nLPD : les obligations réelles d'une PME suisse

La nLPD ne demande pas à une PME suisse de se déclarer quelque part, ni de nommer un responsable. Elle exige quatre choses tenables : informer les personnes au moment de la collecte, encadrer ses prestataires, répondre aux demandes d’accès en trente jours et annoncer les fuites graves. Le reste dépend de vos traitements.

La nLPD ne ressemble pas au règlement européen

La loi fédérale sur la protection des données, révisée le 25 septembre 2020, est entrée en vigueur le 1er septembre 2023, accompagnée de son ordonnance d’application du 31 août 2022. Beaucoup de dirigeants romands l’ont abordée avec un réflexe européen. Mauvaise entrée en matière : les deux régimes partagent un vocabulaire, pas une architecture.

Trois écarts changent le quotidien d’une entreprise. Une société privée suisse n’a rien à déclarer à une autorité avant de traiter des données. Elle n’a pas besoin d’un fondement juridique préalable pour le faire, puisque le traitement par une personne privée reste licite par principe, sauf atteinte à la personnalité que rien ne justifie, selon les articles 30 et 31 de la loi. Enfin la désignation d’un conseiller à la protection des données demeure facultative, là où le texte européen l’impose dans plusieurs situations.

Quatrième écart, le plus mal compris : la sanction. Aucune amende administrative ne frappe la société. Le dispositif pénal des articles 60 à 64 vise la personne physique responsable, sur plainte, et pour des manquements intentionnels seulement.

Le piège ? Recopier un kit de conformité français trouvé en ligne. Vous héritez d’obligations qui n’existent pas ici, et vous manquez celles qui comptent vraiment.

Le registre des traitements et l’exception qui trompe

L’article 12 impose au responsable du traitement de tenir un registre des traitements. L’article 24 de l’ordonnance en dispense les entreprises de moins de 250 collaborateurs, à condition que leurs traitements ne présentent qu’un risque limité d’atteinte à la personnalité des personnes concernées.

Deux situations font tomber cette dispense : le traitement de données sensibles à grande échelle et le profilage à risque élevé. La liste des données sensibles figure à l’article 5 de la loi : santé, sphère intime, opinions religieuses, philosophiques, politiques ou syndicales, appartenance à une ethnie, données génétiques, données biométriques identifiant une personne de manière univoque, poursuites et sanctions. Une PME qui archive des certificats médicaux, des dossiers de candidature nourris ou une clientèle de patients touche ces catégories sans y penser.

L’expression « à grande échelle » n’est chiffrée nulle part dans le texte. Voilà pourquoi la dispense se révèle plus fragile qu’elle n’en a l’air : elle repose sur une appréciation que vous devrez justifier après coup, jamais sur un seuil confortable.

Un argument pratique pèse plus lourd que le risque juridique. Sans inventaire, votre entreprise ne sait rien : ni où vivent ses fichiers, ni depuis quand, ni qui les consulte. Six colonnes suffisent à combler ce trou : quelles données, pour quelle finalité, dans quel outil, qui y accède, pendant combien de temps, transmises à qui.

Informer au moment de la collecte, pas dans un tiroir

L’article 19 pose le devoir central de la loi suisse : informer la personne concernée de manière adéquate, préalablement à la collecte. Trois éléments au minimum, énumérés au deuxième alinéa : l’identité et les coordonnées du responsable, la finalité du traitement, les destinataires ou les catégories de destinataires. Un quatrième s’ajoute en cas de communication à l’étranger, avec le pays de destination et les garanties applicables.

Le mot « préalablement » gouverne toute la mise en œuvre. Une déclaration de confidentialité irréprochable, publiée en pied de page et jamais croisée par personne, ne remplit pas cette fonction. La page sert de référence détaillée. L’information utile se donne à l’endroit exact où la donnée entre : sous le formulaire de contact, sur la page d’inscription à la newsletter, dans l’accusé de réception d’une candidature, à l’entrée d’un local sous vidéosurveillance.

Faites l’essai sur votre propre site. Une personne qui remplit votre formulaire découvre-t-elle, sans chercher, dans quel outil son message atterrit et si cet outil se trouve hors de Suisse ? Si la réponse demande trois clics et une lecture attentive, le devoir d’information est formellement rempli et pratiquement manqué.

Vos prestataires traitent, vous restez responsable

L’article 9 encadre la sous-traitance. Le transfert du traitement à un tiers suppose un contrat ou une base légale, se limite aux opérations que vous seriez vous-même en droit d’effectuer, et cède devant toute obligation légale ou contractuelle de garder le secret. Le sous-traitant ne peut confier le travail à un autre prestataire qu’avec votre accord préalable.

Dressez la liste réelle. Un logiciel de paie en ligne, un outil de gestion commerciale, la messagerie, la plateforme d’envoi de newsletters, la sauvegarde externalisée, la fiduciaire, l’agence qui administre le site : chacun traite des données pour votre compte. La signature d’un abonnement en trois minutes ne transfère aucune responsabilité.

Quatre points méritent une réponse écrite avant de signer :

• La liste des sous-traitants ultérieurs, celle des prestataires que votre prestataire mobilise à son tour.
• Le lieu effectif de traitement et de stockage, souvent différent du siège social affiché.
• Les mesures de sécurité, décrites autrement que par le mot « chiffrement ».
• Le sort des données à la fin du contrat : format de restitution, délai, suppression confirmée.

Ce dernier point commande la réversibilité de votre système d’information. Le lieu de stockage, lui, ouvre un débat juridique distinct, détaillé dans notre analyse du choix d’hébergement pour une PME romande.

Trente jours pour répondre à une demande d’accès

Toute personne peut demander si des données la concernant sont traitées, et lesquelles. L’article 25 de la loi organise ce droit d’accès, et l’article 18 de l’ordonnance fixe le délai : trente jours dès la réception de la demande. Le renseignement est en principe gratuit. Une prolongation reste possible, à condition d’en informer la personne et de lui indiquer sous quel délai elle obtiendra une réponse.

Le contenu attendu dépasse la simple copie du fichier. La loi exige les informations nécessaires pour que la personne fasse valoir ses droits : finalité du traitement, durée de conservation ou critères qui la déterminent, origine des données lorsqu’elle est connue, destinataires, existence éventuelle d’une décision individuelle automatisée. Les motifs de refus ou de restriction sont limitativement énumérés à l’article 26.

Observez qui exerce ce droit en pratique. Rarement un curieux : plutôt un collaborateur licencié, un candidat écarté, un client en litige. La demande arrive donc au pire moment, souvent accompagnée d’un courrier d’avocat. Le dossier du personnel constitue le premier terrain de ces demandes, une raison de plus pour cadrer ces données dès la première embauche dans votre entreprise.

Une entreprise organisée traite la demande en une demi-journée. Une entreprise sans inventaire passe trente jours à fouiller des boîtes de messagerie, sans jamais être certaine d’avoir tout retrouvé.

La fuite de données et le seuil qui déclenche l’annonce

L’article 24 impose au responsable du traitement d’annoncer au Préposé fédéral à la protection des données et à la transparence les violations de la sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Le texte parle des « meilleurs délais », sans jamais fixer d’heures, à la différence des septante-deux heures du régime européen.

Toutes les fuites ne remontent donc pas au Préposé fédéral. Le tri se fait sur le risque, ce qui suppose de savoir répondre vite à trois questions : quelles données sont sorties, combien de personnes sont touchées, quel dommage concret devient plausible pour elles. Un fichier de mots de passe et une liste d’adresses professionnelles n’appellent pas la même réaction.

L’annonce indique au minimum la nature de la violation, ses conséquences et les mesures prises ou envisagées. La personne concernée doit être informée lorsque sa protection l’exige ou lorsque le Préposé fédéral le demande, selon le quatrième alinéa du même article. Ce réflexe d’évaluation se prépare à froid, au même titre que les mesures techniques décrites dans notre guide de protection contre les cybermenaces.

Ce que risque réellement le dirigeant

Les articles 60 à 62 de la loi fixent le plafond : une amende de 250 000 francs au plus. Trois filtres en réduisent nettement la portée, et les ignorer conduit soit à la panique, soit à l’insouciance.

Premier filtre, la poursuite intervient sur plainte. Deuxième filtre, seuls les manquements intentionnels tombent sous le coup de ces articles : la violation par négligence n’est pas punissable. Troisième filtre, l’amende frappe la personne physique responsable, pas la société. L’article 64 permet de condamner l’entreprise à 50 000 francs au plus, uniquement lorsque l’identification de la personne punissable exigerait des mesures d’instruction disproportionnées.

Le Préposé fédéral, lui, ouvre des enquêtes et rend des décisions contraignantes. Il peut ordonner la modification, la suspension ou l’arrêt d’un traitement. Il ne prononce aucune amende administrative contre une entreprise, contrairement à son homologue européen.

Le risque réel se situe ailleurs. Une action civile pour atteinte à la personnalité coûte du temps et de la réputation. Un donneur d’ordre européen exige des garanties écrites avant de vous référencer. Et un incident public referme des portes commerciales bien plus durablement qu’une sanction pénale improbable.

Une mise en conformité qui tient en quelques semaines

La séquence compte davantage que l’exhaustivité. Six étapes, dans cet ordre.

1. Inventoriez par point d’entrée, jamais par service. Formulaires du site, badges, vidéosurveillance, dossiers du personnel, comptabilité, fichier clients, sauvegardes : suivez la donnée, pas l’organigramme.
2. Réécrivez votre déclaration de protection des données, puis ajoutez une mention courte à chaque endroit où une donnée est collectée. La page longue seule ne suffit jamais.
3. Passez vos contrats de prestataires en revue avec les quatre questions listées plus haut. Commencez par la paie et la messagerie, les deux gisements les plus sensibles.
4. Fixez des durées de conservation explicites. Le principe légal impose de ne pas garder au-delà du nécessaire, quand l’article 958f du Code des obligations exige dix ans pour les pièces comptables. Les deux règles coexistent et se raccrochent aux exigences décrites dans notre article sur la facturation électronique.
5. Écrivez deux procédures d’une page : traitement d’une demande d’accès, qualification d’une violation de données. Désignez une personne de contact interne, ce qui n’équivaut pas au conseiller de l’article 10.
6. Resserrez les accès internes. La question n’est pas de savoir qui a besoin des fiches de salaire, mais qui peut les ouvrir aujourd’hui sans que personne ne le sache.

Ce chantier n’exige ni cabinet spécialisé ni logiciel dédié dans une structure de vingt personnes. Il exige une décision et deux demi-journées de travail sérieux, puis une relecture annuelle quand vos outils changent.

Prochaine étape : listez sur une seule page tous les endroits où votre entreprise collecte une donnée personnelle, du formulaire de contact au badge d’entrée. Deux heures suffisent pour savoir si votre mise en conformité se compte en jours ou en mois.