La nLPD suisse et le RGPD européen partagent la même philosophie mais divergent sur des points qui changent la conformité au quotidien. Les trois plus importants : la nLPD sanctionne pénalement les personnes physiques (jusqu’à 250 000 CHF) là où le RGPD inflige des amendes administratives aux entreprises (jusqu’à 20 M€ ou 4 % du chiffre d’affaires) ; le conseiller à la protection des données est facultatif en Suisse ; et le traitement par une entreprise privée n’exige pas de base légale préalable comme sous le RGPD. Voici les 10 différences qui comptent réellement.
Points clés
- La différence la plus lourde de conséquences : sanctions pénales contre les individus (nLPD) vs amendes administratives contre les entreprises (RGPD).
- Le conseiller à la protection des données est facultatif sous la nLPD ; le DPO est obligatoire dans plusieurs cas sous le RGPD.
- Une entreprise privée n’a pas besoin de base légale (art. 6 RGPD) sous la nLPD : le traitement est licite sauf atteinte injustifiée à la personnalité.
- L’annonce des violations se fait « dans les meilleurs délais » au PFPDT, contre 72 heures à la CNIL.
Tableau comparatif nLPD / RGPD
| Point | nLPD (Suisse) | RGPD (UE) |
|---|---|---|
| Personnes protégées | Personnes physiques uniquement | Personnes physiques |
| Base légale préalable | Non requise pour le privé (licite sauf atteinte) | Obligatoire (art. 6) |
| Sanctions | Pénales, contre les personnes physiques, jusqu’à 250 000 CHF | Administratives, contre l’entreprise, jusqu’à 20 M€ / 4 % du CA |
| Autorité | PFPDT, sans pouvoir d’amende | CNIL et autres DPA, avec pouvoir d’amende |
| Délégué / conseiller | Conseiller facultatif (art. 10) | DPO obligatoire dans certains cas |
| Annonce des violations | « Dans les meilleurs délais » (art. 24) | 72 heures (art. 33) |
| Registre | Obligatoire, exemption < 250 collaborateurs à faible risque | Obligatoire, exemption < 250 sous conditions (art. 30.5) |
| AIPD | Requise pour risque élevé (art. 22) | Requise pour risque élevé (art. 35) |
| Transferts | Liste d’adéquation du Conseil fédéral | Décisions d’adéquation de la Commission |
| Profilage | Notion de « profilage à risque élevé » propre | Encadrement du profilage (art. 22) |
1. Les sanctions : pénales et personnelles
C’est la différence structurante. Le RGPD frappe l’entreprise d’amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. La nLPD, elle, prévoit des amendes pénales jusqu’à 250 000 CHF prononcées contre la personne physique responsable — le dirigeant, le responsable du traitement — et non contre la société. En pratique, un décideur suisse engage sa responsabilité personnelle, ce que le RGPD ne prévoit pas directement.
2. La base légale : absente pour le privé
Sous le RGPD, tout traitement exige une base légale parmi les six de l’article 6 (consentement, contrat, obligation légale, intérêt légitime…). La nLPD ne raisonne pas ainsi pour les personnes privées : un traitement est licite par défaut, et ne devient illicite que s’il porte une atteinte injustifiée à la personnalité de la personne concernée (traitement contraire à sa volonté expresse, communication de données sensibles à des tiers, etc.). Cette différence conceptuelle est majeure pour qui applique d’abord la logique du RGPD.
3. Le conseiller à la protection des données est facultatif
Le RGPD impose un délégué à la protection des données dans plusieurs situations (autorité publique, suivi à grande échelle, données sensibles à grande échelle). La nLPD prévoit un conseiller à la protection des données (art. 10), mais sa désignation reste facultative pour les entreprises privées. Elle procure un avantage procédural — se dispenser, sous conditions, de consulter le PFPDT après une AIPD à risque résiduel élevé.
4. L’annonce des violations : délai et autorité
Le RGPD impose la notification d’une violation à l’autorité sous 72 heures. La nLPD retient un standard plus souple — « dans les meilleurs délais » (art. 24) — et l’annonce se fait au PFPDT, non à une DPA de l’UE. Le seuil de déclenchement diffère aussi légèrement dans sa formulation. Le rôle exact de l’autorité est détaillé dans notre page sur le PFPDT.
5. L’autorité : un PFPDT sans pouvoir d’amende
La CNIL et les autres autorités de l’UE cumulent enquête, injonction et pouvoir de sanction financière. Le PFPDT mène des enquêtes et rend des décisions contraignantes, mais n’inflige pas d’amendes : les sanctions pénales de la nLPD sont prononcées par les autorités pénales cantonales. Le régulateur suisse agit donc par la décision et la publicité, pas par l’amende directe.
6 à 10 : registre, données sensibles, transferts, profilage
- Registre : les deux régimes exemptent en principe les entreprises de moins de 250 collaborateurs, mais l’exemption tombe dès qu’existe un traitement à risque élevé ou de données sensibles.
- Données sensibles : la nLPD inclut expressément les données génétiques et biométriques identifiant une personne, à l’image des données sensibles de l’article 9 du RGPD, mais y ajoute par exemple les données sur les poursuites et sanctions administratives ou pénales.
- Transferts : la nLPD s’appuie sur une liste d’États adéquats fixée par le Conseil fédéral, quand le RGPD s’appuie sur les décisions d’adéquation de la Commission ; les transferts internationaux exigent sinon des garanties équivalentes de part et d’autre.
- Profilage : la nLPD introduit la notion spécifique de « profilage à risque élevé », distincte de l’encadrement du profilage et des décisions automatisées du RGPD.
Ce que ces différences changent en pratique
Pour un responsable de conformité, ces dix écarts se traduisent par trois réflexes opérationnels. D’abord, ne pas raisonner « base légale » du côté suisse : chercher une base de l’article 6 pour un traitement privé n’a pas de sens sous la nLPD, où l’on raisonne atteinte à la personnalité. Ensuite, sensibiliser les dirigeants au risque pénal personnel, absent du RGPD : c’est un argument de gouvernance puissant, car un directeur ne réagit pas de la même manière à une amende d’entreprise et à une amende qui le vise personnellement. Enfin, adapter la procédure de violation : le portail et le standard temporel du PFPDT diffèrent de ceux de la CNIL, et une procédure calée uniquement sur les 72 heures du RGPD ne suffit pas à couvrir l’obligation suisse. Ces trois réflexes, une fois intégrés, permettent de faire tourner un dispositif unique sur les deux régimes sans multiplier les outils ni les procédures.
FAQ
La nLPD est-elle plus stricte que le RGPD ?
Ni plus ni moins : elle est différente. La nLPD est plus dure sur la responsabilité personnelle (sanctions pénales contre les individus), le RGPD plus exigeant sur la base légale préalable et le pouvoir d’amende de l’autorité. Une entreprise soumise aux deux doit satisfaire le standard le plus élevé sur chaque point.
Une entreprise conforme au RGPD est-elle automatiquement conforme à la nLPD ?
En grande partie, car le socle est proche (registre, sécurité, droits, AIPD). Mais pas totalement : il faut vérifier l’annonce des violations au PFPDT, la question du conseiller, les transferts vers les États jugés adéquats par le Conseil fédéral et la responsabilité pénale des dirigeants, qui n’a pas d’équivalent direct dans le RGPD.
Faut-il un DPO ou un conseiller pour appliquer la nLPD ?
Le conseiller à la protection des données est facultatif sous la nLPD pour les entreprises privées, contrairement au DPO du RGPD, obligatoire dans plusieurs cas. Le désigner apporte toutefois un avantage procédural vis-à-vis du PFPDT après une analyse d’impact révélant un risque résiduel élevé.
Quel est le montant maximal des sanctions sous la nLPD ?
Jusqu’à 250 000 CHF, sous forme d’amende pénale prononcée contre la personne physique responsable, et non contre l’entreprise. C’est une logique inverse de celle du RGPD, où les amendes administratives visent l’entreprise et peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.