Entrée en vigueur en septembre 2023, la nouvelle loi sur la protection des données (nLPD) a modernisé les règles suisses en matière de traitement des données personnelles. Près de trois ans plus tard, le rapport d’activité du Préposé fédéral à la protection des données et à la transparence (PFPDT, l’autorité fédérale chargée de veiller au respect de cette loi) permet de dresser un premier bilan concret. Et il réserve quelques enseignements précieux pour les dirigeants de PME.

Des chiffres qui parlent

Sur la période couverte, le PFPDT indique avoir reçu plus de 2000 annonces de possibles violations de la protection des données. Une violation de données désigne tout incident qui expose des données personnelles à un accès non autorisé, à une perte ou à une divulgation : une fuite après un piratage, un courriel envoyé au mauvais destinataire, un ordinateur portable perdu.

Face à ces signalements, l’autorité est intervenue 156 fois auprès des responsables concernés, a mené 22 examens préliminaires et ouvert 9 enquêtes formelles. La plupart des cas se sont réglés à l’amiable, sans procédure contentieuse. Le PFPDT relève par ailleurs qu’une décision du Tribunal administratif fédéral, rendue en octobre 2025, a confirmé sa pratique, renforçant la sécurité du droit dans l’application de la loi révisée.

Le point souvent mal compris : qui paie l’amende

C’est sans doute l’élément le plus important pour une PME, et le plus souvent mal interprété. Contrairement au RGPD européen (le règlement général sur la protection des données, applicable dans l’Union européenne), la nLPD ne prévoit pas d’amendes administratives infligées directement à l’entreprise par une autorité.

Le PFPDT, lui, ne prononce pas d’amendes. Son rôle est d’enquêter, de recommander et, au besoin, d’ordonner des mesures de mise en conformité. Les sanctions financières, elles, relèvent du droit pénal : elles peuvent atteindre 250 000 francs et sont prononcées par la justice pénale. Surtout, elles visent la personne physique responsable du manquement, c’est-à-dire un dirigeant ou un employé, et non la société en tant que telle.

Autrement dit, en Suisse, le risque n’est pas seulement institutionnel : il peut être personnel. Cette particularité mérite d’être connue de toute personne qui décide de la manière dont les données sont traitées dans l’entreprise.

Les préoccupations de fond du PFPDT

Au-delà des statistiques, le rapport pointe des tendances de fond. Le PFPDT observe que l’administration et les organisations savent traiter les menaces techniques évidentes, comme les fuites de données, mais peinent davantage à appréhender le potentiel de surveillance que représentent les grands traitements de données à grande échelle. Il note aussi un affaiblissement du principe de transparence après vingt ans d’existence, avec une multiplication des exceptions qui restreignent l’accès aux documents officiels.

Pour une PME, le message implicite est clair : la conformité ne se résume pas à cocher des cases après un incident. Elle suppose de réfléchir en amont à ce que l’on collecte, pourquoi, et pour combien de temps.

Ce que cela implique concrètement pour votre entreprise

La nLPD s’applique à quasiment toutes les entreprises, quelle que soit leur taille, dès lors qu’elles traitent des données personnelles : clients, employés, fournisseurs. Plusieurs obligations sont à votre portée immédiate. Vous pouvez tenir un registre de vos activités de traitement (la liste de ce que vous collectez et de l’usage que vous en faites), rédiger une politique de confidentialité claire, et surtout savoir comment réagir en cas de violation, car la loi impose d’annoncer dans les meilleurs délais au PFPDT les violations susceptibles d’entraîner un risque élevé pour les personnes concernées.

Ces démarches, vous pouvez largement les amorcer vous-même. Mais elles ne suffisent pas à garantir votre conformité. La difficulté n’est pas de connaître les principes, elle est de les appliquer à votre réalité : quels traitements précis effectuez-vous, quels sous-traitants interviennent, quelles données sensibles manipulez-vous, quel niveau de risque en découle. Ces réponses sont propres à chaque entreprise et ne s’improvisent pas à partir d’un modèle générique.

En conclusion

Le rapport du PFPDT confirme une approche suisse pragmatique, fondée sur le dialogue et la mise en conformité plutôt que sur la sanction systématique. Mais il rappelle aussi que la responsabilité peut peser sur les personnes, et que la protection des données est un travail continu. Poser vous-même les bases est indispensable et accessible. Pour transformer ces bases en une conformité solide et adaptée à votre activité, une analyse professionnelle de vos traitements de données reste le moyen le plus sûr d’avancer sereinement.