Le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) est entrée en vigueur, sans période transitoire. Deux ans et demi plus tard, beaucoup de PME romandes vivent encore comme si rien n'avait changé. Voici ce qui a réellement changé, sans jargon juridique.
La grande différence avec le RGPD : c'est vous qui payez
Le RGPD européen sanctionne l'entreprise. La LPD suisse, elle, sanctionne la personne physique responsable, c'est-à-dire, dans une PME, le plus souvent le dirigeant lui-même. L'amende peut atteindre 250 000 CHF, et elle n'est pas assurable.
Ce que la loi attend concrètement de votre PME
Pas de panique : pour une TPE/PME, les obligations sont finies et connues. Les principales :
- Informer : vos clients et collaborateurs doivent savoir quelles données vous collectez et pourquoi, d'où la déclaration de confidentialité sur votre site.
- Tenir un registre des traitements : formellement obligatoire dès 250 employés, mais c'est l'outil central que l'autorité vous demandera en cas de contrôle, et le plus simple à produire avec un bon modèle.
- Sécuriser : des mesures techniques et organisationnelles « appropriées ». Pas la NASA : des sauvegardes, des accès maîtrisés, des mots de passe sérieux.
- Annoncer les violations : en cas de fuite de données présentant un risque élevé, vous devez l'annoncer au Préposé fédéral (PFPDT) dans les meilleurs délais.
- Respecter les droits d'accès : toute personne peut vous demander quelles données vous détenez sur elle. Vous avez 30 jours pour répondre.
« Mais je suis trop petit pour être contrôlé »
C'est l'objection classique, et elle était à moitié vraie avant 2023. Elle ne l'est plus : les demandes d'accès de particuliers (clients mécontents, ex-employés) sont devenues le déclencheur numéro un des dossiers. Vous n'avez pas besoin d'un contrôle du Préposé pour avoir un problème : une seule demande d'accès à laquelle vous ne savez pas répondre suffit.
Et le RGPD dans tout ça ?
Si vous avez des clients dans l'Union européenne, le RGPD s'applique en plus de la LPD. La bonne nouvelle : les deux lois se recouvrent à 90 %. Une mise en conformité LPD bien menée vous met, à peu de frais, également en règle côté RGPD.
Par où commencer
Le piège classique : demander un devis à un consultant, recevoir une offre à cinq chiffres, et repousser le sujet d'un an. Pour une PME sans juriste, il existe une voie du milieu : le faire vous-même, avec méthode. C'est ce que nous avons construit avec l'accompagnement Conformité RGPD / nLPD : 8 modules, des modèles prêts à l'emploi et des webinaires mensuels pour vos questions.