par Christophe Vallois
10 août 2026
14 min de lecture
Qu'est-ce que la nLPD ? Définition et obligations pour les entreprises suisses
nLPD : définition, différences avec le RGPD, obligations concrètes et sanctions. Le guide complet pour les entreprises suisses, expliqué simplement.
En résumé
La nLPD (nouvelle Loi fédérale sur la Protection des Données) est la loi suisse qui encadre le traitement des données personnelles. Entrée en vigueur le 1er septembre 2023, elle remplace l'ancienne LPD et se rapproche du RGPD européen, tout en gardant des particularités suisses importantes : elle ne protège que les personnes physiques, et ses sanctions, jusqu'à CHF 250'000, visent la personne responsable individuellement plutôt que l'entreprise. Cet article explique la définition, les obligations concrètes et les risques en cas de non-conformité.
Introduction
Toute organisation qui traite des données de personnes situées en Suisse, qu'elle soit suisse ou étrangère, est concernée par la nLPD depuis son entrée en vigueur en septembre 2023. Pourtant, la loi reste souvent mal comprise : confondue avec le RGPD, réduite à une formalité de conformité, ou perçue comme un sujet réservé aux juristes.
Chez Ketl, nous accompagnons depuis 2019 des PME suisses et des entreprises réglementées dans leur mise en conformité documentaire. Cet article explique ce qu'est la nLPD, en quoi elle diffère du RGPD, qui elle concerne, et quelles obligations concrètes elle impose à une entreprise.
Qu'est-ce que la nLPD ?
La nLPD, nouvelle Loi fédérale sur la Protection des Données, est le texte qui encadre en Suisse la collecte, le traitement et la conservation des données personnelles. Adoptée par le Parlement à l'automne 2020 au terme d'une révision totale, elle est entrée en vigueur le 1er septembre 2023, remplaçant l'ancienne loi datant des années 1990, devenue obsolète face aux usages numériques actuels.
Cette révision poursuivait deux objectifs principaux : moderniser la protection des données face aux évolutions technologiques, et maintenir la compatibilité du droit suisse avec le droit européen, RGPD compris, pour préserver la libre circulation des données entre la Suisse et l'Union européenne. Cette compatibilité a été confirmée par une décision d'adéquation de la Commission européenne, qui reste toutefois une décision politique révisable, pas une garantie permanente.
nLPD et RGPD : les différences clés
La nLPD s'inspire largement du RGPD, mais s'en distingue sur plusieurs points concrets, à connaître avant toute mise en conformité.
Le périmètre des personnes protégées. La nLPD protège exclusivement les personnes physiques. L'ancienne loi suisse couvrait aussi les personnes morales (entreprises, associations), une protection qui disparaît avec la révision, alignant la Suisse sur l'approche du RGPD.
La nature des sanctions. C'est la différence la plus significative. Le RGPD prévoit des amendes administratives pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial, visant l'entreprise en tant que personne morale. La nLPD prévoit des sanctions pénales, visant en principe la personne physique responsable du manquement, avec une amende maximale de CHF 250'000, contre CHF 10'000 sous l'ancienne loi.
Le délai de notification en cas de violation. Le RGPD impose une notification dans les 72 heures. La nLPD demande une notification "dans les meilleurs délais" (art. 24), une formulation moins rigide dans le texte, mais qui n'allège pas l'exigence de réactivité dans la pratique.
L'autorité de contrôle. En Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT) mène les enquêtes et peut ordonner des mesures, mais ne prononce pas lui-même les amendes : celles-ci relèvent des autorités pénales cantonales, saisies sur dénonciation du PFPDT.
| Critère | RGPD | nLPD |
|---|---|---|
| Personnes protégées | Physiques et parfois morales selon le pays | Physiques uniquement |
| Nature des sanctions | Administratives, contre l'entreprise | Pénales, contre la personne responsable |
| Amende maximale | 20 millions € ou 4% du CA mondial | CHF 250'000 |
| Délai de notification de violation | 72 heures | Dans les meilleurs délais |
| Négligence sanctionnable | Oui | Non, seule l'intention est punissable |
Qui est concerné par la nLPD ?
La nLPD s'applique à toute organisation, suisse ou étrangère, qui traite des données de personnes situées en Suisse, quel que soit le lieu où le traitement a effectivement lieu. Cela couvre les collaborateurs, les clients, les prospects, les administrés, ainsi que leurs sous-traitants et partenaires.
Une entreprise étrangère qui traite à grande échelle des données de résidents suisses, sans siège ni établissement en Suisse, peut devoir désigner un représentant en Suisse selon les circonstances. La portée extraterritoriale de la loi rejoint sur ce point la logique du RGPD.
Les obligations principales pour une entreprise
Le registre des activités de traitement
L'art. 12 nLPD impose de tenir un registre recensant les traitements de données personnelles effectués. Les entreprises de moins de 250 collaborateurs en sont en principe dispensées, sauf si elles traitent des données sensibles à grande échelle ou pratiquent un profilage à risque élevé.
La protection dès la conception et par défaut
L'art. 7 nLPD consacre les principes de Privacy by Design et Privacy by Default : la protection des données doit être intégrée dès la conception d'un traitement ou d'un produit, pas ajoutée après coup.
Les mesures de sécurité minimales
L'art. 8 nLPD exige des mesures techniques et organisationnelles adaptées au risque, pour protéger les données contre les accès non autorisés, la perte ou l'altération.
Le devoir d'information
L'art. 19 nLPD impose d'informer les personnes concernées lors de la collecte de leurs données : finalité du traitement, identité du responsable, destinataires éventuels.
L'analyse d'impact relative à la protection des données
L'art. 22 nLPD exige une analyse d'impact lorsqu'un traitement est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
La notification en cas de violation
L'art. 24 nLPD impose de notifier au PFPDT, dans les meilleurs délais, toute violation de la sécurité des données susceptible d'entraîner un risque élevé pour les personnes concernées.
Les règles de transfert à l'étranger
Les art. 16 et 17 nLPD encadrent la communication de données personnelles à l'étranger. Le transfert vers un pays reconnu comme offrant une protection adéquate, dont la liste est publiée par le Conseil fédéral, reste possible sans garantie contractuelle supplémentaire. La Suisse et l'ensemble des pays de l'UE figurent sur cette liste.
Sanctions et risques en cas de non-conformité
Les art. 60 à 66 nLPD définissent le régime de sanctions pénales. Trois éléments méritent d'être retenus.
Le montant. L'amende maximale s'élève à CHF 250'000 par infraction, contre CHF 10'000 sous l'ancienne loi.
La cible. Contrairement au RGPD, la sanction vise en principe la personne physique responsable du manquement au sein de l'organisation, pas l'entreprise elle-même. Cette responsabilité personnelle a des conséquences directes sur la réputation et la situation professionnelle de la personne concernée. Dans certaines conditions, notamment lorsque l'amende envisagée ne dépasse pas CHF 50'000 et que l'enquête viserait disproportionnellement une personne physique, l'autorité peut condamner l'entreprise à sa place.
L'élément intentionnel. Seules les violations intentionnelles sont punissables pénalement. La négligence, contrairement au RGPD, n'entraîne pas de sanction pénale sous la nLPD, ce qui ne dispense évidemment pas d'une gestion rigoureuse des données.
À noter : une inscription au casier judiciaire devient possible dès qu'une amende dépasse CHF 5'000, ce qui distingue clairement le régime suisse d'une simple sanction administrative.
nLPD et gestion documentaire : le lien concret
La plupart des obligations nLPD se traduisent, en pratique, par des exigences documentaires : tenir un registre à jour, prouver que des mesures de sécurité sont en place, retrouver rapidement les données d'une personne en cas de demande d'accès ou de suppression, documenter une analyse d'impact, notifier une violation avec les informations nécessaires réunies dans les meilleurs délais.
Une gestion documentaire dispersée entre boîtes mail, dossiers locaux et tableurs rend ces obligations difficiles à remplir de façon fiable. Une GED qui classe automatiquement les documents, trace chaque accès et chaque modification, et permet de retrouver une information en quelques secondes plutôt qu'en plusieurs heures, transforme ces obligations théoriques en processus tenable au quotidien.
Ketl est conçue nLPD-native : hébergement exclusivement en Suisse, piste d'audit complète sur chaque document, et classification automatique par IA qui simplifie la tenue d'un registre de traitement à jour.
En chiffres : Ketl traite plus de 46 millions de documents dans 11 secteurs réglementés, avec une infrastructure et des modèles d'IA hébergés exclusivement en Suisse.
FAQ
Que signifie l'acronyme nLPD ?
nLPD signifie nouvelle Loi fédérale sur la Protection des Données. C'est la loi suisse, entrée en vigueur le 1er septembre 2023, qui encadre la collecte, le traitement et la conservation des données personnelles.
Quelle est la différence entre la nLPD et le RGPD ? La principale différence tient à la nature des sanctions : le RGPD prévoit des amendes administratives contre l'entreprise, jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial. La nLPD prévoit des sanctions pénales visant la personne physique responsable, jusqu'à CHF 250'000. La nLPD protège aussi uniquement les personnes physiques, contrairement à l'ancienne loi suisse qui couvrait aussi les personnes morales.
Une entreprise étrangère est-elle concernée par la nLPD ? Oui, si elle traite des données de personnes situées en Suisse, indépendamment du lieu où le traitement a effectivement lieu. Selon l'ampleur du traitement, une entreprise étrangère sans établissement en Suisse peut devoir désigner un représentant sur le territoire suisse.
Toutes les entreprises doivent-elles tenir un registre des activités de traitement ? Non. Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf si elles traitent des données sensibles à grande échelle ou pratiquent un profilage à risque élevé.
Qui peut être condamné en cas de violation de la nLPD ? En principe, la personne physique responsable du manquement au sein de l'entreprise, par exemple un dirigeant ou la personne désignée responsable de la protection des données. L'entreprise elle-même peut être condamnée à la place de la personne physique dans certaines conditions précises, notamment lorsque l'amende envisagée reste modeste.
Conclusion
La nLPD encadre depuis septembre 2023 le traitement des données personnelles en Suisse, avec une architecture proche du RGPD sur le fond, mais des différences concrètes sur la nature des sanctions et le périmètre de protection. Pour une entreprise, la conformité passe moins par une lecture juridique ponctuelle que par une gestion documentaire capable de prouver, à tout moment, que les obligations sont réellement respectées.
La prochaine étape concrète : vérifiez si votre entreprise tient déjà un registre des activités de traitement à jour, et si vous pourriez répondre en quelques minutes à une demande d'accès aux données d'une personne concernée. Ces deux tests révèlent rapidement l'état réel de votre conformité.
Rédigé suite à un entretien avec James McGill, co-fondateur de Ketl. Structuré et optimisé avec Ketl AI, notre IA souveraine hébergée en Suisse.
Cet article a une vocation informative et ne constitue pas un conseil juridique. Pour une analyse de conformité propre à votre situation, consultez un conseiller spécialisé en protection des données.
Sources :
- nLPD — Préposé fédéral à la protection des données et à la transparence (PFPDT)
- Dispositions pénales de la nLPD — PFPDT
- Nouvelle loi sur la protection des données — SECO/KMU.admin.ch