD et les évaluations des sous-traitants. Une prévision de Gartner de 2024 projette que, d'ici 2026, 60 % des grandes entreprises utiliseront des plateformes automatisées de gestion de la protection des données, contre moins de 15 % en 2021. Le rapport d'activité 2023–2024 du PFPDT a relevé une augmentation notable des demandes de consultation à la suite de l'entrée en vigueur de la nLPD révisée, soulignant la charge de conformité pesant sur les organisations suisses. Le rapport 2023 de l'ENISA sur le paysage des menaces (ENISA) a identifié les rançongiciels et les attaques de la chaîne d'approvisionnement comme les principales menaces pesant sur les données personnelles, renforçant l'importance de processus robustes de notification des violations et de gestion des sous-traitants.

nLPD vs RGPD — Tableau comparatif