La nLPD et le RGPD partagent une même philosophie, mais ce sont deux lois distinctes, votées par deux législateurs différents, avec des différences concrètes sur le champ d’application, les sanctions et la gestion du consentement aux cookies. Un site suisse qui ne vise que des visiteurs suisses relève en principe de la seule nLPD. Dès qu’il touche des personnes dans l’Union européenne, que ce soit par la vente en ligne, un formulaire ou même un simple suivi statistique, le RGPD s’applique en parallèle. Cet article détaille les différences qui comptent réellement pour un site web professionnel.
nLPD et RGPD, une philosophie commune, deux lois distinctes
La nLPD suisse, entrée en vigueur le 1er septembre 2023, a été conçue pour se rapprocher du RGPD européen sans en être une copie. Nous détaillons son fonctionnement en détail dans notre article nLPD : la nouvelle loi suisse sur la protection des données expliquée simplement. Les deux textes poursuivent le même objectif, à savoir donner aux personnes un contrôle réel sur leurs données personnelles, mais ils y arrivent avec des mécanismes juridiques différents. C’est cette différence de mécanique, plus que d’objectif, qui crée la confusion chez la plupart des exploitants de sites web suisses.
Quand mon site suisse est-il concerné par le RGPD en plus de la nLPD ?
Le RGPD a un champ d’application extraterritorial. Il s’applique dès qu’une entreprise, où qu’elle soit établie, traite les données de personnes situées dans l’Union européenne, à deux conditions alternatives : soit elle leur propose des biens ou services (même gratuits), soit elle suit leur comportement sur son site (via des cookies analytiques ou publicitaires, par exemple).
Concrètement, une PME suisse tombe sous le coup du RGPD si son site vend en ligne à des clients français ou allemands, si son contenu ou ses prix sont clairement orientés vers un pays de l’UE, ou si un outil comme Google Analytics ou une régie publicitaire suit les visiteurs européens. À l’inverse, un site strictement local, en français uniquement, sans clientèle ni ciblage européen, reste en principe dans le seul périmètre de la nLPD.
Un point souvent ignoré : au-delà d’un certain volume de traitement de données européennes, une entreprise suisse sans établissement dans l’UE peut devoir désigner un représentant légal dans un pays membre au titre de l’article 27 du RGPD. Une exemption existe pour les traitements occasionnels, à faible risque, et sans données sensibles à grande échelle, ce qui couvre la majorité des petits sites suisses, mais pas les sites qui vendent activement à une clientèle européenne.
La vraie différence de fond : deux logiques sur la base légale du traitement
C’est la différence la plus structurante, et la moins souvent expliquée clairement. Le RGPD fonctionne sur un principe d’interdiction par défaut : tout traitement de données doit reposer sur l’une des six bases légales prévues par la loi (consentement, exécution d’un contrat, obligation légale, intérêt vital, mission d’intérêt public, ou intérêt légitime). Sans base légale identifiée, le traitement est illicite, point final.
La nLPD fonctionne à l’inverse sur un principe d’autorisation par défaut. Le traitement de données est licite tant qu’il respecte les principes de proportionnalité, de bonne foi et de transparence, et qu’il ne porte pas une atteinte illicite à la personnalité de la personne concernée. Il n’existe pas de liste fermée de bases légales à cocher comme en RGPD. Concrètement, une entreprise suisse peut souvent traiter des données sans consentement explicite, tant que le traitement reste raisonnable et transparent, là où la même opération exigerait une base légale documentée sous RGPD.
Cookies et consentement : la différence la plus concrète au quotidien
C’est la conséquence directe du point précédent, et celle qui a le plus d’impact pratique sur un site web. Le RGPD, combiné à la directive ePrivacy, impose un consentement actif (« opt-in ») avant le dépôt de cookies non essentiels. La nLPD seule ne l’exige pas dans tous les cas : c’est l’article 45c de la loi sur les télécommunications (LTC) qui régit les cookies en Suisse, avec un modèle d’opt-out, à savoir informer le visiteur et lui laisser la possibilité de s’opposer.
Nous détaillons ce mécanisme et ses quatre exceptions (trafic européen, données sensibles, profilage à risque, secteur réglementé) dans notre article sur la nLPD. En pratique, la plupart des sites suisses qui utilisent des outils de mesure d’audience ou de publicité tiers, ou qui reçoivent ne serait-ce qu’une partie de leur trafic depuis l’UE, doivent appliquer le régime le plus strict des deux, c’est-à-dire l’opt-in du RGPD, pour rester en conformité des deux côtés.
Sanctions : qui risque quoi ?
Les deux régimes de sanctions n’ont presque rien en commun. Le RGPD prévoit des amendes administratives pouvant atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial du groupe, le montant le plus élevé étant retenu, et c’est l’entreprise elle-même qui est sanctionnée.
La nLPD prend le chemin inverse : les amendes, jusqu’à 250 000 francs, visent la personne physique responsable de l’infraction, pas la société. Une amende supérieure à 5 000 francs peut en outre entraîner une inscription au casier judiciaire de cette personne. Autrement dit, sous nLPD, c’est la personne en charge de la conformité, ou le dirigeant informé qui n’a rien fait, qui porte le risque pénal, pas le bilan de l’entreprise.
Délégué à la protection des données : obligatoire ou pas ?
Le RGPD impose la désignation d’un délégué à la protection des données (DPO) dans plusieurs cas, notamment pour les autorités publiques ou les entreprises dont l’activité de base implique un suivi régulier et systématique des personnes à grande échelle. La nLPD, elle, laisse ce rôle facultatif pour les organismes privés : le « conseiller à la protection des données » existe, mais sa désignation reste volontaire, même si elle simplifie certaines démarches, notamment l’allègement de l’obligation de consulter le PFPDT avant un traitement à risque élevé.
Notification des violations de données : un délai fixe ou pas ?
Le RGPD fixe un délai strict : 72 heures après la découverte d’une violation pour notifier l’autorité de contrôle compétente. La nLPD reste plus souple sur ce point : elle impose une annonce « dans les meilleurs délais » au Préposé fédéral à la protection des données et à la transparence (PFPDT), sans délai chiffré, mais uniquement lorsque la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
Bonne nouvelle : la Suisse bénéficie d’une décision d’adéquation
Sur un point, la nLPD et le RGPD se rejoignent complètement en pratique : la Commission européenne reconnaît depuis l’an 2000 que la Suisse offre un niveau de protection des données adéquat, et l’a reconfirmé en janvier 2024 spécifiquement sous l’angle du RGPD. Cela signifie que les données peuvent circuler librement entre la Suisse et l’UE, dans les deux sens, sans clauses contractuelles types ni garanties supplémentaires. Pour une entreprise suisse qui héberge ses données en Suisse et travaille avec des clients ou partenaires européens, c’est un avantage concret qui simplifie nettement les échanges de données transfrontaliers.
Dois-je me soucier du RGPD si mon site est purement suisse ?
Si le site vise exclusivement une clientèle suisse, sans vente ni ciblage vers l’UE, et sans suivi de visiteurs européens, la nLPD suffit en principe. Mais dans les faits, très peu de sites professionnels restent dans ce cas pur : un outil d’analyse d’audience international, une régie publicitaire, ou simplement quelques visiteurs qui arrivent depuis la France ou l’Allemagne suffisent à faire entrer le RGPD dans l’équation, au moins pour les données de ces visiteurs-là. La question à se poser n’est donc pas « suis-je suisse ou européen », mais « mes visiteurs, mes clients, ou mes outils ont-ils un lien avec l’UE ».
En résumé : le comparatif nLPD / RGPD
| Critère | nLPD (Suisse) | RGPD (UE) |
|---|---|---|
| Champ d’application | Traitement en Suisse ou produisant effet en Suisse | Toute entreprise traitant les données de résidents UE, où qu’elle soit établie |
| Personnes protégées | Personnes physiques uniquement | Personnes physiques uniquement (les deux lois convergent sur ce point) |
| Base légale du traitement | Autorisation par défaut, sauf atteinte à la personnalité | Interdiction par défaut, sauf l’une des 6 bases légales prévues |
| Cookies | Opt-out (art. 45c LTC), sauf 4 cas où l’opt-in s’impose | Opt-in obligatoire (ePrivacy + RGPD) |
| Sanctions | Jusqu’à 250 000 CHF, contre la personne physique responsable | Jusqu’à 20 millions d’euros ou 4% du CA mondial, contre l’entreprise |
| DPO | Facultatif pour le privé | Obligatoire dans plusieurs cas définis |
| Délai de notification d’une violation | « Dans les meilleurs délais », pas de délai chiffré | 72 heures |
| Autorité de contrôle | Préposé fédéral (PFPDT), une seule autorité nationale | Une autorité par État membre, mécanisme de guichet unique pour le transfrontalier |
| Transferts de données | Décision d’adéquation reconnue par l’UE depuis 2000, reconfirmée en 2024 | Standard de référence pour les décisions d’adéquation |
Comment gérer les deux régimes en pratique sur mon site ?
La façon la plus simple de rester conforme des deux côtés à la fois consiste à appliquer systématiquement le régime le plus strict, c’est-à-dire un bandeau de consentement en opt-in qui bloque réellement les cookies non essentiels tant que le visiteur n’a pas répondu, avec preuve horodatée du consentement. C’est exactement ce que fait Äso!, notre plugin WordPress suisse : bandeau conforme aux deux régimes, registre de consentement, hébergement et support en Suisse. Pour la marche à suivre complète, notre checklist dédiée : Mettre son site web en conformité nLPD, la checklist pour PME et indépendants (à publier).
Foire aux questions
La nLPD et le RGPD, est-ce la même loi ?
Non. Ce sont deux lois distinctes, votées par deux législateurs différents, qui partagent une philosophie commune mais divergent sur le champ d’application, les sanctions, le rôle du DPO et le régime du consentement aux cookies.
Un site web suisse doit-il respecter le RGPD ?
Seulement s’il touche des personnes dans l’Union européenne, en leur proposant des biens ou services ou en suivant leur comportement (cookies analytiques ou publicitaires inclus). Un site strictement local, sans lien avec l’UE, relève en principe de la seule nLPD.
Quelle est la principale différence entre nLPD et RGPD sur les cookies ?
La nLPD, via l’article 45c de la loi sur les télécommunications, autorise un modèle d’opt-out dans les cas les plus simples. Le RGPD, combiné à l’ePrivacy, impose systématiquement un consentement actif (opt-in) avant le dépôt de cookies non essentiels.
Qui est sanctionné en cas de manquement, l'entreprise ou une personne ?
Sous nLPD, l’amende (jusqu’à 250 000 CHF) vise la personne physique responsable de l’infraction. Sous RGPD, l’amende (jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires mondial) vise l’entreprise elle-même.
La Suisse est-elle reconnue comme un pays sûr par l'Union européenne pour les données ?
Oui. La Commission européenne reconnaît la Suisse comme offrant un niveau de protection adéquat depuis 2000, une reconnaissance reconfirmée en janvier 2024 spécifiquement sous l’angle du RGPD, ce qui permet des transferts de données sans garanties contractuelles supplémentaires.
Sources officielles citées
- Confédération suisse, kmu.admin.ch : Nouvelle loi sur la protection des données (nLPD)
- EDÖB, Préposé fédéral à la protection des données et à la transparence : Adéquation
- Office fédéral de la justice : Adéquation de la Suisse par l’UE
- Graduate Institute Geneva, LibGuides : Les grands principes de la protection des données en Suisse
- Graduate Institute Geneva, LibGuides : Les dispositions pénales de la nLPD