nLPD : la checklist pratique pour votre PME suisse en 2026

La nLPD a 3 ans, et 60% des PME ne sont toujours pas conformes🔗

Depuis septembre 2023, la nouvelle Loi fédérale sur la Protection des Données (nLPD) est en vigueur en Suisse. Elle remplace l'ancienne LPD de 1992 et aligne la Suisse sur les standards du RGPD européen.

Trois ans plus tard, le constat est clair : 60% des PME suisses ne sont pas conformes, souvent par manque de temps ou de connaissances. Les sanctions peuvent atteindre 250'000 CHF pour les dirigeants personnellement.

Ce guide vous donne une checklist en 10 points, avec des modèles et des cas concrets, pour mettre votre PME en conformité en 30 jours.

Ce que la nLPD change vraiment🔗

Pour qui ?🔗

Toutes les entreprises qui traitent des données personnelles : clients, prospects, employés, fournisseurs. Y compris une PME d'une personne.

Pour quelles données ?🔗

Toute information qui permet d'identifier une personne :

• Nom, prénom, adresse
• Email, téléphone
• Date de naissance
• Données bancaires
• Adresse IP
• Données biométriques
• Données de santé

Les 6 principes clés🔗

1. Licéité : vous devez avoir une base légale pour traiter les données
2. Finalité : vous ne pouvez les utiliser que pour un objectif défini
3. Proportionnalité : vous ne collectez que ce qui est nécessaire
4. Exactitude : les données doivent être correctes et à jour
5. Limitation de conservation : vous ne les gardez pas éternellement
6. Sécurité : vous les protégez contre les accès non autorisés

Checklist en 10 points🔗

1. Registre des traitements🔗

C'est le document obligatoire de base. Un tableau qui liste :

Outil : un simple Excel suffit. Il existe des modèles gratuits (Préposé fédéral, économiesuisse).

Durée estimée : 3 à 6 heures selon la taille.

2. Politique de confidentialité publiée🔗

Obligatoire dès que vous avez un site web ou une application. Elle doit préciser :

• Quelles données vous collectez
• Pourquoi vous les collectez
• Comment vous les protégez
• Combien de temps vous les conservez
• Quels sont les droits des personnes concernées
• Comment exercer ces droits

Où la publier ? Sur une page dédiée de votre site, accessible depuis le footer.

Modèle : voir notre page confidentialité pour un exemple adapté à une PME suisse.

3. Bandeau cookies conforme🔗

Si vous utilisez des cookies qui ne sont pas strictement nécessaires au fonctionnement du site (analytics, publicité, réseaux sociaux), vous devez :

• Informer l'utilisateur
• Recueillir son consentement explicite
• Permettre de refuser aussi facilement que d'accepter

Astuce : si vous utilisez un outil analytics cookieless (Umami, Plausible, GoatCounter), vous n'avez pas besoin de bandeau. C'est plus simple, plus élégant, et parfaitement conforme.

4. Consentement explicite pour les données sensibles🔗

Pour les données sensibles (santé, opinions politiques, religion, orientation sexuelle), le consentement doit être explicite, informé et documenté.

Pour les autres données, une simple case à cocher (opt-in) suffit pour les traitements non contractuels.

Attention : le consentement implicite (opt-out) n'est plus accepté.

5. Contrats avec les sous-traitants🔗

Vous êtes responsable de la sécurité de vos sous-traitants. Chaque prestataire qui traite des données pour vous doit avoir :

• Un contrat écrit (ou des CGU acceptées)
• Des clauses de confidentialité
• Une politique de sécurité documentée

Sous-traitants typiques : hébergeur, fournisseur email, comptable, CRM, outil de newsletter, service de paiement.

6. Sécurité technique🔗

Les mesures minimales :

• Mots de passe forts + 2FA
• Chiffrement des disques
• Sauvegardes régulières testées
• Accès limités au strict nécessaire
• Journalisation des accès sensibles

7. Procédure de violation de données🔗

En cas de fuite de données présentant un risque pour les personnes concernées, vous devez notifier le Préposé fédéral à la protection des données (PFPDT) dans les 72 heures.

Procédure à documenter :

1. Identifier la nature et l'ampleur de la violation
2. Isoler la source
3. Évaluer les risques pour les personnes concernées
4. Notifier le PFPDT via https://www.edoeb.admin.ch
5. Notifier les personnes concernées si risque élevé
6. Documenter l'incident dans un registre

8. Formation des collaborateurs🔗

Tous les collaborateurs qui traitent des données personnelles doivent être sensibilisés :

• Aux principes de base de la nLPD
• Aux bonnes pratiques (mots de passe, phishing, USB)
• À la procédure en cas d'incident

Format : 1 à 2 heures par an suffisent.

9. Droits des personnes concernées🔗

Vous devez permettre à toute personne de :

• Accéder à ses données (délai : 30 jours, réponse obligatoire)
• Rectifier les données inexactes
• Supprimer ses données (droit à l'oubli)
• S'opposer à un traitement
• Portabiliser ses données (format structuré)

Procédure à documenter : qui reçoit la demande ? Comment est-elle traitée ? Sous quel délai ?

10. Analyse d'impact (AIPD)🔗

Obligatoire pour les traitements à risque élevé :

• Surveillance systématique de personnes
• Traitement de données sensibles à grande échelle
• Croisement de données de sources multiples
• Profilage automatisé

Pour la plupart des PME, l'AIPD n'est pas nécessaire. Mais vérifiez que ce n'est pas votre cas.

Cas concrets par secteur🔗

Cabinet d'avocats🔗

Données sensibles : dossiers clients, situations familiales, données financières. Obligations clés : secret professionnel renforcé, chiffrement systématique, AIPD pour les gros dossiers. Durée de conservation : 10 ans après clôture du dossier (obligation légale).

Étude fiduciaire🔗

Données sensibles : données salariales, financières, bancaires. Obligations clés : contrats stricts avec les clients, sécurité renforcée des serveurs. Durée : 10 ans (obligation comptable).

Cabinet médical🔗

Données très sensibles : dossiers médicaux, prescriptions, données génétiques. Obligations : AIPD obligatoire, hébergement certifié (HIN ou équivalent), chiffrement systématique. Durée : 10 à 20 ans selon le type de dossier.

Site e-commerce🔗

Données : identité, adresses, paiements, historique d'achats. Obligations : consentement cookies, politique de confidentialité, contrats avec Stripe/paypal/hébergeur. Durée : 10 ans pour les données comptables, 3 ans pour le marketing.

PME de services🔗

Données : clients, prospects, employés. Obligations : registre des traitements, politique de confidentialité, contrats sous-traitants. Durée : selon la nature (3 à 10 ans).

Les sanctions🔗

Sanctions administratives🔗

• Amende jusqu'à 250'000 CHF pour les personnes physiques responsables (dirigeants, DPO)
• Astriction (obligation de faire) pour les entreprises
• Publication de la décision (atteinte à la réputation)

Sanctions civiles🔗

• Dommages-intérêts pour les personnes lésées
• Action en cessation du traitement illicite

Sanctions pénales🔗

• Emprisonnement possible en cas de violation grave et intentionnelle
• Responsabilité personnelle du dirigeant, pas seulement de l'entreprise

Comment le PFPDT enquête🔗

Le PFPDT n'a pas d'équipe de contrôle systématique. Il intervient sur :

• Plainte d'un particulier
• Signalement d'un concurrent ou d'un employé
• Violation auto-déclarée

Les secteurs à risque (santé, finance, juridique) sont plus surveillés.

Plan d'action en 30 jours🔗

Semaine 1 : Documentation de base🔗

• Créer le registre des traitements
• Rédiger la politique de confidentialité
• Publier la politique sur le site

Semaine 2 : Sous-traitants🔗

• Lister tous vos prestataires
• Vérifier les clauses de confidentialité
• Compléter les contrats manquants

Semaine 3 : Sécurité et procédures🔗

• Vérifier les mesures techniques (2FA, chiffrement, sauvegardes)
• Documenter la procédure de violation
• Former l'équipe (2 heures)

Semaine 4 : Contrôle et finalisation🔗

• Tester la réponse à une demande d'accès
• Vérifier le bandeau cookies (si applicable)
• Signer l'attestation interne de conformité

À la fin du mois, vous êtes conforme pour 2'000 à 5'000 CHF (accompagnement externe) ou gratuitement si vous faites tout en interne.

FAQ🔗

Ma PME de 3 personnes est-elle concernée ?🔗

Oui. La nLPD s'applique à toute entreprise qui traite des données personnelles, quelle que soit sa taille. Même une entreprise individuelle.

Faut-il nommer un DPO (Délégué à la Protection des Données) ?🔗

Pas obligatoire pour la plupart des PME. Un référent interne formé suffit. Le DPO devient obligatoire uniquement si vous traitez des données sensibles à grande échelle.

La nLPD remplace-t-elle le RGPD ?🔗

Non. La nLPD est la loi suisse, le RGPD est la loi européenne. Si vous traitez des données de personnes en UE, vous devez respecter les deux.

Combien de temps conserver les données clients ?🔗

Cela dépend de la nature. Obligation comptable : 10 ans. Marketing : jusqu'au retrait du consentement. RH : selon les obligations cantonales.

Que faire si je reçois une demande d'accès ?🔗

Vous devez répondre dans les 30 jours. Vérifiez l'identité du demandeur, compilez ses données, envoyez-les dans un format lisible. Documentez la procédure.

Que se passe-t-il si je ne fais rien ?🔗

Risque de sanction administrative (jusqu'à 250'000 CHF), de plainte d'un client ou employé, d'atteinte à la réputation. Les cas d'enquête sont rares mais les sanctions, quand elles tombent, sont lourdes.

Comment savoir si mon site utilise des cookies non nécessaires ?🔗

Utilisez l'inspecteur du navigateur (F12 → Application → Cookies). Si vous voyez Google Analytics, Facebook Pixel, ou tout outil publicitaire, ils nécessitent un consentement.

Conclusion🔗

La nLPD n'est pas une contrainte administrative, c'est un investissement dans la confiance. Les clients et les partenaires sont de plus en plus attentifs à la protection des données. Une PME conforme se démarque.

Bonne nouvelle : la conformité coûte peu (2'000 à 5'000 CHF) et peut être atteinte en 30 jours avec méthode.

Vous voulez un audit de conformité nLPD ? Contactez-nous. On identifie en 1 heure vos 3 écarts les plus critiques.