La loi révisée sur la protection des données (révLPD) s'applique depuis le 1ᵉʳ septembre 2023. Elle apporte des devoirs compatibles RGPD, des sanctions pénales pour les directeurs et de nouvelles exigences sur les transferts internationaux — un aperçu pratique.
La loi fédérale révisée sur la protection des données (révLPD, RS 235.1) est entrée en vigueur le 1ᵉʳ septembre 2023 et remplace la LPD de 1992. La réforme était nécessaire pour maintenir la reconnaissance de la Suisse par l'UE comme « pays tiers adéquat » et donner un cadre aux scandales nationaux aux conséquences internationales.
Contrairement au RGPD, la révLPD ne prévoit pas d'amendes administratives directes contre les entreprises — mais des amendes pénales contre les personnes physiques responsables (jusqu'à CHF 250'000). Pour les PME, le risque n'est donc pas moindre, mais plus personnel : il touche directement directeurs et responsables de la protection des données.
1. Champ d'application
La loi s'applique au traitement de données personnelles par des personnes privées et des organes fédéraux (art. 2 al. 1 révLPD). Les données personnelles sont toutes les informations se rapportant à une personne physique déterminée ou déterminable — nom, e-mail, adresse IP, données de tracking, données salariales, données clients.
La révLPD a un effet extraterritorial (art. 3 al. 1 révLPD) : elle s'applique aussi quand une entreprise étrangère traite des données de personnes en Suisse et que des effets se produisent ici. Reflet du RGPD.
2. Les huit principes
L'art. 6 révLPD exige huit principes :
• Licéité — base légale pour le traitement.
• Bonne foi.
• Finalité — utilisation seulement pour le but indiqué.
• Proportionnalité — autant de données que nécessaire.
• Exactitude — corriger ou effacer les données fausses.
• Sécurité — mesures techniques et organisationnelles.
• Reconnaissabilité — la personne doit savoir que et quelles données sont traitées.
• Limitation de conservation — uniquement aussi longtemps que nécessaire.
3. Devoir d'information — art. 19 révLPD
Qui collecte des données personnelles doit informer activement la personne — même si les données ne sont pas collectées directement chez elle. L'information doit couvrir l'identité du responsable, la finalité, les catégories de destinataires et la communication à l'étranger. Mise en œuvre typique : une politique de confidentialité bien structurée sur le site web et à tous les points de contact (formulaires, newsletters, onboarding RH).
4. Analyse d'impact (AIPD, art. 22 révLPD)
Pour les traitements à haut risque (profilage, traitement étendu de données sensibles, surveillance systématique), une analyse d'impact doit être réalisée préalablement. Concernés en pratique : outils RH avec profilage, e-shops avec bases candidats, outils marketing avec tracking comportemental, caméras de sécurité en espace public.
5. Notification de violation (art. 24 révLPD)
Une violation présentant un risque élevé pour les personnes doit être notifiée au PFPDT « aussi rapidement que possible ». Contrairement au RGPD, pas de délai rigide de 72 h — la règle suisse est plus flexible, mais le risque du retard pèse sur l'entreprise. En cas de risque élevé, les personnes concernées doivent aussi être informées directement.
En pratique, beaucoup de PME n'ont pas de plan d'incident — et en cas de crise perdent des heures précieuses avant la notification. Un modèle prêt avec chemins d'escalade fait partie de toute conformité IT.
6. Transferts internationaux (art. 16 révLPD)
Les données ne peuvent être transférées qu'à des pays assurant une protection adéquate. Le Conseil fédéral tient une liste — les États-Unis n'y figuraient pas pendant des années. Pour les pays non adéquats, il faut des clauses contractuelles types (CCT), des règles d'entreprise contraignantes (BCR) ou le consentement de la personne.
Pour l'Ukraine, la décision d'adéquation ne s'applique pas actuellement — qui transfère des données de clients suisses vers l'Ukraine (par ex. traitement par une filiale locale) doit recourir aux CCT et, en règle générale, à une évaluation préalable des risques.
7. Droits de la personne concernée
La révLPD étend les droits par rapport à l'ancienne LPD :
• Droit d'accès (art. 25 révLPD) — gratuit, dans les 30 jours.
• Droit à la remise et au transfert (art. 28 révLPD, une portabilité des données).
• Droit de rectification, effacement, limitation du traitement.
• Droit d'opposition à certains traitements.
• Droit de ne pas être soumis à une décision individuelle entièrement automatisée avec profilage.
8. Sanctions pénales — la menace personnelle
L'art. 60 révLPD prévoit des amendes jusqu'à CHF 250'000 — contre des personnes physiques, pas contre les entreprises. Sont visées les violations intentionnelles de l'obligation d'accès, d'information, de sécurité et de désignation d'un représentant en Suisse pour les responsables étrangers. L'amende touche typiquement les directeurs, responsables IT ou délégués à la protection des données.
C'est une différence clé avec le RGPD, qui inflige des amendes administratives aux entreprises : dans le modèle suisse, la direction est personnellement engagée, ce qui renforce sensiblement la motivation à la conformité.
9. Checklist de conformité PME
• Inventaire de toutes les activités de traitement — qui fait quoi pour quel but.
• Mise à jour de la politique de confidentialité du site (marquer l'entrée en vigueur 2023).
• Vérifier les contrats avec sous-traitants (cloud, IT) pour des clauses conformes à la révLPD.
• Informer et former les employés (RH, marketing, IT en priorité).
• Identifier et légitimer les transferts internationaux (CCT, consentement).
• Préparer un plan d'incident avec chemins de notification.
• Processus du droit d'accès : qui répond et à quelle vitesse ?
• Tenir un registre des activités de traitement (art. 12 révLPD).
10. Que se passe-t-il lors d'une enquête du PFPDT ?
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) peut ouvrir des enquêtes d'office ou sur dénonciation. Il a le pouvoir d'ordonner des mesures (art. 51 révLPD) — rectification, blocage, effacement. Contrairement aux autorités UE, le PFPDT ne peut pas lui-même infliger d'amende — il transmet les cas pénalement pertinents au ministère public.
Indication pratique
Sobiera Legal Consulting accompagne les PME suisses et entreprises internationales dans la conformité à la révLPD — de la politique de confidentialité aux contrats de sous-traitance, en passant par la préparation aux enquêtes du PFPDT. En ukrainien, russe, allemand, anglais et français — particulièrement pertinent pour les transferts de données entre la Suisse et l'Ukraine.