Guide pratique · Suisse
La nLPD, et pourquoi l'amende vous vise, vous.
Ce qu'un dirigeant de PME doit faire concrètement. En clair, dans le bon ordre, et faisable en une journée, sans payer un audit.
Le guide en 6 points
La réponse courte.
La nLPD est en vigueur depuis le 1er septembre 2023. Pour une PME, l'essentiel tient en cinq gestes : dire à vos clients quelles données vous traitez, savoir où elles sont, encadrer vos prestataires, prévoir quoi faire en cas de fuite, et fixer une règle simple sur ce qu'on a le droit de mettre dans une IA.
La plupart de ces gestes, vous pouvez les faire vous-même en une journée, sans payer un audit. La vraie raison de s'y mettre n'est pas la peur du gendarme : c'est que l'amende ne vise pas votre société. Elle vous vise, vous.
« Le vrai risque n'est pas l'amende de la société. C'est vous. »
Ce qui vous vise, vous.
C'est le point que la plupart des dirigeants ignorent, et c'est celui qui change tout. La nLPD ne fonctionne pas comme le RGPD européen, qui frappe l'entreprise. Elle frappe une personne.
L'amende vise une personne, pas une société
La nLPD ne sanctionne pas l'entreprise par une amende administrative comme le RGPD. Elle vise la personne physique responsable du manquement, jusqu'à 250'000 francs. Dans une PME, cette personne, c'est très souvent vous.
L'entreprise n'a pas le droit de payer à votre place
Cette amende est de nature pénale et personnelle. La prendre en charge sur les comptes de la société n'est pas prévu par la loi. Elle reste sur votre nom, pas sur celui de la structure.
Le PFPDT peut ouvrir une enquête de lui-même
Le Préposé fédéral n'attend pas forcément une plainte. Il peut enquêter d'office, par exemple après une fuite rendue publique ou un signalement. Le risque n'est pas théorique.
Soyons précis, parce que ça joue en votre faveur : seules les infractions intentionnelles sont punissables. Une simple négligence ou une erreur de bonne foi ne vous expose pas à l'amende.
Ce qui vous expose, c'est d'ignorer sciemment vos obligations : refuser d'informer, de coopérer, ou de prendre les mesures de base. Autrement dit, faire l'essentiel suffit à vous mettre hors de portée. Sources : Fedlex et PFPDT.
Cinq gestes, dans cet ordre.
Chacun prépare le suivant. On commence par cartographier ce qu'on traite, et on finit par fermer la fuite la plus fréquente : l'IA.
Le registre des traitements
Listez, sur une simple page, quelles données personnelles vous traitez, pourquoi, où elles sont stockées et qui y a accès. Il n'est strictement obligatoire qu'à partir de 250 employés, ou plus tôt si vous traitez des données sensibles à grande échelle ou faites du profilage à risque élevé. En dessous, il reste le meilleur point de départ : sans cette carte, vous ne pouvez ni écrire votre déclaration, ni répondre au PFPDT, ni savoir ce que vous devez protéger.
La déclaration de confidentialité
Sur votre site, dites en clair quelles données vous collectez, dans quel but, avec qui vous les partagez et quels droits ont vos clients. C'est l'obligation la plus visible de la loi et la première chose qu'un client ou le PFPDT ira vérifier. Un modèle suffit pour démarrer ; l'important est qu'elle décrive ce que vous faites vraiment, pas un texte générique copié d'ailleurs qui ne correspond pas à votre activité.
Les contrats avec vos sous-traitants
Dès que vous confiez des données à un prestataire (hébergeur, infogérance, outil cloud, comptable externe), un contrat doit encadrer ce qu'il a le droit d'en faire. Vérifiez d'abord vos outils principaux : la plupart des grands services proposent déjà un addendum de protection des données à signer ou à activer. Vous restez responsable de ce que vos prestataires font des données de vos clients, même quand le serveur n'est pas chez vous.
La procédure en cas de fuite
Sachez à l'avance qui appeler et quoi faire si des données sont volées ou exposées. La loi impose d'annoncer au PFPDT, dans les meilleurs délais, toute violation qui présente un risque élevé pour les personnes concernées. Une fuite n'est pas le moment d'improviser : une demi-page qui dit qui décide, qui notifie et comment prévenir les clients vous évite de paniquer et de rater le délai.
La règle « quelles données dans l'IA »
Écrivez une règle simple sur ce que vos équipes ont le droit de coller dans ChatGPT ou tout autre outil d'IA, et surtout ce qu'elles n'ont pas le droit d'y mettre : données clients, dossiers RH, contrats. Aujourd'hui, dans la plupart des PME, chacun décide seul ce qu'il saisit, sans toujours voir où part l'information. Une ligne claire vaut mieux qu'un long règlement que personne ne lit, et elle ferme la fuite la plus fréquente.
Repères : Portail PME de la Confédération, PFPDT, sous-traitance et PFPDT, annonce de violation.
Conforme en une journée.
Voici les cinq gestes ramenés à des durées réelles. Comptez une demi-journée de travail concentré, pas un projet ni un budget d'audit.
- 30 min · Faites la liste de vos traitements : quelles données, pourquoi, où, qui y accède.
- 1 h · Rédigez ou mettez à jour la déclaration de confidentialité sur votre site, pour qu'elle décrive votre vraie activité.
- 1 h · Vérifiez vos outils principaux et activez ou signez l'addendum de protection des données de chaque prestataire clé.
- 30 min · Écrivez la procédure en cas de fuite : qui décide, qui annonce au PFPDT, comment vous prévenez vos clients.
- 30 min · Posez la règle « quelles données dans l'IA » et envoyez-la à votre équipe en une phrase claire.
Durées indicatives, pour une PME de structure simple. Une activité avec beaucoup de données sensibles demandera davantage.
Quand payer un avocat, et quand non.
Pour l'essentiel, vous n'en avez pas besoin. Les cinq gestes ci-dessus, une PME les mène seule. Payer un audit complet pour ça, c'est presque toujours surdimensionné.
Gardez le conseil juridique pour deux situations précises, où l'enjeu et la complexité le justifient vraiment : le transfert de données hors UE vers un pays sans protection adéquate, et le profilage à risque élevé.
Dans ces deux cas, un avis vaut son prix. Pour tout le reste, vous avancez plus vite et moins cher en le faisant vous-même.
Questions fréquentes.
Qui paie l'amende, l'entreprise ou moi ?
Vous, en principe. Contrairement au RGPD européen, la nLPD ne frappe pas l'entreprise d'une amende administrative : elle sanctionne la personne physique responsable du manquement, jusqu'à 250'000 francs. Dans une PME, c'est très souvent le dirigeant. Et l'amende étant de nature pénale, l'entreprise n'a pas le droit de la prendre en charge à votre place.
Est-ce que j'ai besoin d'un registre des traitements ?
Pas obligatoirement si vous avez moins de 250 employés et que vos traitements présentent un risque limité. Le registre ne devient obligatoire qu'à partir de 250 employés, ou plus tôt si vous traitez des données sensibles à grande échelle ou faites du profilage à risque élevé. Cela dit, le faire quand même reste le meilleur point de départ : c'est la carte sur laquelle s'appuie tout le reste.
Un oubli ou une négligence peuvent-ils être punis ?
Non, pas une simple négligence. Les dispositions pénales de la nLPD visent les infractions intentionnelles. Vous n'allez pas être condamné pour une erreur de bonne foi ou un oubli. En revanche, ignorer sciemment vos obligations, par exemple refuser d'informer ou de coopérer, vous expose. La bonne nouvelle : faire l'essentiel suffit à vous mettre hors de portée.
Ai-je besoin d'un avocat pour être conforme ?
Pas pour l'essentiel. Le registre, la déclaration de confidentialité, les contrats sous-traitants, la procédure de fuite et la règle sur l'IA, une PME peut les mettre en place seule en une journée, sans payer un audit. Gardez l'avocat pour deux cas précis : le transfert de données hors UE vers un pays sans protection adéquate, et le profilage à risque élevé. Là, l'avis vaut son prix.
Le PFPDT va-t-il vraiment contrôler une petite PME ?
C'est possible, oui. Le Préposé fédéral peut ouvrir une enquête de sa propre initiative, sans attendre de plainte, par exemple après une fuite devenue publique. Le risque le plus fréquent n'est pas un contrôle surprise, mais un incident, une fuite, un client mécontent, qui attire l'attention. C'est précisément pour ce jour-là qu'avoir l'essentiel en place change tout.
Une grande partie de ce guide, vous pouvez la mener vous-même. Faites appel à nous quand vous voulez le faire vite et bien sans y passer vos soirées, quand une partie de vos traitements vous dépasse, ou quand vous traitez des données sensibles et préférez ne rien laisser au hasard.
Nous ne vendons pas la peur, et nous vous le dirons franchement quand vous n'avez besoin de personne.
Une heure pour faire le tour ?
Pas de présentation, pas de barrière. Une séance de travail sur vos traitements réels, avec les opérateurs qui les mettraient en ordre.