Une commune fribourgeoise gère des données d’habitants, de contribuables, d’élèves, de bénéficiaires de l’aide sociale. Un home ou une institution mandatée en fait autant. Pourtant, quand ces entités cherchent leurs obligations, elles tombent sur des articles consacrés à la loi fédérale, qui ne les concerne pas directement.
Le canton de Fribourg dispose en effet de sa propre loi. Cet article explique qui elle vise, ce qu’elle exige, et surtout ce qu’elle change pour les PME privées prestataires d’une commune ou d’un établissement public. Ce dernier point est le plus mal connu, et le plus coûteux à découvrir en cours de mandat.
Deux lois, deux publics : comment s’y retrouver ?
La répartition est plus simple qu’elle n’en a l’air, mais elle est presque toujours mal restituée.
La loi fédérale sur la protection des données (LPD, RS 235.1) régit le traitement de données par les organes fédéraux et par les personnes privées. C’est elle qui s’applique à votre PME, à votre fiduciaire, à votre garage. Nous la détaillons dans l’article consacré à vos obligations nLPD.
Le droit cantonal, lui, régit le traitement par les organes cantonaux et communaux. À Fribourg, il s’agit de la loi du 12 octobre 2023 sur la protection des données (LPrD, RSF 17.1), entrée en vigueur le 1er janvier 2024. Elle a remplacé un texte de 1994, écrit avant le web grand public.
| Entité | Loi applicable en règle générale | Autorité de surveillance |
|---|---|---|
| PME privée fribourgeoise (commerce, artisanat, services) | Loi fédérale (nLPD) | PFPDT |
| Commune, association de communes, service communal | LPrD fribourgeoise | ATPrDM |
| Etablissement cantonal, personne morale de droit public | LPrD fribourgeoise | ATPrDM |
| Personne privée accomplissant une tâche de droit public | LPrD fribourgeoise pour cette tâche | ATPrDM |
| Entreprise privée sous-traitante d’une commune | nLPD, plus les obligations contractuelles imposées par la commune | PFPDT, la commune reste responsable |
Ce tableau donne l’orientation générale. Les situations mixtes existent : une même entité peut relever des deux régimes selon l’activité concernée.
Qui est réellement soumis à la LPrD ?
L’article 2 de la loi est court et décisif. Elle s’applique aux organes publics suivants :
- les organes de l’Etat, des communes et les autres personnes morales de droit public ;
- les personnes privées et les organes d’institutions privées lorsqu’ils accomplissent des tâches de droit public.
C’est la seconde catégorie qui surprend. Le statut juridique de l’entité ne suffit pas à trancher : ce qui compte est la nature de la tâche exercée. Une association, une fondation ou une société anonyme peut se retrouver soumise à la loi cantonale pour la partie de son activité qui relève d’une tâche publique déléguée.
Recevoir de l'argent public ne rend pas automatiquement une association soumise à la LPrD. Le critère de l'article 2 est l'accomplissement d'une tâche de droit public, pas le financement. Une structure d'accueil extrascolaire mandatée par une commune n'est pas dans la même situation qu'un club sportif simplement subventionné. La frontière est juridique et se tranche cas par cas : faites-la qualifier plutôt que de la deviner.
À l’inverse, l’article 3 exclut certains traitements, notamment ceux effectués dans le cadre de procédures judiciaires en cours et ceux accomplis par un organe public en situation de concurrence économique avec des personnes de droit privé.
Qu’exige la LPrD d’une commune au quotidien ?
Quatre obligations produisent des effets visibles dans une administration communale.
Déclarer ses activités de traitement. C’est la différence de mécanique la plus importante avec la loi fédérale. Sous la nLPD, une PME tient son propre registre, ou en est dispensée sous conditions. Sous la LPrD, l’article 38 prévoit que c’est l’Autorité de surveillance qui tient un registre public, et que chaque responsable du traitement lui déclare ses activités ainsi que leurs modifications successives. L’article 39 excepte certains traitements purement administratifs internes : listes d’adresses, correspondance, pièces comptables.
Mettre en place des mesures techniques et organisationnelles. L’article 40 demande des mesures appropriées, décidées dès la conception du traitement. Il ajoute deux exigences souvent oubliées : des préréglages qui limitent le traitement au minimum requis, et la documentation des mesures retenues.
Réaliser une analyse d’impact quand le risque est élevé. L’article 41 en donne les cas typiques : traitements de données sensibles à grande échelle, profilage, surveillance systématique de grandes parties du domaine public, traitements d’ampleur inhabituelle. Si l’analyse confirme un risque élevé nécessitant des mesures de précaution particulières, l’article 42 impose de consulter l’Autorité de surveillance, qui dispose en principe de deux mois pour répondre, prolongeables d’un mois pour un traitement complexe. Ce délai se planifie : il ne se découvre pas trois jours avant la mise en production.
Gérer les violations de sécurité. Nous y revenons plus bas.
Un point de calendrier mérite d’être signalé. L’article 62 accordait aux traitements déjà en cours un délai de deux ans dès l’entrée en vigueur pour se mettre en conformité, les articles 43 et 44 étant d’emblée directement applicables. Ce délai transitoire est arrivé à son terme.
Vous êtes prestataire d’une commune : ce qui vous retombe dessus
C’est la situation la plus fréquente pour une PME romande, et la moins documentée. Vous vendez un logiciel, vous hébergez un site, vous faites de l’infogérance, vous numérisez des archives. Votre client est une commune.
Premier point : vous ne devenez pas soumis à la LPrD du seul fait de ce contrat. Vous restez une entreprise privée sous nLPD. Mais la commune, elle, reste pleinement responsable, et la loi lui impose de vous encadrer. Ses obligations deviennent donc vos clauses contractuelles.
Les articles 18 à 21 encadrent l’externalisation. L’article 19 énumère ce que le contrat doit décrire au minimum :
- l’objet, la nature, la finalité et la durée de l’externalisation ;
- les catégories de données concernées ;
- les obligations et les droits de chaque partie ;
- les droits et les possibilités de contrôle sur le sous-traitant, autrement dit un droit d’audit chez vous ;
- l’interdiction de sous-traiter à votre tour sans autorisation préalable écrite ;
- votre devoir d’informer immédiatement le responsable si une loi étrangère ou une décision de justice vous oblige à communiquer les données à une autorité étrangère.
L’article 18 al. 2 ajoute une exigence structurante : les lieux de traitement doivent être situés en tout temps sur le territoire suisse ou sur le territoire d’un Etat garantissant un niveau de protection adéquat. Si votre outil repose sur une infrastructure hors de ce périmètre, ou si l’un de vos propres prestataires y traite les données, vous ne pourrez en principe pas répondre à l’appel d’offres sans adaptation.
L’article 20 exige que l’intégrité, l’authenticité, la disponibilité et la confidentialité des données externalisées soient garanties par des mesures proportionnées au risque, et que la continuité des activités soit assurée en cas d’incident. L’article 21 va plus loin pour les données sensibles et celles couvertes par un secret légal : engagement de ne pas accéder au contenu sans consentement exprès, tenue d’un journal des accès, statut d’auxiliaire du détenteur du secret. Enfin, l’article 37 rappelle que le responsable doit s’assurer que vous êtes en mesure de garantir la sécurité des données, ce qui suppose que vous puissiez le démontrer.
Préparez un dossier de deux pages avant votre prochain appel d'offres public : localisation exacte de l'hébergement, liste de vos sous-traitants, mesures de sécurité, procédure d'annonce d'incident, délai de restitution des données en fin de contrat. Vos concurrents ne l'auront pas. Le check-up cyber vous donne la matière de ce dossier en quelques minutes.
En cas de fuite de données dans une entité publique
L’article 43 organise la réaction. Lorsqu’il constate une violation de la sécurité des données personnelles, le responsable du traitement prend immédiatement les mesures appropriées pour y mettre fin et en minimiser les effets. Il consigne dans un document interne la nature de la violation, le type de données et les catégories de personnes touchées, les conséquences probables et les mesures prises.
L’annonce à l’autorité intervient ensuite, dans les plus brefs délais, pour les cas entraînant vraisemblablement un risque élevé pour les droits fondamentaux de la personne concernée. Comme au niveau fédéral, aucun délai chiffré de type 72 heures n’est fixé, ce qui n’autorise évidemment aucune lenteur.
Pour un prestataire, l’alinéa 4 est le plus important : le responsable doit faire en sorte que le sous-traitant lui annonce sans tarder toute violation survenue chez lui. Aucun seuil de gravité à apprécier de votre côté. Vous constatez, vous annoncez. Même logique qu’en droit fédéral, détaillée dans notre article sur l’annonce d’une violation de données.
L’article 44 traite de l’information de la personne concernée, avec la possibilité d’une communication publique lorsque la violation touche un grand nombre de personnes. Notre dossier sur le vol et la fuite de données décrit les scénarios les plus fréquents.
Ce que vous risquez, et par où commencer
La LPrD mise sur le contrôle administratif plutôt que sur l’amende individuelle. L’article 56 autorise le préposé ou la préposée à contrôler d’office ou sur plainte un responsable du traitement ou un sous-traitant, à exiger la production de documents et à procéder à des inspections. L’article 57 lui permet d’adresser une recommandation, et l’article 58 permet à la Commission d’ordonner la suspension, la modification ou la cessation d’un traitement, voire l’effacement des données. L’article 35 réserve par ailleurs la réparation du dommage et du tort moral subi par une personne lésée.
Pour un prestataire, la sanction réelle est ailleurs : une suspension de traitement ordonnée à votre client, c’est votre solution qui s’arrête. Et la perte d’un marché public se répercute sur les suivants.
Ces sujets se traitent dans un contexte où les incidents restent nombreux : l’Office fédéral de la cybersécurité a enregistré 64 733 déclarations volontaires en 2025, contre 62 954 en 2024 (OFCS, rapport semestriel 2025/II, 30 mars 2026).
Quatre premiers pas, dans cet ordre :
- Qualifiez votre situation. Organe public, privé accomplissant une tâche de droit public, ou simple sous-traitant ? Tout découle de cette réponse.
- Cartographiez la localisation de vos données, y compris chez vos propres fournisseurs. C’est le point de blocage le plus fréquent avec l’article 18.
- Relisez vos contrats publics existants à la lumière de la liste de l’article 19. Les mandats antérieurs à 2024 sont rarement à jour.
- Écrivez votre procédure d’annonce d’incident, avec un nom, un numéro et un délai. Deux paragraphes suffisent, et ils vous éviteront un jour beaucoup de temps perdu.
Cet article présente le cadre général et ne constitue pas un avis juridique. Sur un point sensible, l’ATPrDM répond aux questions des organes soumis à la loi, et un mandataire spécialisé reste indiqué pour une qualification délicate. Les autres obligations applicables en Suisse sont regroupées dans le pilier Réglementations.