Deux lois, deux juridictions, une confusion permanente🔗
« Est-ce que la nLPD remplace le RGPD ? », « Ma PME suisse doit-elle se conformer au RGPD ? », « Si je traite des clients français, quelle loi s'applique ? »
Ce sont les questions les plus fréquentes que je reçois des dirigeants de PME romandes depuis l'entrée en vigueur de la nLPD en septembre 2023. Confusion légitime : les deux textes se ressemblent sur le fond, mais diffèrent dans les détails et surtout dans leur champ d'application.
Ce guide clarifie tout.
Les deux lois en 30 secondes🔗
Le RGPD (Règlement Général sur la Protection des Données) est le texte européen, en vigueur depuis mai 2018. Il protège les personnes résidant dans l'Union européenne, quel que soit le pays de l'entreprise qui traite leurs données.
La nLPD (nouvelle Loi fédérale sur la Protection des Données) est le texte suisse, en vigueur depuis septembre 2023. Elle remplace l'ancienne LPD de 1992 et aligne la Suisse sur les standards internationaux.
Les deux textes partagent la même philosophie : transparence, finalité, sécurité, droits des personnes. Mais ils diffèrent sur plusieurs points clés.
Quand s'applique le RGPD à une PME suisse ?🔗
C'est la question centrale. Le RGPD s'applique en dehors de l'UE dans trois cas :
Cas 1 : Vous ciblez des clients européens🔗
Si vous proposez vos services à des personnes en France, en Allemagne, en Italie, etc., vous êtes soumis au RGPD, même si vous êtes basé en Suisse.
Ce n'est pas le simple fait d'avoir un site web accessible depuis l'UE. Il faut une intention de cibler le marché européen : site en français, mentions d'adresses européennes, publicités ciblées UE, etc.
Cas 2 : Vous traitez des données de personnes en UE🔗
Un client français qui commande chez vous, un prospect belge qui remplit un formulaire : dès que vous traitez des données personnelles d'une personne résidant en UE, le RGPD s'applique à ce traitement.
Cas 3 : Vous êtes sous-traitant d'une entreprise UE🔗
Si vous travaillez pour un client européen qui vous transmet des données, le RGPD s'applique à vous en tant que sous-traitant.
Cas où le RGPD ne s'applique PAS🔗
- Vous avez des clients exclusivement suisses
- Vous n'avez aucune intention de cibler le marché européen
- Vos activités sont strictement locales
Dans ce cas, seule la nLPD s'applique.
Les 5 différences pratiques🔗
1. Champ d'application🔗
RGPD : protection des personnes résidant dans l'UE.
nLPD : protection des personnes dont les données sont traitées en Suisse, quelle que soit leur nationalité.
2. Sanctions🔗
RGPD : jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial, selon le montant le plus élevé.
nLPD : jusqu'à 250'000 CHF pour les personnes physiques responsables (dirigeants). L'entreprise elle-même peut recevoir des astreintes.
La nLPD est plus clémente au niveau des amendes, mais elle cible personnellement les dirigeants — un risque différent.
3. Délégué à la protection des données (DPO)🔗
RGPD : obligatoire dans certains cas (traitement à grande échelle, données sensibles à grande échelle, autorité publique).
nLPD : pas obligatoire pour la plupart des PME. Un référent interne formé suffit.
4. Délai de notification en cas de violation🔗
RGPD : 72 heures pour notifier l'autorité de contrôle.
nLPD : « dès que possible », sans délai précis. En pratique, alignez-vous sur les 72 heures, c'est une bonne discipline.
5. Transferts hors UE🔗
RGPD : très strict. Les transferts vers des pays non adéquats (dont les États-Unis avant l'accord Data Privacy Framework) nécessitent des garanties spécifiques.
nLPD : plus souple. La Suisse reconnaît la conformité de nombreux pays, mais depuis 2023, la liste des pays adéquats a été révisée.
Ce qui change concrètement pour une PME romande🔗
Si vous êtes 100% local (clients exclusivement suisses)🔗
Seule la nLPD s'applique. Vous devez :
- Tenir un registre des traitements
- Avoir une politique de confidentialité
- Respecter les droits d'accès, de rectification, de suppression
- Sécuriser les données (mesures techniques et organisationnelles)
- Notifier les violations au PFPDT
Si vous avez des clients européens🔗
Les deux lois s'appliquent. Vous devez :
- Tout ce qui précède (nLPD)
- Désigner un représentant dans l'UE si vous traitez des données à grande échelle
- Respecter les règles strictes de transfert hors UE
- Obéir au principe de « privacy by design » du RGPD
Cas pratique : un site e-commerce suisse qui vend en France🔗
- nLPD : s'applique à tous vos clients (suisses et français)
- RGPD : s'applique spécifiquement aux clients français
- En pratique : alignez-vous sur le RGPD pour tout le monde. C'est plus strict, mais ça simplifie l'organisation.
Le conseil pratique : adopter le plus strict🔗
Pour une PME suisse qui traite des données de clients européens, la meilleure stratégie est d'adopter les standards du RGPD partout, même pour vos clients suisses.
Pourquoi ?
- Un seul processus : plus simple que de gérer deux régimes.
- Anticipation : si vous grandissez vers l'UE, vous êtes déjà conforme.
- Crédibilité : le RGPD a une réputation internationale de rigueur.
- Coût marginal : la différence entre nLPD et RGPD est faible en pratique pour une PME.
Les 10 obligations communes aux deux lois🔗
Ces obligations s'appliquent quelle que soit la loi que vous suivez :
- Registre des traitements : documenter tous les traitements de données personnelles
- Base légale : avoir une raison légale pour chaque traitement (contrat, consentement, intérêt légitime)
- Information des personnes : politique de confidentialité accessible et claire
- Droits des personnes : permettre l'accès, la rectification, la suppression
- Sécurité : mesures techniques et organisationnelles adaptées au risque
- Notification des violations : informer l'autorité en cas de fuite
- Contrats sous-traitants : encadrer tous les prestataires qui traitent des données pour vous
- Privacy by design : intégrer la protection dès la conception des projets
- Transferts internationaux : encadrer les transferts hors UE/Suisse
- Formation des collaborateurs : sensibiliser tous ceux qui traitent des données
Les outils pour se mettre en conformité🔗
Pour la nLPD🔗
- Guide du PFPDT : documentation officielle, gratuite
- Modèles d'économie suisse : registres, politiques, checklists
- DPO externe : 500 à 2'000 CHF pour un accompagnement ponctuel
Pour le RGPD🔗
- CNIL (France) : documentation très complète, gratuite
- Modèles de la CNIL : registres, contrats sous-traitants, politiques
- DPO externe : 1'000 à 5'000 CHF pour un accompagnement
Budget type pour une PME de 10 personnes🔗
- Audit initial : 2'000 à 5'000 CHF
- Documentation : 1'500 à 3'000 CHF
- Formation : 500 à 1'500 CHF
- Suivi annuel : 500 à 2'000 CHF
Total : 4'500 à 11'500 CHF la première année, 500 à 2'000 CHF/an ensuite.
FAQ🔗
Ma PME suisse doit-elle se conformer au RGPD ?🔗
Seulement si vous ciblez des clients européens ou traitez des données de personnes résidant dans l'UE. Sinon, la nLPD suffit.
Un site web accessible depuis l'UE suffit-il à déclencher le RGPD ?🔗
Non. Il faut une intention de cibler le marché européen (contenu en langue étrangère, adresses UE, publicités ciblées). Un simple site vitrine suisse en français ne suffit pas.
Ai-je besoin d'un DPO (Délégué à la Protection des Données) ?🔗
En Suisse : rarement pour une PME. En UE : seulement si vous traitez des données sensibles à grande échelle ou si vous êtes une autorité publique.
Que se passe-t-il en cas de violation de données ?🔗
nLPD : notifiez le PFPDT « dès que possible ». RGPD : notifiez l'autorité de votre pays principal dans les 72 heures. Dans les deux cas, documentez l'incident et notifiez les personnes si le risque est élevé.
Mon hébergeur suisse est-il conforme RGPD ?🔗
Si l'hébergeur est en Suisse, il est généralement conforme nLPD. Pour le RGPD, la Suisse est reconnue comme pays adéquat par l'UE depuis 2000, donc les transferts UE → Suisse sont autorisés sans formalité supplémentaire.
Combien de temps pour se mettre en conformité ?🔗
Pour une PME de 10 personnes sans conformité existante : 2 à 3 mois pour atteindre un niveau de base. Pour une conformité complète RGPD + nLPD : 4 à 6 mois.
Conclusion🔗
RGPD et nLPD ne sont pas concurrents, ils se complètent. La nLPD s'applique toujours à votre PME suisse. Le RGPD s'ajoute dès que vous traitez des données de personnes résidant dans l'UE.
Le conseil : adoptez le RGPD comme standard interne, même si vous êtes principalement local. Vous serez conforme aux deux lois, et prêt pour toute expansion européenne.
Vous voulez un audit de conformité ? Parlons-en. Un diagnostic d'une heure suffit pour identifier vos écarts les plus critiques.