Loi suisse sur la protection des données (LPD) pour les e-commerçants 2026 : conformité nLPD et guide e-commerce

La protection des données en Suisse en 2026 — vue d'ensemble

Les dix piliers ci-dessous constituent la structure porteuse de la conformité nLPD pour les e-commerçants. Gardez ces fiches à portée de main pendant la lecture de chaque section détaillée : chaque obligation suisse de protection des données dans l'e-commerce correspond à l'une de ces dix fiches.

1. nLPD — la LPD révisée en vigueur depuis le 1er septembre 2023

Trois décennies de réforme en une seule date

La LPD (DSG) suisse d'origine date de 1992 — trois ans avant la directive européenne sur la protection des données et un quart de siècle avant le RGPD. Au milieu des années 2010, l'écart était devenu intenable : la Suisse devait conserver une « décision d'adéquation » de l'UE pour que les données circulent librement entre responsables du traitement suisses et entreprises européennes. Le Conseil fédéral a présenté une révision complète en 2017 ; la LPD révisée — nLPD / revDSG — a été adoptée le 25 septembre 2020, avec une entrée en vigueur au 1er septembre 2023.

Le résultat est une loi visiblement inspirée du RGPD — même logique responsable du traitement/sous-traitant, même catalogue de droits des personnes concernées, même exigence d'AIPD fondée sur le risque — mais avec des particularités suisses délibérées : responsabilité pénale personnelle et obligations administratives allégées pour les PME.

Les huit grands changements pour l'e-commerce

Si vous exploitiez une boutique en ligne suisse sous l'ancienne LPD de 1992 et avez continué à faire la même chose, vous êtes aujourd'hui non conforme sur au moins huit points distincts :

• Seules les personnes physiques sont protégées — la protection des personnes morales est supprimée, en ligne avec le RGPD
• Devoir d'informer renforcé (art. 19) — indiquer chaque destinataire, chaque transfert et la base juridique
• Privacy by Design / by Default (art. 7) — formulation identique à l'art. 25 RGPD
• Registre des activités de traitement (art. 12) — obligatoire à partir de 250 employés ou en cas de traitement à risque élevé
• Analyse d'impact relative à la protection des données (art. 22) — requise pour les traitements à risque élevé
• Droit à la portabilité des données (art. 28) — nouveau, presque identique à l'art. 20 RGPD
• Notification des violations (art. 24) — « dans les meilleurs délais » pour les violations à risque élevé
• Amende personnelle de CHF 250,000 — remplace les CHF 10,000 symboliques de la loi de 1992

Qui est concerné ? La portée extraterritoriale

L'art. 3 nLPD définit une large portée extraterritoriale : la loi s'applique « aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger ». En termes d'e-commerce, un commerçant de l'UE ou hors UE qui :

• livre des biens physiques à des adresses suisses, OU
• exploite un site ciblant la Suisse (langue allemande / française / italienne, domaine .ch, prix en CHF, drapeau suisse dans l'en-tête), OU
• mène des campagnes d'acquisition payantes ciblant des codes postaux / résidents suisses, OU
• encaisse des paiements via TWINT, PostFinance ou des cartes de crédit suisses

…entre dans le champ d'application de la nLPD et doit s'y conformer. L'art. 14 ajoute ensuite l'obligation, pour les responsables du traitement non établis en Suisse, de désigner dans certains cas un représentant en Suisse (traitement régulier à grande échelle de données de résidents suisses, traitement à risque élevé ou traitement de données personnelles sensibles).

Le calendrier de conformité — 2026

D'ici juin 2026, toute boutique en ligne ciblant la Suisse doit déjà appliquer le nouveau régime. Il n'existe aucune autre période transitoire — la date d'entrée en vigueur du 1er septembre 2023 s'est appliquée immédiatement, sans clause de maintien des droits acquis. Si votre politique de confidentialité renvoie encore à la loi de 1992, si votre registre des activités de traitement manque ou si votre procédure de réponse aux violations ne mentionne pas le PFPDT, vous êtes non conforme dès aujourd'hui.

2. PFPDT — l'autorité fédérale suisse de protection des données

Qui est le PFPDT ?

L'Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) — Préposé fédéral à la protection des données et à la transparence (PFPDT) — est l'équivalent suisse du BfDI allemand, de la CNIL française ou de l'ICO britannique. Il s'agit d'une autorité fédérale indépendante basée à Berne, actuellement dirigée par Adrian Lobsiger (en fonction depuis 2016, reconduit pour la période 2022–2027).

Pouvoirs en vertu de la nouvelle loi

La révision de 2023 a considérablement renforcé les outils du PFPDT. Selon la nouvelle nLPD, le préposé peut :

• Ouvrir des enquêtes formelles de sa propre initiative ou sur plainte
• Rendre des décisions administratives contraignantes — notamment ordonner à un responsable du traitement de modifier, suspendre ou cesser un traitement
• Ordonner la publication d'une notification de violation si un responsable du traitement n'informe pas les personnes concernées
• Transmettre des dossiers en vue de poursuites pénales — les amendes pénales suisses visant des personnes physiques relèvent des tribunaux pénaux cantonaux
• Se coordonner avec les autorités cantonales de protection des données (chaque canton dispose de sa propre autorité pour les organes publics cantonaux)
• Publier des prises de position et des directives officielles — les Leitfäden du PFPDT sont considérés en pratique comme quasi contraignants

La bibliothèque publique de directives du PFPDT

Contrairement à de nombreuses autorités européennes, le PFPDT publie la plupart de ses directives en trois langues (DE / FR / IT) et de plus en plus en anglais. Documents clés que les opérateurs e-commerce suisses devraient garder ouverts dans un onglet :

• Leitfaden zur Datensicherheit — guide sur les mesures techniques et organisationnelles de sécurité
• Leitfaden zur Meldung von Verletzungen der Datensicherheit — le guide officiel d'annonce des violations
• Erläuterungen zur Datenschutz-Folgenabschätzung — méthodologie de l'AIPD
• Liste der Staaten mit angemessenem Datenschutzniveau — liste des États tiers offrant une protection adéquate
• Standardvertragsklauseln — clauses contractuelles types suisses pour les transferts transfrontaliers

Quelle est l'intensité de l'application en pratique ?

Le PFPDT est historiquement un régulateur pragmatique, privilégiant le dialogue. Ses rapports annuels font état de quelques enquêtes formelles à une vingtaine par an, mais d'une correspondance informelle abondante. Le changement de 2023 réside dans la menace crédible d'une dénonciation pénale visant des personnes physiques : le risque d'application est passé d'une « amende abstraite pour l'entreprise » à un « casier judiciaire personnel bien réel ».

3. Consentement aux cookies en Suisse — moins strict que dans l'UE, mais recommandé

La vérité surprenante sur le droit suisse des cookies

C'est le point « la Suisse n'est pas l'UE » sur lequel les opérateurs se trompent le plus : le droit suisse n'exige pas de consentement légal (opt-in) pour les cookies non sensibles. Le fondement est double : (1) la nLPD repose sur la transparence + l'intérêt légitime — il n'existe pas d'équivalent suisse à l'opt-in de l'art. 5(3) de la directive ePrivacy ; (2) l'art. 45c de la loi suisse sur les télécommunications (LTC/FMG) exige seulement que les utilisateurs soient informés et puissent refuser — un consentement préalable explicite n'est pas imposé.

Un site uniquement suisse peut donc se conformer avec une bannière « souple » qui informe, propose l'opt-out et poursuit le suivi sauf opposition de l'utilisateur — plus proche du modèle américain « notice-and-choice » que du modèle européen du « consentement préalable éclairé ».

Le piège — le ciblage simultané de l'UE

Le piège est que toute boutique en ligne suisse qui sert aussi des visiteurs de l'UE — et presque toutes le font (DACH ou Europe plus large) — relève du RGPD + ePrivacy dès qu'un résident de l'UE arrive sur le site. En pratique, presque tous les sites e-commerce suisses mettent en place une bannière de consentement CMP de type RGPD comme option par défaut sûre, même si le seul droit suisse tolérerait une solution plus légère.

Ce qu'attend réellement le PFPDT

Le préposé a indiqué que pour les cookies non sensibles (statistiques, personnalisation de base), la transparence + une véritable possibilité d'opposition suffisent. Pour les traitements sensibles (suivi multi-appareils, publicité comportementale, profilage aux effets importants), le seuil se durcit — un consentement explicite et granulaire est requis. Les « cookie walls » qui refusent l'accès si le suivi n'est pas accepté posent problème.

Le dispositif pratique 2026

• Niveau 1 — strictement nécessaires : aucun consentement requis (session, panier, langue, CSRF)
• Niveau 2 — fonctionnels + statistiques : bannière transparente + opt-out selon le droit suisse ; opt-in recommandé en cas de ciblage simultané de l'UE
• Niveau 3 — marketing / multi-appareils : opt-in explicite, granulaire par fournisseur, avec révocation
• Documentation : registre des cookies par fournisseur, durée de conservation et base juridique

4. Politique de confidentialité — obligatoire selon l'art. 19 nLPD

Le devoir d'informer — désormais strict

L'art. 19 nLPD impose à chaque responsable du traitement un devoir d'informer (Informationspflicht) structuré. Chaque fois que des données personnelles sont collectées — directement auprès de la personne concernée ou auprès d'un tiers — le responsable doit communiquer de manière proactive :

• L'identité et les coordonnées du responsable du traitement (raison sociale, forme juridique, siège, e-mail)
• Les finalités du traitement en termes clairs et précis — pas de formules génériques
• Les catégories de destinataires — services internes, sous-traitants, services tiers, organismes publics
• Chaque transfert à l'étranger — pays de destination, base juridique (décision d'adéquation, clauses contractuelles types suisses, BCR, consentement explicite)
• Les durées de conservation par catégorie de données
• Le catalogue complet des droits des personnes concernées et la manière de les exercer

Comment structurer la politique de confidentialité

Le PFPDT n'impose pas de format unique, mais la norme pratique du secteur e-commerce suisse est la suivante :

1. Identité et contact — responsable du traitement, siège, conseiller à la protection des données annoncé au PFPDT (le cas échéant), représentant en Suisse pour les responsables étrangers
2. Catégories de données personnelles — identification, contact, compte, historique des commandes, paiement, comportement, données techniques
3. Finalités et bases juridiques — exécution du contrat, intérêt légitime, obligation légale, consentement
4. Destinataires et sous-traitants — liste nominative avec pays d'établissement
5. Transferts à l'étranger — destination, base juridique, lien vers les clauses contractuelles types suisses ou la décision d'adéquation
6. Durées de conservation — par catégorie de données, rattachées à une base légale ou contractuelle précise
7. Droits des personnes concernées — catalogue complet, contact pour les demandes d'accès, voie de plainte auprès du PFPDT
8. Décisions automatisées et profilage — information selon l'art. 21 nLPD
9. Cookies et suivi — aperçu, lien vers la CMP, instructions d'opposition
10. Mesures de sécurité — résumé des mesures techniques et organisationnelles

Erreurs courantes à éviter

• Politiques allemandes copiées-collées renvoyant au RGPD/BfDI au lieu de la nLPD/du PFPDT
• Formule générique « nous traitons vos données pour fournir nos services » — ne satisfait pas l'exigence de précision de l'art. 19
• Absence d'information sur les transferts transfrontaliers pour AWS, Google Workspace, les SaaS américains
• Aucun canal pour les demandes d'accès — il faut indiquer un e-mail ou un formulaire fonctionnel
• Pas de date de « dernière mise à jour » — chaque modification importante doit être datée

5. Délégué / conseiller à la protection des données — facultatif mais stratégique

Le terme suisse : Datenschutzberater

La révision de 2023 n'a délibérément pas repris le régime de DPO obligatoire du RGPD. L'art. 10 nLPD introduit le conseiller à la protection des données (Datenschutzberater) comme désignation facultative pour les entreprises privées — à la fois pour alléger les PME et pour conserver une alternative distincte et plus légère au RGPD, tout en préservant la décision d'adéquation de l'UE.

Pourquoi en désigner un malgré tout

Bien que facultative, la désignation et l'annonce d'un conseiller à la protection des données au PFPDT apportent un avantage pratique majeur : l'auto-validation des AIPD à risque élevé. Selon l'art. 23 nLPD, si une AIPD révèle un risque résiduel élevé, le responsable du traitement doit consulter le PFPDT avant de poursuivre — sauf si un conseiller annoncé a participé à l'analyse, auquel cas le responsable peut s'appuyer sur l'avis du conseiller interne et poursuivre sans consulter le PFPDT.

Pour les opérateurs e-commerce qui pratiquent toute forme de profilage, de moteur de recommandation, de scoring de fraude ou de suivi multi-appareils, c'est un avantage opérationnel significatif — les consultations du PFPDT peuvent prendre des semaines, voire des mois.

Qui peut être conseiller à la protection des données ?

L'art. 10 nLPD exige que le conseiller :

• dispose des qualifications professionnelles nécessaires à l'exercice de la fonction (compétences juridiques + techniques)
• exerce sa fonction de manière indépendante et sans recevoir d'instructions dans ce cadre
• n'ait aucun conflit d'intérêts avec la fonction
• soit habilité à accéder à toutes les informations et ressources nécessaires

Le conseiller peut être un employé interne ou un consultant externe. Pour les petites PME e-commerce suisses, la configuration la plus courante est un avocat suisse externe spécialisé en protection des données, rémunéré par un forfait.

Annonce au PFPDT

Pour bénéficier de l'auto-validation des AIPD, le responsable du traitement doit annoncer le conseiller à la protection des données au PFPDT via le portail fédéral. L'annonce est gratuite, traitée en quelques jours et doit indiquer le nom, les qualifications et les coordonnées du conseiller. Le PFPDT tient un registre public des conseillers annoncés.

Pour les organes fédéraux — le DPO est obligatoire

Les organes fédéraux (départements, offices, tribunaux) doivent désigner un DPO selon l'art. 10 nLPD — comme le régime obligatoire du RGPD pour les autorités publiques.

6. Droits des personnes concernées selon la nLPD

Le catalogue complet

La nLPD accorde aux personnes concernées en Suisse un catalogue de droits qui, sur le fond, est presque identique aux articles 15 à 22 du RGPD :

• Droit à l'information (art. 19) — communication proactive au moment de la collecte
• Droit d'accès (art. 25–27) — la personne concernée peut demander une copie de toutes les données personnelles traitées, les finalités, les destinataires, la conservation, la source et toute décision individuelle automatisée
• Droit de rectification (art. 32) — correction des données inexactes
• Droit à l'effacement — découlant de l'art. 32 et du principe de proportionnalité ; pas toujours absolu (les obligations légales de conservation peuvent primer)
• Droit d'opposition — au traitement fondé sur l'intérêt légitime, y compris le profilage
• Droit face aux décisions individuelles automatisées (art. 21) — droit d'être informé des décisions prises exclusivement de manière automatisée ayant des effets juridiques ou importants, et d'en exiger le réexamen par une personne physique
• Droit à la portabilité des données (art. 28) — ajouté lors de la révision de 2023 ; droit de recevoir ses données personnelles dans un format structuré, couramment utilisé et lisible par machine

Le processus de demande d'accès (DSAR)

Selon l'art. 25 nLPD, le responsable du traitement doit répondre à une demande d'accès dans un délai de 30 jours. Ce délai peut être prolongé en cas de complexité, la personne concernée en étant informée. Point essentiel, la réponse doit être gratuite dans les cas normaux ; le responsable ne peut exiger une participation raisonnable aux frais (jusqu'à CHF 300) que si la demande est manifestement excessive ou répétitive.

Le contenu requis d'une réponse à une demande d'accès est détaillé :

• Une copie des données personnelles traitées
• Les finalités du traitement
• La durée de conservation ou, si ce n'est pas possible, les critères pour la déterminer
• Les informations disponibles sur l'origine des données
• Les catégories de destinataires
• L'existence de décisions individuelles automatisées et la logique sous-jacente
• Le cas échéant, les destinataires à l'étranger et les garanties en place

Motifs de refus (art. 26)

Le responsable du traitement ne peut refuser, restreindre ou différer une demande d'accès que pour des motifs étroits : motifs légaux, intérêts prépondérants de tiers, intérêts prépondérants du responsable (lorsque les données ne sont communiquées à personne et que l'intérêt est justifié) ou intérêt public prépondérant (notamment la sécurité intérieure/extérieure). Tout refus doit être motivé, avec mention du droit de saisir le PFPDT ou les tribunaux civils.

7. Notification des violations de données — « dans les meilleurs délais »

La norme suisse est souple — mais pas laxiste

L'art. 24 nLPD impose aux responsables du traitement un devoir d'annonce chaque fois qu'une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. L'annonce est adressée au PFPDT et doit intervenir « dans les meilleurs délais » — en allemand « so rasch als möglich », en français « dans les meilleurs délais ».

C'est la différence Suisse/RGPD la plus citée. Le RGPD fixe un délai strict de 72 heures à partir du moment où le responsable a connaissance de la violation. La nLPD rejette délibérément un délai fixe — mais les directives du PFPDT précisent que « dans les meilleurs délais » se mesure en jours ouvrables, pas en semaines, et qu'un retard de plus de cinq jours ouvrables suscitera des questions.

Quand la notification est-elle requise ?

Seules les violations présentant un risque élevé pour la personnalité ou les droits fondamentaux doivent être annoncées. Exemples pratiques qui atteignent toujours ce seuil :

• Perte d'un ordinateur portable ou d'une bande de sauvegarde non chiffrés contenant des données clients
• Chiffrement par rançongiciel ou exfiltration des bases de données de commandes / paiements
• Bucket cloud mal configuré exposant les adresses, numéros de téléphone ou historiques de commandes des clients
• Hameçonnage réussi d'une boîte de réception du service client ayant touché des données personnelles
• Exfiltration par un employé de listes de contacts marketing ou commerciales
• Violation chez un fournisseur / sous-traitant touchant des personnes concernées en Suisse

Contenu de l'annonce

L'annonce au PFPDT doit comprendre :

• La nature de la violation — ce qui s'est passé, quand et comment elle a été découverte
• Les catégories et le nombre approximatif de personnes concernées
• Les catégories et le nombre approximatif d'enregistrements de données personnelles concernés
• Les conséquences probables pour les personnes concernées
• Les mesures déjà prises ou prévues pour y remédier
• Les coordonnées du conseiller à la protection des données ou d'un autre point de contact

Le PFPDT met à disposition un formulaire en ligne structuré sur son portail fédéral.

Information des personnes concernées

Le responsable du traitement doit également informer directement les personnes concernées lorsque cela est nécessaire à leur protection ou lorsque le PFPDT l'exige. Cette information peut être omise si le responsable a pris des mesures de protection adéquates (par exemple, les données concernées étaient chiffrées et la clé n'a pas été compromise) — l'annonce au PFPDT reste alors obligatoire.

La procédure pratique

1. T+0 : incident détecté, isolement, gel des éléments
2. T+24h : triage — mesurer la violation, identifier les catégories de personnes concernées, évaluer le seuil de risque élevé
3. T+72h : décision interne — conseiller à la protection des données + juridique + direction s'accordent sur l'annonce
4. T+5 jours ouvrables : annonce au PFPDT via le portail fédéral
5. Après l'incident : information des personnes concernées si nécessaire, inscription au registre des activités de traitement, mise à jour des AIPD

8. Transferts transfrontaliers de données — liste d'adéquation + clauses contractuelles types suisses

La liste d'adéquation du Conseil fédéral

L'art. 16 nLPD autorise les transferts si le Conseil fédéral a constaté que le pays offre un niveau de protection adéquat. En juin 2026, la liste comprend :

• L'ensemble de l'UE et de l'EEE (27 États membres + Islande, Liechtenstein, Norvège) — destination la plus courante des données de l'e-commerce suisse
• Royaume-Uni, Andorre, Argentine, Canada (secteur commercial), îles Féroé, Guernesey, Israël, île de Man, Japon, Jersey, Monaco, Nouvelle-Zélande, Corée du Sud, Uruguay
• États-Unis — uniquement pour les organisations certifiées selon le Swiss-US Data Privacy Framework (en vigueur depuis 2024)

Les transferts vers tout autre pays nécessitent une base juridique distincte : clauses contractuelles types suisses, règles d'entreprise contraignantes, consentement explicite ou une dérogation étroite selon l'art. 17.

Clauses contractuelles types suisses

Le PFPDT a officiellement reconnu les clauses contractuelles types de l'UE (2021/914) comme conformes au droit suisse, moyennant des adaptations propres au pays (RGPD → nLPD, droit de l'État membre → droit suisse). Pour les flux combinés UE + Suisse, un seul jeu de clauses peut satisfaire les deux régimes — la norme de fait du secteur.

Le Swiss-US Data Privacy Framework

Après que l'arrêt Schrems II a invalidé les Privacy Shield UE-États-Unis et Suisse-États-Unis, un successeur a été négocié. Le Swiss-US Data Privacy Framework est entré en vigueur le 15 septembre 2024, rétablissant l'adéquation pour les organisations américaines auto-certifiées. AWS, Google Cloud, Microsoft Azure et la plupart des grands fournisseurs SaaS certifiés DPF peuvent à nouveau recevoir des données suisses sans clauses contractuelles types distinctes.

La matrice pratique des transferts

• Hébergement en Suisse ou dans l'UE/EEE — aucune formalité de transfert particulière, il suffit de l'indiquer dans la politique de confidentialité
• Hébergement chez un fournisseur américain certifié DPF — informer, vérifier la certification sur la liste DPF, pas de clauses contractuelles types nécessaires
• Hébergement chez un fournisseur américain non certifié DPF — clauses contractuelles types suisses obligatoires, plus une analyse d'impact du transfert
• Hébergement dans un pays tiers sans adéquation (Inde, Chine, Russie, Singapour pour certaines finalités) — clauses contractuelles types suisses + analyse d'impact approfondie du transfert + idéalement chiffrement avec des clés détenues en Suisse

9. Sanctions — jusqu'à CHF 250,000 pour la personne physique

La particularité suisse la plus importante

C'est la principale raison pour laquelle les fondateurs, directeurs et DPO de l'e-commerce suisse devraient se soucier personnellement de la conformité à la nLPD — et pas seulement au niveau de l'entreprise. La sanction des infractions graves à la nLPD est une amende pénale pouvant atteindre CHF 250,000, infligée à la personne physique responsable et non à l'entreprise.

C'est fondamentalement différent des amendes administratives du RGPD au niveau de l'entreprise (jusqu'à 4 % du chiffre d'affaires mondial). En Suisse :

• L'amende vise la personne physique qui a enfreint la loi — généralement un cadre, un directeur, un fondateur ou un responsable désigné
• Il s'agit d'une amende pénale prononcée par un tribunal pénal cantonal, et non d'une amende administrative infligée par le régulateur
• La condamnation peut figurer au casier judiciaire suisse de la personne — avec des conséquences sur les permis de séjour, le statut réglementaire financier, les nominations au conseil d'administration
• L'amende ne peut pas être remboursée par l'entreprise au titre d'une assurance D&O — les amendes pénales sont en général inassurables en Suisse

Niveaux de sanctions par type d'infraction

Amende pour l'entreprise — seulement dans des cas limités

L'art. 64 nLPD permet des amendes jusqu'à CHF 50,000 pour l'entreprise elle-même — mais uniquement si l'identification de la personne responsable exigerait des mesures d'enquête disproportionnées. En pratique, c'est une solution de repli lorsque la structure de gouvernance est si opaque que le ministère public ne peut identifier la personne physique responsable. La responsabilité personnelle reste la règle.

Qu'est-ce qui déclenche des poursuites ?

• Dénonciation du PFPDT après l'échec d'un dialogue de conformité ou le non-respect d'une décision contraignante
• Plainte pénale d'une personne concernée
• Procédure pénale cantonale ouverte d'office (rare en pratique)
• Répercussion d'une enquête RGPD parallèle impliquant une autorité européenne de protection des données

Circonstances atténuantes

Les tribunaux pénaux suisses tiennent compte de plusieurs circonstances atténuantes pour fixer l'amende effective dans la fourchette maximale :

• Existence d'un conseiller à la protection des données annoncé et d'un programme interne de conformité documenté
• Coopération rapide avec le PFPDT
• Annonce volontaire de la violation et mesures correctives
• Absence d'infractions antérieures
• Statut de PME et capacité financière limitée

10. LPD vs RGPD dans l'e-commerce — l'écart pratique

Tableau comparatif

L'outil le plus utile pour un opérateur e-commerce suisse est un comparatif montrant où la nLPD diverge du RGPD. Le tableau ci-dessous résume les dix dimensions les plus importantes pour le commerce en ligne.

Dimension	nLPD / revDSG suisse	RGPD de l'UE	Impact pratique
Amende maximale	CHF 250,000 pour la personne physique	4 % du chiffre d'affaires mondial pour l'entreprise	Responsabilité pénale personnelle en Suisse
Consentement aux cookies	Transparence + opt-out	Consentement préalable (opt-in)	CMP recommandée en cas de ciblage simultané
DPO / conseiller	Facultatif, avec avantage d'auto-validation	Obligatoire dans des cas définis (art. 37)	Annonce stratégique pour alléger les AIPD
Notification des violations	« Dans les meilleurs délais »	Délai strict de 72 heures	Prévoir une procédure en ≤5 jours ouvrables
Registre des activités de traitement	Uniquement 250+ employés ou risque élevé	Tous les responsables et sous-traitants (avec exceptions)	Allègement PME en Suisse, obligatoire dans l'UE
Portabilité des données	Art. 28 nLPD — ajouté en 2023	Art. 20 RGPD — depuis 2018	Presque identique en pratique
Profilage / décisions automatisées	Art. 21 + devoir d'informer	Art. 22 RGPD	Équivalent — un processus unique est possible
Transferts transfrontaliers	Liste d'adéquation du Conseil fédéral + clauses contractuelles types suisses	Adéquation de la Commission + clauses contractuelles types de l'UE	Clauses de l'UE réutilisées avec annexe suisse
Champ de protection	Personnes physiques uniquement (personnes morales retirées)	Personnes physiques uniquement	Aligné lors de la révision de 2023
Régulateur	PFPDT (fédéral) + autorités cantonales	Autorités nationales + CEPD	Point d'entrée suisse unique

Lecture du tableau : la nLPD et le RGPD sont désormais largement alignés sur le fond, mais les cinq particularités suisses — responsabilité pénale personnelle, régime des cookies plus léger, DPO facultatif, délai de notification souple, allègement pour les PME en matière de registre — impliquent des décisions opérationnelles distinctes. Le dispositif optimal pour un site e-commerce suisse qui sert aussi des clients de l'UE consiste à appliquer la norme la plus exigeante des deux dans chaque dimension, afin de couvrir les deux régimes avec un processus unique.

Le dispositif « construire une fois, se conformer deux fois »

• Politique de confidentialité — DE/FR/IT/EN, renvoyant à la nLPD et au RGPD, au PFPDT et à l'autorité chef de file de l'UE
• Bannière cookies — CMP avec opt-in préalable selon le RGPD ; couvre la Suisse par définition
• Processus de demandes d'accès — délai suisse de 30 jours (correspond à l'art. 12 RGPD) + contenu suisse plus large
• Réponse aux violations — délai RGPD de 72 heures ; satisfait l'exigence suisse « dans les meilleurs délais »
• Registre des activités de traitement — à tenir indépendamment de l'allègement PME
• Transferts transfrontaliers — les clauses de l'UE avec annexe suisse couvrent les deux juridictions
• DPO / conseiller à la protection des données — l'annoncer au PFPDT pour l'auto-validation des AIPD

Comment mettre en œuvre la conformité nLPD — étape par étape en 2026

1. Cartographier vos flux de données personnelles (arbre de décision)

• Comptes clients + historique des commandes → données d'identification + de contact + comportementales
• Traitement des paiements → données financières sensibles, précautions particulières selon l'art. 5
• Marketing + remarketing → profilage, suivi multi-appareils, souvent fondé sur le consentement
• Support + service client → les champs de texte libre peuvent contenir des informations sensibles
• Logistique + livraison → données de contact partagées avec InPost / Swiss Post / DPD / DHL
• Statistiques → IP, appareil, comportement ; vérifier l'anonymisation des adresses IP

2. Désigner un représentant en Suisse (responsables étrangers uniquement)

Si votre entreprise n'est pas établie en Suisse mais traite des données personnelles de résidents suisses à grande échelle ou avec un risque élevé, l'art. 14 nLPD exige la désignation d'un représentant en Suisse. Trois options juridiques :

• Filiale ou succursale suisse — le plus rapide si vous disposez déjà d'une entité juridique suisse
• Cabinet d'avocats ou spécialiste de la conformité externe comme représentant — configuration courante pour les PME
• Prestataire spécialisé de représentation — forfait mensuel récurrent, incluant la liaison avec le PFPDT

3. Désigner et annoncer un conseiller à la protection des données

Qu'il soit interne ou externe, l'annonce du conseiller au PFPDT permet l'auto-validation des AIPD et constitue l'étape de conformité la plus rentable. L'annonce est gratuite et prend quelques jours.

4. Mettre en place la politique de confidentialité + la CMP

• Générer une politique de confidentialité conforme au droit suisse en DE/FR/IT/EN
• Déployer une CMP avec opt-in préalable de type RGPD pour les cookies marketing, granulaire par fournisseur
• Documenter le registre des cookies — fournisseur, finalité, conservation, base juridique
• Ajouter un lien dans le pied de page de chaque page, dans la bannière cookies et dans le formulaire d'inscription

5. Mettre en place le processus de demandes d'accès

• Publier un canal de demande d'accès (e-mail + formulaire), une vérification d'identité, un SLA de 30 jours
• Automatiser l'export des données des commandes + paniers + navigation + marketing + support
• Utiliser des modèles de réponse alignés sur le PFPDT en DE/FR/IT/EN

6. Documenter le registre des activités de traitement + les AIPD

Même lorsque le registre est facultatif (moins de 250 employés, pas de risque élevé), le tenir constitue la meilleure preuve de diligence dans une procédure pénale. Il en va de même pour les AIPD : documentez le risque résiduel, les mesures d'atténuation et l'avis du conseiller.

7. Élaborer la procédure de gestion des violations

• Définir les déclencheurs de détection (alertes de sécurité, plaintes de clients, notifications de sous-traitants)
• Fixer les délais : triage en 24 heures et annonce au PFPDT en 5 jours ouvrables
• Pré-remplir les champs du formulaire du PFPDT qui peuvent l'être à l'avance (identité du responsable, contact)

8. Configurer le registre des transferts transfrontaliers

Lister chaque sous-traitant et son pays d'établissement. Joindre les clauses contractuelles types suisses + une analyse d'impact du transfert pour les destinations non adéquates. Réévaluer automatiquement lorsque le Conseil fédéral met à jour la liste d'adéquation.

9. Se connecter via Zunapro (configuration de la conformité)

1. Connectez-vous à Zunapro et ouvrez le module Suisse
2. Activez le pack de conformité nLPD — générateur de politique de confidentialité, CMP, portail de demandes d'accès, procédure de gestion des violations, registre des activités de traitement, registre des transferts transfrontaliers
3. Annoncez votre conseiller à la protection des données — Zunapro peut pré-remplir le formulaire d'annonce du PFPDT
4. Connectez vos marketplaces suisses — Galaxus, Digitec, Brack, Ricardo — et faites transiter les données clients par le pack de conformité
5. Mise en ligne — une fois la base de conformité établie, la surveillance continue s'exécute en arrière-plan

FAQ nLPD / LPD suisse 2026