Le registre des traitements nLPD est imposé par l’article 12 de la loi suisse sur la protection des données à tout responsable de traitement et à tout sous-traitant. Son contenu est très proche de celui du registre RGPD (art. 30) : finalités, catégories de personnes et de données, destinataires, durées de conservation, transferts et mesures de sécurité. La différence pratique tient à l’exemption des PME de moins de 250 collaborateurs — qui tombe dès qu’existe un traitement à risque élevé. Voici le modèle champ par champ, la portée réelle de l’exemption et la correspondance avec le registre RGPD pour les entreprises soumises aux deux régimes.
Points clés
- L’article 12 de la nLPD impose un registre des activités de traitement au responsable comme au sous-traitant.
- Les entreprises de moins de 250 collaborateurs sont exemptées, sauf traitement à risque élevé (données sensibles à grande échelle, profilage à risque élevé).
- Le contenu du registre nLPD recoupe largement celui du registre RGPD art. 30 : un seul registre bien conçu couvre les deux.
- Le registre est le premier document que le PFPDT examine ; son absence, quand il est dû, est un manquement.
Le contenu du registre nLPD, champ par champ
L’article 12 de la nLPD fixe le contenu minimal du registre du responsable du traitement. Chaque traitement doit être décrit par :
| Champ (art. 12 nLPD) | Contenu attendu |
|---|---|
| Identité du responsable | Raison sociale, coordonnées, éventuel conseiller à la protection des données |
| Finalité du traitement | But déterminé et reconnaissable du traitement |
| Catégories de personnes | Clients, employés, prospects, fournisseurs… |
| Catégories de données | Données ordinaires, sensibles, de connexion… |
| Catégories de destinataires | Services internes, sous-traitants, partenaires |
| Durée de conservation | Durée précise ou critères de détermination |
| Mesures de sécurité | Description générale des mesures (art. 8 nLPD et OPDo) |
| Communication à l’étranger | État de destination et garanties appliquées |
Le sous-traitant tient un registre allégé : identité du sous-traitant et du responsable, catégories de traitements effectués pour le compte du responsable, communications à l’étranger et mesures de sécurité. La logique est identique à celle du registre des traitements RGPD, dont le modèle sert de base directement réutilisable.
L’exemption des PME : sa portée réelle
L’article 12 dispense de registre les entreprises de moins de 250 collaborateurs. Mais cette exemption est plus étroite qu’il n’y paraît : elle ne s’applique pas dès lors que l’entreprise procède à :
- un traitement de données sensibles à grande échelle, ou
- un profilage à risque élevé.
Autrement dit, une PME de 40 personnes dans la santé, l’assurance, le recrutement ou le marketing comportemental retombe presque toujours dans l’obligation de tenir un registre. L’exemption vise en pratique les très petites structures aux traitements standards (une PME artisanale gérant paie et clients ordinaires), pas les organisations manipulant des données sensibles. Le raisonnement rejoint celui de la conservation limitée des données et de la qualification des données sensibles : c’est le risque, pas seulement l’effectif, qui déclenche l’obligation.
Dans le doute, tenir un registre reste la meilleure option : il est le premier document réclamé par le PFPDT en cas de contrôle, et sa tenue démontre une gestion diligente même quand elle n’est pas strictement obligatoire.
La correspondance avec le registre RGPD (art. 30)
Pour une entreprise active des deux côtés de la frontière, la bonne nouvelle est qu’un seul registre suffit, à condition de le concevoir pour couvrir les deux régimes. Les champs se recoupent presque entièrement :
- Identiques : finalités, catégories de personnes et de données, destinataires, durées de conservation, mesures de sécurité, transferts.
- À adapter : la base légale, obligatoire dans le registre RGPD (art. 6), n’a pas d’équivalent sous la nLPD, où le traitement privé est licite par défaut — un champ « base légale » peut donc rester vide côté suisse.
- À distinguer : la destination des transferts (liste d’adéquation du Conseil fédéral côté nLPD, décisions de la Commission côté RGPD) et l’autorité de rattachement.
Le détail de ces divergences figure dans notre comparatif des différences entre nLPD et RGPD. En pratique, on part d’un registre RGPD complet et on y ajoute une colonne indiquant le rattachement (nLPD, RGPD ou les deux) pour chaque traitement.
Tenir le registre à jour : tableur ou logiciel
Un registre n’a de valeur que s’il est maintenu. Sur un tableur, la mise à jour dépend de la discipline d’une personne et se dégrade vite : nouveau traitement non ajouté, sous-traitant sans DPA, durée de conservation périmée. Dès que l’entreprise gère plusieurs entités, des traitements sensibles ou une double conformité nLPD/RGPD, un outil dédié devient plus fiable — il relie le registre aux DPA, aux AIPD et à la procédure de violation, et conserve l’historique exigé par le principe de responsabilité.
Les erreurs fréquentes dans un registre nLPD
Trois erreurs reviennent systématiquement lorsqu’une entreprise suisse constitue son premier registre :
- Sous-estimer l’exemption. Beaucoup de PME de moins de 250 collaborateurs pensent être dispensées, sans vérifier si elles traitent des données sensibles à grande échelle ou pratiquent un profilage à risque élevé — auquel cas l’obligation revient. La taille ne suffit pas à trancher.
- Oublier les traitements internes. RH, vidéosurveillance, gestion des accès, logs de connexion : ces traitements « invisibles » manquent souvent, alors qu’ils figurent parmi les premiers examinés en cas de contrôle.
- Confondre registre et documentation figée. Un registre n’est pas un document que l’on rédige une fois : il doit vivre au rythme des nouveaux traitements, des changements de prestataires et des évolutions de finalités. Un registre daté de deux ans vaut peu.
Éviter ces trois écueils suffit à tenir un registre défendable. La difficulté n’est pas de le créer, mais de le maintenir : c’est précisément le point où un outil dédié prend le pas sur le tableur, en reliant chaque traitement à ses contrats, ses durées et ses mesures de sécurité, et en conservant l’historique des modifications.
FAQ
Le registre des traitements est-il obligatoire en Suisse ?
Oui en principe (art. 12 nLPD), pour le responsable comme pour le sous-traitant. Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf traitement de données sensibles à grande échelle ou profilage à risque élevé — cas dans lequel le registre redevient obligatoire quel que soit l’effectif.
Le registre nLPD est-il le même que le registre RGPD ?
Le contenu se recoupe à plus de 90 % : finalités, catégories de personnes et de données, destinataires, durées, sécurité, transferts. La principale différence est la base légale, obligatoire côté RGPD et sans équivalent côté nLPD. Un registre RGPD complet, enrichi d’une colonne de rattachement, couvre donc les deux régimes.
Que doit contenir le registre d’un sous-traitant suisse ?
Un registre allégé : l’identité du sous-traitant et du responsable pour le compte duquel il agit, les catégories de traitements réalisés, les communications de données à l’étranger et une description générale des mesures de sécurité. C’est l’équivalent suisse du registre du sous-traitant prévu par l’article 30.2 du RGPD.
Une PME de moins de 250 salariés doit-elle vraiment tenir un registre ?
Pas si ses traitements sont standards et à faible risque. Mais l’exemption tombe dès qu’il y a des données sensibles à grande échelle ou un profilage à risque élevé — situations fréquentes en santé, assurance, recrutement ou marketing. Dans le doute, tenir un registre reste recommandé : c’est le premier document contrôlé par le PFPDT.