nLPD ou RGPD : ce que doit faire une PME romande qui vend en France

Exemple fictif, mais très courant : une PME vaudoise de 60 personnes fabrique des composants et vend un tiers de sa production en France. Sa fiduciaire lui dit qu'elle relève de la nLPD. Son client français lui envoie un contrat de sous-traitance RGPD de douze pages à signer sous quinze jours. Le dirigeant veut savoir ce qui s'applique, ce qu'il doit faire, et dans quel ordre.

Deux lois, un socle commun

La nLPD (loi fédérale sur la protection des données révisée) est en vigueur depuis le 1er septembre 2023. Le RGPD s'applique dans l'Union européenne depuis mai 2018. Les deux textes reposent sur les mêmes principes : licéité et bonne foi, proportionnalité, finalité reconnaissable, exactitude des données, sécurité, information des personnes au moment de la collecte, droit d'accès et de rectification, encadrement des sous-traitants par contrat, annonce des violations, analyse d'impact quand le risque est élevé, restrictions pour les transferts à l'étranger.

Si vous avez fait le travail RGPD sérieusement, vous êtes proche de la conformité nLPD. L'inverse est moins vrai. Les différences utiles tiennent en quatre points.

Ce qui diffère vraiment

Sujet	nLPD (Suisse)	RGPD (UE)	Conséquence pratique
Registre des traitements	Obligatoire au-delà de 250 salariés, sauf traitements à risque	Obligatoire, avec une exception étroite	Faites-le quand même, dans les deux cas
Sanctions	Amende pénale jusqu'à 250 000 CHF contre la personne responsable	Amende administrative contre l'entreprise, jusqu'à 20 M€ ou 4 % du chiffre d'affaires	Le risque suisse est personnel, pas budgétaire
Conseiller à la protection des données	Facultatif	Délégué obligatoire dans trois cas seulement	Désignez quand même un responsable nommé
Annonce d'une violation	Au préposé fédéral, dans les meilleurs délais, si le risque est élevé	À l'autorité sous 72 heures, sauf risque improbable	Une seule procédure, calée sur 72 heures

Le registre : le seuil des 250 salariés est un piège

L'ordonnance suisse dispense de registre les entreprises de moins de 250 salariés dont les traitements présentent un risque limité. L'exception tombe dès que vous traitez des données sensibles à grande échelle (santé, poursuites) ou que vous faites du profilage à risque élevé. Et elle ne vous aide pas le jour où elle compte : sans registre, vous ne pouvez ni répondre au questionnaire de sécurité d'un client, ni traiter une demande d'accès en 30 jours, ni qualifier un incident en 72 heures. Un tableur de 15 à 30 lignes, révisé une fois par an, est le meilleur rapport effort/utilité du dossier.

Les sanctions visent une personne, pas l'entreprise

C'est la différence la plus mal comprise. La nLPD ne prévoit pas d'amende administrative contre l'entreprise, mais des sanctions pénales, jusqu'à 250 000 CHF, contre la personne physique responsable, pour des manquements intentionnels précis : défaut d'information, exigences minimales de sécurité non respectées, transfert à l'étranger sans garanties, refus de collaborer. Les poursuites relèvent des autorités pénales cantonales. Une amende jusqu'à 50 000 CHF peut viser l'entreprise quand identifier la personne responsable exigerait des mesures d'instruction disproportionnées.

Deux conséquences. Dans une PME suisse, c'est le dirigeant ou le responsable informatique qui est exposé, pas le budget. Et le préposé fédéral peut ordonner de modifier, suspendre ou supprimer un traitement : une suspension coûte souvent plus cher qu'une amende. Sur la part de votre activité soumise au RGPD, l'amende administrative contre l'entreprise, elle, redevient possible.

Le conseiller à la protection des données est facultatif

En Suisse, désigner un conseiller n'est pas obligatoire. C'est un choix, avec un avantage précis : l'entreprise qui a nommé un conseiller indépendant et l'a consulté peut se dispenser de consulter le préposé fédéral après une analyse d'impact qui laisse un risque élevé. En UE, le délégué n'est obligatoire que pour les autorités publiques, le suivi systématique à grande échelle et le traitement à grande échelle de données sensibles : une PME y échappe presque toujours.

Notre recommandation est la même des deux côtés de la frontière : pas de fonction officielle, mais un nom écrit dans le registre et une adresse de contact publiée. Sans nom, un dossier s'arrête au bout de trois mois.

Les transferts à l'étranger

Le Conseil fédéral tient une liste des États dont la législation assure une protection adéquate ; l'Espace économique européen en fait partie, et l'Union européenne reconnaît la Suisse en retour. Les flux Suisse-UE ne demandent donc aucun mécanisme particulier. Vers les autres pays, il faut des clauses contractuelles types ou un autre mécanisme reconnu, et pour les États-Unis la certification du fournisseur. Ces listes bougent : datez ce que vous écrivez.

Quand le RGPD s'applique quand même

Trois situations, prévues par l'article 3 du RGPD.

Vous avez un établissement dans l'Union. Une filiale, un bureau, un commercial salarié en France : le RGPD s'applique aux traitements liés à cet établissement, où que soient les serveurs.

Vous offrez des biens ou des services à des personnes situées dans l'Union. Le critère n'est pas la vente occasionnelle, c'est le ciblage : prix en euros, livraison en France, site rédigé pour le marché français, service client joignable depuis la France. Un site vitrine consulté depuis Lyon ne suffit pas ; une boutique qui facture en euros et livre à Annecy, oui.

Vous observez le comportement de personnes dans l'Union. Mesure d'audience, cookies publicitaires, remarketing, scoring de visiteurs. C'est le critère le plus fréquent et le plus oublié.

Ajoutez-en un quatrième, contractuel : si vous traitez des données pour le compte d'un client français, il vous fera signer un contrat de sous-traitance au titre de l'article 28, et vous devrez le tenir même si l'article 3 ne s'appliquait pas à vous. Pensez enfin au représentant : une entreprise suisse soumise au RGPD doit en principe en désigner un dans l'Union (article 27), sauf traitement occasionnel et sans risque. C'est une décision à documenter, pas une case à cocher.

Les deux cadres ne doublent pas le travail : un registre unique avec une colonne « cadre applicable », une politique de confidentialité qui cite les deux textes, une procédure calée sur le délai le plus court.

La checklist en 10 points

Ordre de réalisation pour une PME de 20 à 250 personnes : trois à cinq jours de travail interne, étalés sur quatre semaines.

1. Inventaire des traitements. Un tableur : traitement, finalité, personnes, données, destinataires, durée, pays, cadre applicable, responsable. De 15 à 30 lignes suffisent dans la plupart des PME.
2. Cartographie des outils et des sous-traitants. Éditeur, pays d'hébergement, données concernées, contrat signé ou non. Les oubliés habituels : la paie, la visioconférence, la signature électronique, la plateforme de recrutement, le prestataire informatique, les outils d'IA.
3. Contrats de sous-traitance. Article 9 nLPD, article 28 RGPD. Les grands éditeurs publient un avenant standard : récupérez-le et archivez-le. Pour un prestataire local qui n'en a pas, écrivez-en un de deux pages.
4. Information des personnes. Une politique de confidentialité datée, plus une mention courte à chaque point de collecte : formulaire, contrat, caméra, candidature.
5. Justification des traitements. Le RGPD demande une base légale par traitement. La nLPD ne raisonne pas ainsi : le traitement est licite, sauf atteinte à la personnalité, et le consentement n'est requis que dans certains cas. Une colonne dans le registre porte les deux logiques.
6. Durées de conservation. Une durée par catégorie, alignée sur les obligations comptables (dix ans en Suisse comme en France pour les pièces) et sur l'utilité réelle. Une durée écrite mais jamais appliquée est pire que pas de durée.
7. Droits des personnes. Une adresse unique, un registre des demandes, un délai : 30 jours en Suisse, un mois en UE. Testez avec une demande fictive.
8. Sécurité. Double authentification sur la messagerie et l'ERP, comptes nominatifs, revue trimestrielle des accès, sauvegardes vérifiées par une restauration réelle, chiffrement des portables, journalisation conservée.
9. Procédure de violation. Une page : qui constate, qui qualifie, qui annonce, sous quel délai, à qui. Retenez 72 heures.
10. Transferts et usages d'IA. Où partent les données, chez qui, sous quel mécanisme, avec une ligne par outil d'IA. La plupart des incidents commencent par un fichier client collé dans un outil grand public, avec un compte personnel.

Cinq erreurs vues sur le terrain

« On est suisse, le RGPD ne nous concerne pas. » Le site affiche des euros, livre en France et mesure son audience. Trois critères sur trois.

« Moins de 250 salariés, donc pas de registre. » Exact au sens strict, faux en pratique : le registre est la première pièce demandée par un client, une personne concernée ou une autorité.

La politique de confidentialité copiée. Un modèle français qui cite le RGPD, la CNIL et un délégué qui n'existe pas, publié par une société vaudoise, sans un mot sur la nLPD ni le préposé fédéral. C'est un aveu, pas une protection.

Les sous-traitants invisibles. La visioconférence, la plateforme de recrutement, l'agence qui gère les campagnes, le prestataire de sauvegarde, l'assistant d'IA : tous traitent des données pour vous, et le contrat manque une fois sur deux.

Confondre hébergement suisse et conformité. Des données à Genève, avec des comptes partagés, sans double authentification et sans sauvegarde testée, ne sont pas protégées. La localisation répond à une question, le transfert, pas à toutes. Et un registre daté de 2019 vaut à peu près autant qu'un extincteur périmé.

Combien de temps, combien d'argent

Pour une PME de 50 personnes qui part de zéro : quatre semaines, trois à cinq jours de travail interne, et un tiers pour la qualification, les contrats et la relecture. Notre solution Conformité RGPD dure 2 à 4 semaines et coûte 5 000 à 10 000 € HT, soit 7 000 à 14 000 CHF. Elle se combine avec le registre des usages d'IA, qui reprend la moitié des mêmes colonnes.

Un enseignement tient en une phrase : le travail utile n'est pas la rédaction, c'est l'inventaire.

À retenir

• Le socle est commun : un seul dossier sert la nLPD et le RGPD, avec une colonne « cadre applicable » dans le registre.
• Trois différences comptent : le registre (obligatoire au-delà de 250 salariés en Suisse), les sanctions (pénales, jusqu'à 250 000 CHF, contre la personne responsable), le conseiller à la protection des données (facultatif).
• Le RGPD s'applique quand même si vous avez un établissement dans l'Union, si vous ciblez des clients européens, si vous suivez leur comportement, ou si un client vous l'impose par contrat.
• Dix points, quatre semaines, trois à cinq jours de travail interne : c'est la taille réelle du chantier pour une PME de 50 personnes.
• Héberger en Suisse ne rend pas conforme, et un registre de 2019 ne protège personne.

Prenez la température de votre entreprise en cinq minutes avec le Thermomètre Cape Pebble, ou parlez-nous de votre situation transfrontalière.