LPD révisée, quinze mois après : ce que les PME suisses doivent avoir en place

Depuis le 1er septembre 2023, la loi fédérale sur la protection des données révisée (nLPD) s'applique à toutes les entreprises suisses, quelle que soit leur taille. Quinze mois plus tard, nous observons dans les PME une situation assez homogène : une politique de confidentialité réécrite à la hâte, parfois copiée d'un modèle européen, et peu de choses derrière. Or la loi ne demande pas un document, elle demande que l'entreprise sache ce qu'elle fait des données personnelles, et soit en mesure de le démontrer.

Deux éléments rendent le sujet plus sérieux qu'il n'y paraît. D'abord, les sanctions pénales (amendes pouvant atteindre 250 000 francs) visent en premier lieu les personnes physiques responsables, donc souvent la direction, et non l'entreprise. Ensuite, la plupart des PME ont multiplié les outils en nuage, les prestataires et, plus récemment, les assistants d'IA, ce qui a déplacé les données hors de leur périmètre habituel sans que personne ne l'ait décidé.

Ce guide propose six étapes, dans l'ordre où nous les traitons habituellement.

Étape 1 : savoir où sont les données

Tout part d'une cartographie. Pour chaque activité (paie, recrutement, facturation, CRM, support, site web, vidéosurveillance), il s'agit de noter quelles données personnelles sont traitées, pourquoi, où elles sont stockées, qui y accède et combien de temps elles sont conservées.

La loi dispense en principe de tenir un registre des activités de traitement les entreprises de moins de 250 personnes, sauf traitement à grande échelle de données sensibles ou profilage à risque élevé. Cette dispense est trompeuse : sans registre, il est très difficile de répondre à une demande d'accès, d'évaluer une violation ou de qualifier un sous-traitant. Nous recommandons un registre simple, tenu dans un tableur, avec un propriétaire par ligne. C'est aussi le prérequis de tout projet d'IA, comme nous l'expliquions dans Pas d'IA sans données propres : le chantier que les PME repoussent.

Étape 2 : informer de manière vérifiable

L'obligation d'informer s'applique à chaque collecte, pas uniquement sur le site web. Les candidats, les clients, les collaborateurs, les visiteurs et les contacts commerciaux doivent savoir qui traite leurs données, pour quelles finalités, à qui elles sont communiquées et dans quels pays. Trois points reviennent souvent :

• la déclaration de confidentialité décrit des traitements qui n'existent plus, ou omet ceux qui existent ;
• les formulaires de candidature et les contrats de travail n'y renvoient pas ;
• les destinataires à l'étranger ne sont pas mentionnés.

Le test est simple : la déclaration doit pouvoir être déduite du registre, et non l'inverse.

Étape 3 : maîtriser les sous-traitants et les transferts

Hébergeur, éditeur de logiciel de paie, outil d'emailing, fiduciaire, prestataire informatique : chacun traite des données pour votre compte. La loi exige un contrat ou une base équivalente, des garanties de sécurité et la possibilité de contrôler le recours à un sous-traitant ultérieur.

Pour les transferts hors de Suisse, trois cas se présentent. Le pays figure sur la liste de ceux offrant un niveau de protection adéquat, ce qui est le cas de l'Union européenne. Ou le destinataire est couvert par un cadre reconnu, comme le Swiss-US Data Privacy Framework applicable depuis septembre 2024 aux entreprises américaines certifiées. Ou il faut des clauses contractuelles types, complétées de l'addendum suisse. Une PME avec dix prestataires logiciels peut généralement traiter ce chantier en quelques semaines, à condition de commencer par les cinq qui détiennent les données les plus sensibles.

Étape 4 : sécurité et gestion des violations

La loi impose des mesures techniques et organisationnelles adaptées au risque, et l'annonce au Préposé fédéral (PFPDT) dans les meilleurs délais de toute violation entraînant vraisemblablement un risque élevé pour les personnes. Il n'existe pas de délai chiffré comme en droit européen, mais « dans les meilleurs délais » se juge en jours, pas en semaines.

Ce qui manque le plus souvent n'est pas la technique, c'est la procédure : qui décide qu'un incident est une violation, qui contacte le Préposé, qui informe les personnes concernées, où l'incident est consigné. Une page d'instructions, un nom par rôle et un exercice à blanc par an suffisent pour une PME. Les entreprises qui opèrent aussi dans l'UE ou en France doivent aligner cette procédure sur le délai de 72 heures du RGPD.

Étape 5 : répondre aux droits des personnes

Accès, rectification, effacement, remise des données : une demande d'accès doit en principe recevoir réponse sous 30 jours. Ces demandes arrivent rarement, mais souvent dans un contexte tendu (litige avec un ancien collaborateur, conflit commercial). Le risque est de découvrir, à ce moment-là, que les données sont éparpillées dans la messagerie, les dossiers partagés et trois applications.

La bonne préparation consiste à définir un point d'entrée unique, un modèle de réponse et la liste des systèmes à interroger. Notre cas d'usage Conformité LPD des données clients illustre comment ce travail se structure autour des données clients, là où le volume est le plus important.

Étape 6 : encadrer l'IA générative

C'est aujourd'hui le point de fuite le plus fréquent. Des collaborateurs collent des courriers de clients, des CV ou des extraits de contrats dans un assistant grand public, souvent avec une bonne intention. La nLPD s'applique pleinement : il s'agit d'un traitement, parfois d'un transfert à l'étranger, sans base contractuelle.

Une réponse proportionnée tient en quatre éléments : une liste des outils autorisés, une règle claire sur les données qui ne doivent jamais y entrer, des comptes professionnels avec les paramètres de rétention adaptés, et une courte formation. Pour les entreprises qui vendent ou déploient des systèmes d'IA dans l'UE, le règlement européen sur l'IA, entré en vigueur le 1er août 2024, ajoute des obligations échelonnées : interdictions dès février 2025, règles sur les modèles à usage général dès août 2025, et l'essentiel des autres exigences à partir d'août 2026. Ce calendrier laisse le temps de préparer un inventaire des usages d'IA, qui s'adosse naturellement au registre de l'étape 1.

Un ordre de grandeur pour une PME de 60 personnes

Prenons, à titre d'hypothèse, une PME de services de 60 collaborateurs, avec une douzaine d'applications contenant des données personnelles et six sous-traitants significatifs. Un premier cycle complet (registre, mise à jour de la déclaration, revue des six contrats, procédure de violation, procédure d'accès, règle sur l'IA) représente typiquement de l'ordre de 10 à 15 jours de travail cumulés, répartis sur deux à trois mois, dont la moitié côté direction et responsables métiers. Ensuite, l'entretien est de l'ordre de quelques jours par an. Ces chiffres sont une base de raisonnement, pas une promesse : ils varient fortement avec la sensibilité des données et la qualité de l'existant.

Porter le sujet sans créer une usine à gaz

Trois choix de gouvernance font la différence. Nommer une personne responsable, interne ou externe, avec un mandat clair, la loi permettant de désigner un conseiller à la protection des données. Placer le sujet à l'ordre du jour de la direction deux fois par an, avec trois indicateurs : nombre de traitements revus, contrats sous-traitants régularisés, incidents consignés. Enfin, intégrer la vérification dans les processus existants (achat d'un outil, ouverture d'un projet, recrutement) plutôt que de créer un circuit parallèle.

Les évolutions du cadre réglementaire, en Suisse comme dans l'UE, sont fréquentes ; une veille légère évite de les découvrir par hasard, comme le montre notre cas Une veille réglementaire automatisée. Pour l'ensemble de notre approche, voir notre page Données, IA & conformité.

Par où commencer cette semaine

Dressez la liste de vos dix applications et prestataires qui détiennent le plus de données personnelles, désignez un responsable, et vérifiez trois choses : le contrat existe, le pays de traitement est connu, la déclaration de confidentialité en rend compte. Cet exercice de quelques heures donne déjà une image fidèle de votre exposition. Si vous souhaitez un regard extérieur sur votre situation et un plan d'action priorisé, notre diagnostic est le point de départ le plus direct.