Marketing en Suisse : la nLPD en pratique

Remarque Cet article donne un aperçu et ne remplace pas un conseil juridique. Pour apprécier votre cas – en particulier avec des données sensibles, du profilage ou des transferts vers des États tiers –, il faut faire appel à un spécialiste.

L'essentiel en bref

La nLPD s'applique depuis le 1er septembre 2023 et ne connaît pas de période transitoire.
Trois différences essentielles avec le RGPD : pas de consentement comme cas général, des sanctions contre des personnes physiques plutôt que contre l'entreprise, et pas de registre général pour les petites structures.
Qui a des clients dans l'UE ou s'adresse à des citoyens de l'UE relève en plus du RGPD – en pratique, c'est alors le régime le plus strict qui s'applique.
Six points doivent être réglés sur un site d'entreprise suisse ; la politique de confidentialité n'en est qu'un.

Les trois différences essentielles avec le RGPD

1. Le traitement est en principe autorisé

Le RGPD interdit le traitement de données personnelles tant qu'aucune base juridique n'existe. La nLPD inverse le point de départ : le traitement est licite tant qu'il ne porte pas une atteinte illicite à la personnalité.

En pratique : la différence est plus petite qu'elle n'en a l'air. Transparence, finalité, proportionnalité et sécurité des données valent ici aussi. Pour les données sensibles et le profilage à risque élevé, un consentement exprès est également exigé.

2. Les sanctions visent des personnes, pas des entreprises

Le RGPD prévoit des amendes contre les entreprises, proportionnelles au chiffre d'affaires. La nLPD prévoit des amendes allant jusqu'à 250 000 francs – contre la personne physique responsable, donc la direction ou le cadre compétent.

En pratique : le montant plus faible est souvent lu comme un signal rassurant. C'est un malentendu : la responsabilité personnelle change la donne dans l'entreprise, et elle joue aussi en cas d'intention par omission.

3. Pas de registre des activités pour les petites entreprises

Les entreprises de moins de 250 personnes sont dispensées du registre des activités de traitement – à condition que le traitement ne présente pas de risque élevé et qu'aucune donnée sensible ne soit traitée à grande échelle.

En pratique : la dispense tombe vite. Qui traite des données de santé ou pratique un profilage étendu a besoin du registre malgré tout – et c'est de toute façon le récapitulatif le plus utile qu'on puisse avoir en interne.

Le saviez-vous ?

La plupart des entreprises suisses disposant d'un site relèvent de fait des deux régimes en même temps. Le RGPD s'applique dès que des personnes situées dans l'UE sont visées – par exemple par des prix en euros, une version linguistique orientée vers l'UE ou des expéditions vers l'UE.

Il en découle une conséquence pratique : qui doit satisfaire aux deux régimes a intérêt à s'aligner sur le plus strict. Faire tourner deux procédures distinctes coûte plus cher que de travailler d'emblée au standard supérieur.

Six points à régler

Point	Ce qui est exigé	Erreur fréquente
Politique de confidentialité	compréhensible, complète, avec tous les prestataires employés	des prestataires cités qui ne sont plus utilisés – ou l'inverse
Sous-traitance	un contrat avec chaque prestataire qui traite des données pour vous	manquant pour l'hébergement, l'envoi d'infolettres et l'analyse
Communication à l'étranger	vérifier l'adéquation, sinon clauses contractuelles types	services américains employés sans base documentée
Droit d'accès	réponse sous 30 jours, en règle générale gratuite	aucun processus défini – le délai court quand même
Sécurité des données	mesures techniques et organisationnelles appropriées	aucune documentation de ce qui a été fait
Annonce des violations	annonce au PFPDT en cas de risque élevé	personne ne sait qui annonce le cas échéant

Publicité par e-mail : une réglementation à part

En Suisse, la publicité par courriel n'est pas régie par la loi sur la protection des données mais par la loi contre la concurrence déloyale. Trois conditions doivent être réunies :

Le consentement du destinataire, ou une relation client existante portant sur des produits propres et comparables.
Une indication d'expéditeur correcte, avec une adresse réellement joignable.
Une mention de la possibilité de désinscription dans chaque message, gratuite et sans inscription préalable.

Une infraction est ici passible de sanction – là aussi, elle vise la personne responsable. Qui écrit en plus à des destinataires de l'UE relève en outre des exigences plus strictes sur le consentement démontrable ; l'exception suisse pour les relations clients existantes y est définie plus étroitement.

Retour de pratique

Le constat le plus fréquent lors d'une revue est toujours le même : la politique de confidentialité cite des services qui n'existent plus dans l'entreprise – et n'en cite pas d'autres, employés depuis longtemps. Un outil d'analyse a été remplacé, un service d'infolettre changé, un réseau de distribution introduit.

Ce n'est pas un défaut formel : une politique qui cite un service non utilisé est tout aussi fausse qu'une politique qui tait un service utilisé. Un rendez-vous fixe une fois par an, où la liste des prestataires est confrontée à la politique, élimine de loin le défaut le plus courant.

Services américains et autres États tiers

Le point qui coince le plus en pratique – parce que presque tout outil marketing est concerné.

La Suisse tient une liste d'États offrant un niveau de protection adéquat. Pour les États-Unis, un cadre existe depuis 2024 qui autorise un transfert vers des destinataires certifiés. Deux choses sont à vérifier :

Le prestataire concerné est-il certifié ? Le cadre ne vaut pas globalement pour toutes les entreprises américaines, mais seulement pour celles qui se sont fait certifier. C'est vérifiable dans le registre public.
Si non : clauses contractuelles types plus une évaluation de risque propre. Les clauses seules ne suffisent pas ; il faut apprécier si une protection équivalente est réellement possible dans le pays de destination.

Conseil Tenez une liste simple de tous les services qui traitent des données personnelles : prestataire, finalité, emplacement des serveurs, base du transfert, date du dernier contrôle. Cette liste répond en quelques minutes à la plupart des questions d'un contrôle – et elle constitue la base du registre, si vous en avez besoin.

Prompt

Aide-moi à repérer les lacunes de nos documents de protection des
données. Nous sommes une entreprise suisse.

Notre situation :
- Effectif : [nombre]
- Avons-nous des clients dans l'UE ou visons-nous des citoyens de
  l'UE ? [oui/non]
- Services qui traitent des données personnelles : [liste avec
  finalité et emplacement des serveurs, si connu]
- Ce que nous avons déjà : [politique de confidentialité /
  contrats de sous-traitance / registre / rien de tout cela]

Tâches :
1. Indique pour chaque service quelle base le transfert à
   l'étranger exige et ce que nous devons avoir en main.
2. Détermine, à partir de nos indications, si nous devons tenir un
   registre des activités de traitement. Justifie.
3. Nomme les informations qui manquent probablement dans notre
   politique de confidentialité.
4. Liste les points où le RGPD s'applique en plus, et ce qui y est
   plus strict.
5. Marque tout ce qu'un spécialiste doit impérativement apprécier.

N'invente aucun article de loi ni aucun délai. Si tu n'es pas sûr
d'une information, signale-la comme à vérifier.

Conclusion

La nLPD est moins stricte que le RGPD et ne justifie pourtant aucun relâchement – surtout parce que la responsabilité est personnelle et parce que la plupart des entreprises suisses relèvent de toute façon des deux régimes.

En pratique, cela conduit à une recommandation simple : travailler au standard le plus strict, tenir une liste à jour de tous les prestataires et vérifier une fois par an que la politique de confidentialité décrit encore ce qui est réellement employé. Cela couvre l'essentiel de ce qui ressort lors d'un contrôle.

Questions fréquentes

Le RGPD s'applique-t-il aux entreprises suisses ?

Oui, dès que des personnes situées dans l'UE sont visées – par des prix en euros, des expéditions vers l'UE ou une version linguistique orientée vers des clients de l'UE – ou que leur comportement est observé. La nLPD et le RGPD s'appliquent alors simultanément, et il est plus simple en pratique de travailler d'emblée au standard le plus strict.

Quelle est la différence principale entre la nLPD et le RGPD ?

Le point de départ : le RGPD interdit le traitement tant qu'aucune base juridique n'existe ; la nLPD l'autorise tant qu'il n'y a pas d'atteinte illicite à la personnalité. Deux autres différences comptent davantage en pratique – les amendes jusqu'à 250 000 francs visent la personne physique responsable, et les petites entreprises sont dispensées du registre sous conditions.

Une petite entreprise suisse a-t-elle besoin d'un registre des traitements ?

Les entreprises de moins de 250 personnes en sont dispensées, à condition que le traitement ne présente pas de risque élevé et qu'aucune donnée sensible ne soit traitée à grande échelle. La dispense tombe vite – par exemple en cas de profilage étendu. Indépendamment de cela, une liste des services employés est le récapitulatif le plus utile en interne.

Peut-on utiliser des services américains depuis la Suisse ?

Oui, sous conditions. Il faut vérifier si le prestataire concerné est certifié selon le cadre en vigueur depuis 2024 – cela ne vaut pas globalement pour toutes les entreprises américaines. S'il ne l'est pas, il faut des clauses contractuelles types et, en plus, une appréciation propre du caractère réellement équivalent de la protection dans le pays de destination.

Quelles règles pour la publicité par e-mail en Suisse ?

Non pas la loi sur la protection des données, mais la loi contre la concurrence déloyale. Trois choses sont exigées ensemble : un consentement ou une relation client existante portant sur des produits propres comparables, une indication d'expéditeur correcte et joignable, et une mention de désinscription gratuite dans chaque message. Pour les destinataires de l'UE s'ajoutent les exigences plus strictes sur le consentement démontrable.