La nouvelle loi fédérale sur la protection des données (nLPD) s’applique en Suisse depuis le 1er septembre 2023. Elle protège les données des personnes physiques traitées par les entreprises et par l’administration fédérale. Elle impose un devoir d’informer, l’annonce des violations graves au Préposé fédéral et punit certaines infractions d’une amende de 250'000 francs au plus.
Le texte porte la date du 25 septembre 2020, jour de son adoption par le Parlement. Il figure dans le Recueil systématique du droit fédéral (Fedlex), sous le numéro RS 235.1. Selon le communiqué du Conseil fédéral du 31 août 2022, deux ordonnances l’accompagnent : l’ordonnance sur la protection des données (OPDo) et celle sur les certifications (OCPD).
Pourquoi la Suisse a-t-elle remplacé sa loi de 1992 ?
La première loi fédérale sur la protection des données datait du 19 juin 1992, selon Fedlex. Le portail PME de la Confédération (kmu.admin.ch) rappelle qu’elle avait été conçue avant l’essor du cloud et des objets connectés, et n’avait été révisée que partiellement, en 2009 et en 2019.
Le second motif est européen. D’après l’Office fédéral de la justice (OFJ), la révision rapproche le droit suisse du règlement général sur la protection des données de l’Union européenne (RGPD). L’enjeu est la libre circulation des données avec l’UE. L’OFJ indique que la Commission européenne a confirmé, le 15 janvier 2024, que la Suisse offre un niveau adéquat de protection. Cette décision d’adéquation, émise le 26 juillet 2000, laisse circuler les données depuis l’UE sans garantie supplémentaire.
Chiffres clés
- 1er septembre 2023 : entrée en vigueur de la nLPD, de l’OPDo et de l’OCPD ;
- 250'000 francs : amende maximale prévue à l’article 60, soit 25 fois l’ancien plafond selon le commentaire en ligne de cet article ;
- 30 jours : délai de réponse à une demande d’accès, en règle générale ;
- 250 collaborateurs : seuil sous lequel le Conseil fédéral prévoit des exceptions au registre des traitements ;
- 455 annonces de violation reçues par le Préposé en 2026 jusqu’au 25 octobre, contre 343 sur toute l’année 2025.
À qui s’applique la nLPD ?
La loi vise les données des personnes physiques, traitées par des personnes privées ou par des organes fédéraux (art. 2). Les données des personnes morales, comme les sociétés, ne sont plus couvertes, relève le portail PME. L’usage exclusivement personnel échappe à la loi.
La loi vise aussi les faits survenus à l’étranger qui produisent des effets en Suisse (art. 3). Une entreprise étrangère qui cible des personnes en Suisse désigne un représentant en Suisse si son traitement est régulier, à grande échelle et à risque élevé (art. 14).
Quels principes une entreprise doit-elle respecter ?
L’article 6 pose les règles de base de tout traitement de données personnelles :
- il doit être licite, de bonne foi et proportionné ;
- les données servent une finalité déterminée et reconnaissable pour la personne ;
- elles doivent être exactes ;
- elles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires.
Le consentement doit être exprès pour les données sensibles, dont la liste inclut désormais les données génétiques et biométriques (art. 5).
La loi introduit aussi la protection des données dès la conception et par défaut (art. 7). Concrètement, les préréglages d’un service doivent limiter le traitement au minimum requis par sa finalité. La sécurité des données doit être adaptée au risque (art. 8). Un sous-traitant doit pouvoir garantir cette sécurité (art. 9).
Quelles obligations concrètes pour une PME ?
Le devoir d’informer vient en premier. Selon le portail PME, il couvre désormais la collecte de toutes les données personnelles, et plus seulement des données sensibles. L’article 19 exige au moins l’identité et les coordonnées du responsable, la finalité du traitement et les destinataires éventuels. Un envoi de données à l’étranger se signale avec le pays concerné. Si les données ne viennent pas de la personne, elle est informée au plus tard un mois après leur obtention.
Trois autres outils complètent le dispositif :
- le registre des activités de traitement (art. 12), avec des exceptions prévues pour les entreprises de moins de 250 collaborateurs dont les traitements présentent un risque limité ;
- l’analyse d’impact (art. 22), obligatoire avant un traitement à risque élevé ;
- le conseiller à la protection des données (art. 10), facultatif pour une entreprise privée.
Si l’analyse d’impact laisse un risque élevé, l’entreprise consulte le Préposé, qui a deux mois pour formuler ses objections (art. 23). Un conseiller indépendant au sens de l’article 10 permet de s’en dispenser.
Quels droits pour les personnes concernées ?
Le droit d’accès ouvre la liste. Toute personne peut demander à une entreprise si elle traite des données la concernant (art. 25). La réponse est gratuite et intervient en règle générale dans les 30 jours. Elle comprend les données, la finalité, la durée de conservation et les destinataires. Un refus reste possible, par exemple face à une demande manifestement infondée, mais doit être motivé (art. 26).
La personne peut obtenir ses données dans un format électronique courant (art. 28). Elle peut aussi exiger la rectification de données inexactes, l’interdiction d’un traitement ou l’effacement de ses données devant le juge civil (art. 32).
Quand faut-il annoncer une violation de données au Préposé ?
Une violation de la sécurité des données désigne une perte, une modification, une destruction, une divulgation ou un accès non autorisé, accidentel ou illicite (art. 5). L’article 24 impose de l’annoncer au Préposé fédéral à la protection des données et à la transparence (PFPDT) « dans les meilleurs délais ». L’obligation vaut quand la violation entraîne vraisemblablement un risque élevé pour les personnes concernées.
L’annonce indique au moins la nature de la violation, ses conséquences et les mesures prises ou envisagées. Un sous-traitant doit, lui, signaler tout incident à son client, sans seuil de gravité. Les personnes touchées sont informées lorsque leur protection l’exige ou que le Préposé le demande. Depuis le 1er avril 2025, le Préposé peut, avec l’accord du responsable du traitement, transmettre l’annonce à l’Office fédéral de la cybersécurité (OFCS) pour analyse.
Le nombre d’annonces augmente. Dans un entretien au SonntagsBlick relayé le 25 octobre 2026 par l’agence Keystone-ATS, le Préposé Adrian Lobsiger a fait état de 455 annonces reçues depuis le début de l’année, contre 343 en 2025. Il estime que bien des incidents ne lui parviennent jamais, comme 2clics l’a rapporté à propos des violations de données en Suisse. La rubrique protection des données de 2clics suit ces dossiers.
Quels pouvoirs pour le Préposé fédéral ?
Le PFPDT est une autorité indépendante qui, selon son site, surveille les organes fédéraux et les entreprises privées. Il ouvre une enquête d’office ou sur dénonciation lorsque des indices suffisants laissent penser qu’un traitement viole la loi (art. 49). S’il constate une violation, il peut ordonner de modifier, suspendre ou cesser un traitement, ou d’effacer des données (art. 51).
Un exemple daté illustre cette procédure. Le 23 octobre 2026, le Préposé a ouvert une enquête formelle contre PK Softech, fournisseur de logiciels de plusieurs caisses de pension suisses, dont la Caisse fédérale de pensions Publica. L’entreprise lui avait elle-même signalé une cyberattaque le 8 octobre. Comme 2clics l’a relaté à propos de l’enquête du Préposé sur PK Softech, le Préposé veut établir quelles données les caisses lui avaient confiées, sur quelle base juridique, et ce qui a été volé.
Quelles sanctions prévoit la nLPD ?
Les amendes visent des manquements précis. L’article 60 punit d’une amende de 250'000 francs au plus les personnes privées qui, intentionnellement :
- donnent des renseignements inexacts ou incomplets lors de l’information ou d’une demande d’accès ;
- omettent d’informer la personne concernée de la collecte de ses données ou d’une décision automatisée ;
- donnent de faux renseignements au Préposé ou refusent de collaborer à son enquête.
Selon le commentaire en ligne de l’article 60, rédigé par Jonas D. Gassmann sur Onlinekommentar.ch, la négligence n’est pas punie. Le dol éventuel suffit en revanche. Les deux premiers cas sont poursuivis sur plainte, le troisième d’office.
Le même commentaire souligne l’écart avec le RGPD : en Suisse, l’amende vise les personnes physiques qui agissent pour l’entreprise, dirigeants ou autres responsables. Ces amendes relèvent de la justice pénale, pas du Préposé.
nLPD et RGPD : quelles différences ?
Les deux textes se ressemblent sur le fond. Selon le portail PME de la Confédération, une entreprise déjà conforme au RGPD a peu de changements à faire. Le tableau suivant résume les principaux écarts entre les deux textes.
| Point | nLPD (Suisse) | RGPD (Union européenne) |
|---|---|---|
| Autorité de contrôle | PFPDT, à Berne | Autorité nationale, par exemple la Commission nationale de l’informatique et des libertés (CNIL) en France |
| Seuil d’annonce d’une violation | Risque élevé vraisemblable pour les personnes | Risque pour les droits et libertés des personnes |
| Délai d’annonce | « Dans les meilleurs délais », sans délai chiffré | Dans les meilleurs délais, avec une notification initiale dans les 72 heures si possible |
| Qui est sanctionné | Les personnes physiques responsables, amende de 250'000 francs au plus | L’entreprise concernée |
La CNIL, l’autorité française, précise qu’un retard au-delà de 72 heures doit être justifié. Une PME suisse également soumise au RGPD doit donc garder ce repère en tête.
Ce qu’on ne sait pas encore
- Le nombre de violations jamais annoncées : le Préposé l’estime important, sans le chiffrer.
Sources
- Loi fédérale du 25 septembre 2020 sur la protection des données (LPD), RS 235.1, Fedlex, état le 7 juillet 2025
- Conseil fédéral, communiqué du 31 août 2022 : « Nouveau droit de la protection des données à partir du 1er septembre 2023 »
- Office fédéral de la justice, dossier sur la révision totale : « Renforcement de la protection des données »
- Office fédéral de la justice, adéquation de la Suisse : « Adéquation de la Suisse par l’UE »
- Portail PME de la Confédération, fiche sur la nLPD : « Nouvelle loi sur la protection des données (nLPD) »
- Site officiel du PFPDT
- Onlinekommentar.ch, Jonas D. Gassmann, commentaire de l’art. 60 LPD, version du 12 août 2023
- CNIL, notifier une violation de données
- 2clics.com, 26 octobre 2026 : « Violation de données en Suisse : 455 annonces au Préposé en 2026 »
- 2clics.com, 25 octobre 2026 : « Cyberattaque caisse de pension : le Préposé enquête sur PK Softech »
