La nLPD, la nouvelle loi fédérale sur la protection des données, est entrée en vigueur le 1er septembre 2023. Elle remplace l’ancienne loi de 1992 et concerne toute entreprise suisse qui traite des données de personnes physiques, y compris les PME et les indépendants. Ce guide résume ce qu’elle change concrètement : qui est visé, quelles obligations elle impose, ce qu’elle dit réellement sur les cookies, et quelles sanctions elle prévoit.
Qu’est-ce que la nLPD ?
La nLPD (nouvelle loi sur la protection des données) est la révision totale de la loi fédérale sur la protection des données de 1992. Le Parlement suisse l’a adoptée pour moderniser le cadre légal et le rapprocher, sans le copier, du RGPD européen entré en vigueur en 2018.
Deux nouveautés structurent toute la loi. D’abord, elle renforce les droits des personnes concernées : droit à l’information élargi, droit à la portabilité des données, transparence accrue sur les traitements automatisés. Ensuite, elle introduit le principe de « privacy by design » et « privacy by default » : la protection des données doit être intégrée dès la conception d’un service, pas ajoutée après coup.
Un point mérite d’être précisé d’emblée, car il est souvent mal compris : contrairement au RGPD, la nLPD protège uniquement les données des personnes physiques. Les données des personnes morales (une entreprise, une association) sont sorties du champ de la loi.
Qui est concerné par la nLPD ?
La nLPD s’applique à toute organisation, publique ou privée, qui traite des données personnelles en Suisse, quelle que soit sa taille. Une PME de cinq employés est donc soumise aux mêmes principes de base qu’un grand groupe, même si certaines obligations s’allègent en dessous d’un seuil de risque limité.
Concrètement, dès qu’un site web collecte une adresse e-mail via un formulaire de contact, dépose des cookies de mesure d’audience, ou gère une base de données clients, il traite des données personnelles au sens de la loi. La taille de l’entreprise ne dispense donc jamais de s’y conformer, elle allège seulement certaines formalités.
nLPD et RGPD : pas la même loi
La nLPD et le RGPD partagent une philosophie commune, mais ce sont deux textes juridiques distincts, avec des différences concrètes sur le champ d’application, les sanctions et le régime du consentement pour les cookies. Un site suisse qui vise uniquement une clientèle suisse relève de la nLPD ; dès qu’il touche des visiteurs dans l’Union européenne, le RGPD s’applique en parallèle. Nous détaillons ces différences point par point dans un article dédié : nLPD vs RGPD, quelles différences pour un site web suisse ? (à publier).
Quelles sont les obligations principales pour les entreprises ?
La loi impose un socle d’obligations à toute organisation qui traite des données personnelles. Voici les cinq piliers à connaître.
Le registre des activités de traitement. Toute entreprise doit documenter quelles données elle collecte, pourquoi, et comment elle les traite. Les PME dont le traitement présente un risque limité pour les personnes concernées bénéficient toutefois d’une exemption partielle.
Le devoir d’information. Chaque personne dont les données sont collectées doit être informée de manière claire : quelles données, dans quel but, et pendant combien de temps. Une politique de confidentialité à jour, rédigée en langage accessible, reste l’outil le plus simple pour remplir cette obligation.
La notification des violations de sécurité. En cas de fuite ou d’incident touchant des données personnelles, l’entreprise doit l’annoncer rapidement au Préposé fédéral à la protection des données et à la transparence (PFPDT), et informer les personnes concernées si le risque pour elles est élevé.
L’analyse d’impact relatif à la protection des données (AIPD). Elle devient obligatoire lorsqu’un traitement présente un risque élevé pour les droits fondamentaux des personnes, par exemple un profilage à grande échelle.
La privacy by design et la privacy by default. Les paramètres les plus protecteurs doivent être activés par défaut dans un service ou un site web, sans que l’utilisateur ait à les configurer lui-même.
Que dit la loi sur les cookies et le consentement sur mon site ?
C’est le point le plus mal compris de toute la nLPD, y compris par une partie des prestataires web. Contrairement à une idée reçue, la nLPD elle-même n’impose pas un bandeau de consentement actif (« opt-in ») comme le fait la directive ePrivacy en Europe.
La base légale applicable aux cookies en Suisse se trouve en réalité à l’article 45c de la loi sur les télécommunications (LTC). Ce texte établit un modèle d’opt-out : le dépôt de cookies sur l’appareil d’un visiteur est autorisé à condition que celui-ci soit informé du traitement, de sa finalité, et qu’il ait la possibilité concrète de s’y opposer. Quand ces cookies traitent des données personnelles au sens de la nLPD (une adresse IP, un identifiant unique), les exigences de transparence de l’article 19 nLPD s’ajoutent, mais un consentement actif n’est pas systématiquement requis.
Le consentement explicite (« opt-in »), lui, devient obligatoire dans quatre situations précises :
- Le site touche des visiteurs dans l’Union européenne, ce qui déclenche le RGPD et l’ePrivacy en parallèle de la nLPD.
- Les cookies traitent des données personnelles sensibles au sens de l’article 5, lettre c nLPD.
- Le traitement constitue un profilage à risque élevé au sens de l’article 22 nLPD.
- Le secteur d’activité est soumis à une réglementation spécifique (banque, santé, assurance).
En pratique, très peu de sites suisses restent dans le cas le plus simple. Un site qui utilise Google Analytics, une régie publicitaire, ou qui reçoit ne serait-ce qu’une partie de son trafic depuis l’Union européenne bascule presque toujours dans l’obligation de recueillir un consentement actif. Un bandeau de consentement correctement configuré, qui bloque réellement les cookies tant que la personne n’a pas choisi (et pas seulement un bandeau cosmétique qui s’affiche sans rien bloquer), reste donc la solution la plus sûre pour la grande majorité des sites professionnels suisses, même strictement domestiques.
Quelles sont les sanctions en cas de non-conformité ?
La nLPD prévoit des sanctions pénales qui tranchent nettement avec le RGPD, sur un point que beaucoup d’entreprises ignorent : les amendes, jusqu’à 250 000 francs, visent la personne physique responsable, pas l’entreprise elle-même. Concrètement, cela peut être la personne en charge de la conformité, la personne qui a pris la décision fautive, ou un dirigeant qui savait et n’a rien fait.
Ces amendes sanctionnent notamment une information fausse ou incomplète donnée aux personnes concernées, un manquement à la sécurité des données, un transfert de données vers un pays sans protection adéquate sans garanties contractuelles, ou le non-respect d’une décision du PFPDT. Une amende supérieure à 5 000 francs peut en outre entraîner une inscription au casier judiciaire. La loi exige toutefois au moins une négligence consciente : une erreur commise de bonne foi, sans connaissance du risque, n’est en principe pas punissable au même titre.
Comment se mettre en conformité concrètement ?
La conformité nLPD ne se résume pas à un bandeau de cookies, mais elle commence souvent par là pour un site web professionnel : un bandeau qui informe clairement, qui bloque effectivement les cookies non essentiels tant que la personne n’a pas choisi, et qui conserve une preuve du consentement donné. À cela s’ajoutent une politique de confidentialité à jour et, pour les traitements plus complexes, un registre des activités de traitement.
Nous détaillons la marche à suivre pas à pas dans notre checklist dédiée : Mettre son site web en conformité nLPD, la checklist pour PME et indépendants (à publier). C’est exactement ce que couvre Äso!, notre plugin WordPress suisse : bandeau de consentement qui bloque réellement les tags tant que le visiteur n’a pas répondu, registre de consentement horodaté, et modèles de politique de confidentialité prêts à l’emploi, avec hébergement et support en Suisse.
Foire aux questions
Depuis quand la nLPD est-elle en vigueur ?
La nLPD est entrée en vigueur le 1er septembre 2023, en remplacement de la loi fédérale sur la protection des données de 1992.
La nLPD s'applique-t-elle aux petites entreprises et aux indépendants ?
Oui. La loi s’applique à toute organisation qui traite des données personnelles, quelle que soit sa taille. Seules certaines obligations, comme la tenue d’un registre des traitements, sont allégées pour les structures dont le traitement présente un risque limité.
Dois-je obligatoirement mettre un bandeau de cookies sur mon site suisse ?
La nLPD seule n’impose pas de consentement actif dans tous les cas : la loi sur les télécommunications prévoit un modèle d’opt-out pour les cas les plus simples. Mais dès que le site reçoit du trafic européen, utilise des cookies publicitaires ou de mesure d’audience tiers, ou relève d’un secteur réglementé, un consentement actif devient obligatoire en pratique.
Quelle amende en cas de non-respect de la nLPD ?
Jusqu’à 250 000 francs, mais l’amende vise la personne physique responsable de l’infraction, pas l’entreprise en tant que telle.
Quelle est la différence entre la nLPD et le RGPD ?
Ce sont deux lois distinctes qui partagent une philosophie commune. La nLPD protège uniquement les personnes physiques, prévoit des sanctions dirigées contre les individus responsables plutôt que les entreprises, et laisse plus de latitude sur le consentement aux cookies dans les cas purement domestiques. Nous détaillons ces différences dans un article dédié.