Protection des données PME 2026 : obligations LPD, conseiller, analyse d'impact, violations

Une PME n'est pas tenue de nommer un conseiller à la protection des données : les responsables privés peuvent en désigner un (art. 10, al. 1, LPD), seuls les organes fédéraux y sont obligés (PFPDT). Toute entreprise doit en revanche sécuriser les données, informer, répondre aux demandes d'accès en 30 jours et annoncer les violations graves. Le registre des activités de traitement tombe en général sous 250 collaborateurs (art. 24 OPDo). Une infraction intentionnelle coûte à la personne responsable jusqu'à CHF 250 000 d'amende (art. 60 à 63 LPD).

L'essentiel

• La LPD révisée s'applique depuis le 1er septembre 2023 et protège les seules personnes physiques, y compris vos interlocuteurs chez les clients entreprises (art. 1, 2 et 74 LPD).
• Le conseiller est facultatif ; annoncé au PFPDT, il dispense de consulter le PFPDT malgré un risque résiduel élevé (art. 10 et 23, al. 4, LPD).
• Pas de registre sous 250 collaborateurs au 1er janvier, sauf données sensibles à grande échelle ou profilage à risque élevé (art. 24 OPDo).
• L'analyse d'impact précède tout traitement à risque élevé probable et se garde deux ans après sa fin (art. 22 LPD, art. 14 OPDo).
• Une violation à risque élevé probable s'annonce au PFPDT « dans les meilleurs délais », pas en 72 heures (art. 24 LPD).
• Les demandes d'accès reçoivent une réponse gratuite en 30 jours ; si l'effort est disproportionné, une participation de CHF 300 au plus est admise (art. 18 et 19 OPDo).
• Les données vont sans autre garantie vers l'UE, le Royaume-Uni ou des entreprises américaines certifiées ; la liste figure à l'annexe 1 OPDo.
• L'amende jusqu'à CHF 250 000 vise la personne responsable, l'entreprise seulement jusqu'à CHF 50 000 (art. 64 LPD).

Les obligations en un coup d'œil : qui, quand, quelle sanction

Ce que chaque obligation impose à une PME privée et ce que coûte une infraction intentionnelle. Sans amende prévue, le PFPDT peut ordonner des mesures administratives (art. 51 LPD).

Source : loi sur la protection des données RS 235.1 (état au 7 juillet 2025) et ordonnance sur la protection des données RS 235.11 (état au 1er décembre 2025).

La LPD s'applique-t-elle à votre PME ?

Oui, dès que vous traitez des informations concernant une personne physique identifiée ou identifiable (art. 5, let. a, LPD). Le Portail PME de la Confédération rappelle que toutes les entreprises de Suisse sont concernées, PME comprises (Portail PME). La loi vise aussi les états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger (art. 3 LPD).

Responsable du traitement ou sous-traitant

Le responsable décide des finalités et des moyens ; le sous-traitant traite pour son compte (art. 5, let. j et k, LPD). Votre PME est responsable des données clients et du personnel ; logiciel de salaires, cloud et fiduciaire sont en général des sous-traitants. Cette distinction dit qui informe, qui répond aux demandes d'accès et qui annonce une violation.

Données sensibles

Six catégories sont sensibles : opinions religieuses, philosophiques, politiques ou syndicales ; santé, sphère intime, origine raciale ou ethnique ; données génétiques ; données biométriques identifiantes ; poursuites et sanctions pénales ou administratives ; aide sociale (art. 5, let. c, LPD). Les certificats médicaux du personnel en font partie. Un consentement requis doit alors être exprès (art. 6, al. 7, LPD).

Des principes plutôt qu'un consentement

La LPD n'exige pas de consentement pour chaque traitement, mais la licéité, la bonne foi, la proportionnalité, une finalité reconnaissable, l'exactitude et la destruction ou l'anonymisation une fois la finalité atteinte (art. 6 LPD). La durée « nécessaire » découle souvent d'autres lois : le PFPDT cite dix ans pour les pièces comptables selon l'art. 958f CO (FAQ du PFPDT).

Conseiller à la protection des données : facultatif, mais utile

Le conseiller est l'interlocuteur des personnes concernées et des autorités ; il forme, conseille et participe à l'application des règles (art. 10, al. 2, LPD). Le PFPDT le souligne : contrairement au RGPD, la nomination est facultative pour les privés (PFPDT). Les guides qui imposent un « délégué » à chaque PME reprennent la règle européenne, pas la suisse.

Les quatre conditions de l'allégement

L'avantage ne joue que si la personne remplit quatre conditions (art. 10, al. 3, LPD) :

1. Elle exerce sa fonction de manière indépendante et sans instructions.
2. Elle n'exerce pas d'activités incompatibles.
3. Elle possède les connaissances professionnelles nécessaires.
4. L'entreprise publie ses coordonnées et les communique au PFPDT.

Selon le PFPDT, sont incompatibles par exemple la direction ou une fonction RH ou informatique ; le cumul avec la sécurité de l'information est possible (PFPDT). L'annonce se fait sur le portail DPO, avec un login AGOV ou CH-Login.

Ce que vous devez au conseiller

Vous lui donnez les ressources nécessaires, l'accès aux documents, registres et données, et le droit d'alerter l'organe de direction supérieur dans les cas importants (art. 23 OPDo). La fonction peut être externalisée, partagée ou confiée à une personne morale, sans exigence de domicile en Suisse (FAQ du PFPDT). La responsabilité reste celle de l'entreprise.

Réponse détaillée : Une PME doit-elle nommer un conseiller à la protection des données ?

Registre des activités de traitement

Le registre recense quelles données vous traitez et pourquoi. Celui du responsable contient au moins sept éléments (art. 12, al. 2, LPD) : identité du responsable, finalité, catégories de personnes et de données, catégories de destinataires, si possible durée de conservation et mesures de sécurité, et, en cas de communication à l'étranger, l'État et les garanties. Les sous-traitants tiennent leur propre registre, plus court (art. 12, al. 3, LPD). Seuls les organes fédéraux l'annoncent au PFPDT.

L'exception pour les PME

Le Conseil fédéral a concrétisé l'exception prévue à l'art. 12, al. 5, LPD dans l'art. 24 OPDo :

Source : art. 24 OPDo (état au 1er décembre 2025).

Seul compte le 1er janvier : qui dépasse 250 en cours d'année reste libéré jusqu'au 1er janvier suivant. Les entreprises libérées doivent quand même informer, répondre aux demandes d'accès et sécuriser les données, rappelle le PFPDT (FAQ du PFPDT).

Réponse détaillée : Une entreprise de moins de 250 employés doit-elle tenir un registre des activités de traitement ?

Règlement de traitement et journalisation

Qui traite automatiquement des données sensibles à grande échelle ou pratique un profilage à risque élevé établit aussi un règlement de traitement : organisation, procédures, sécurité (art. 5 OPDo). Dans ces cas, si la prévention ne suffit pas, vous journalisez enregistrement, modification, communication, effacement et consultation ; les journaux sont gardés au moins un an hors du système (art. 4 OPDo, teneur du 1er décembre 2025).

Sécurité des données, protection dès la conception et sous-traitance

La sécurité des données touche chaque PME, et ses exigences minimales sont sanctionnées pénalement (art. 61, let. c, LPD). Vous fixez le besoin de protection selon les données et l'ampleur du traitement, évaluez le risque, choisissez les mesures selon l'état de la technique et les coûts, et réexaminez le tout pendant le traitement (art. 1 OPDo).

Source : art. 1 à 3 OPDo (état au 1er décembre 2025).

Protection des données dès la conception et par défaut

Vous concevez les systèmes dès la planification pour respecter les principes et réglez par défaut le traitement au minimum nécessaire (art. 7 LPD). En pratique : peu de champs obligatoires, newsletter non précochée, délais d'effacement paramétrés.

Bien encadrer les sous-traitants

Vous pouvez confier un traitement si le prestataire traite les données comme vous pourriez le faire, si aucun secret ne s'y oppose et si vous avez vérifié qu'il garantit leur sécurité (art. 9 LPD). Un sous-traitant ultérieur exige votre autorisation préalable ; avec une autorisation générale, vous êtes informé de chaque changement et pouvez vous y opposer (art. 7 OPDo).

Communication de données à l'étranger

Cloud, newsletter, visioconférence : presque toute PME transfère des données à l'étranger. La LPD prévoit trois voies (art. 16 et 17 LPD).

Source : LPD, art. 16 et 17 (état au 7 juillet 2025), OPDo, annexe 1 (état au 1er décembre 2025).

L'annexe 1 compte 44 entrées, réévaluées périodiquement (art. 8 OPDo). Vérifiez la certification réelle d'un prestataire américain ; à défaut, il faut des clauses types. Votre déclaration de protection des données mentionne États et garanties (art. 19, al. 4, LPD).

Devoir d'informer et décision individuelle automatisée

À chaque collecte, vous indiquez au moins identité et coordonnées, finalité et destinataires ; pour des données de tiers, aussi leurs catégories ; pour l'étranger, l'État et les garanties (art. 19 LPD). Pour des données obtenues de tiers, l'information intervient au plus tard un mois après. Elle est précise, transparente, compréhensible et accessible (art. 13 OPDo) : en pratique, la déclaration de protection des données du site et de brèves mentions dans les formulaires. Le devoir tombe notamment si la personne est déjà informée ou si la loi prévoit le traitement (art. 20 LPD).

Décision individuelle automatisée

Une décision est individuelle et automatisée quand un système décide seul, avec des effets juridiques ou une atteinte significative (art. 21, al. 1, LPD). Exemples en PME : une boutique qui refuse l'achat sur facture après un contrôle de solvabilité automatique, un outil de recrutement qui écarte des candidats sans regard humain. Vous informez la personne, l'entendez sur demande et faites réexaminer la décision par un humain si elle le demande (art. 21, al. 2, LPD). Pas d'obligation si la demande est acceptée dans le cadre d'un contrat ou en cas de consentement exprès (art. 21, al. 3, LPD). Les données de solvabilité ont au plus dix ans et ne concernent que des majeurs (art. 31, al. 2, let. c, LPD). Réponse détaillée : Faut-il informer une personne d'une décision prise automatiquement ?

Analyse d'impact et consultation du PFPDT

L'analyse d'impact précède tout traitement susceptible d'entraîner un risque élevé, notamment avec de nouvelles technologies (art. 22, al. 1 et 2, LPD). La loi cite le traitement à grande échelle de données sensibles et la surveillance systématique de grandes parties du domaine public. L'analyse comporte trois parties : description du traitement, évaluation des risques, mesures de protection (art. 22, al. 3, LPD). Des opérations semblables peuvent être analysées ensemble.

Sont dispensés le responsable légalement tenu de traiter, celui qui utilise un système certifié et celui qui suit un code de conduite soumis au PFPDT et fondé sur une analyse d'impact (art. 22, al. 4 et 5, LPD). La certification de l'art. 13 LPD est donc le seul audit de protection des données auquel la loi attache un effet ; aucun audit général n'est obligatoire.

Si un risque élevé subsiste malgré les mesures, vous consultez au préalable le PFPDT. Il répond dans les deux mois, dans les trois mois pour un traitement complexe (art. 23, al. 1 et 2, LPD). Si vous avez consulté un conseiller annoncé, cette étape tombe (art. 23, al. 4, LPD). L'analyse est conservée au moins deux ans après la fin du traitement (art. 14 OPDo). Réponse détaillée : Quand une analyse d'impact est-elle obligatoire ?

Violation de données : annonce au PFPDT et information des personnes

Une violation de la sécurité des données est la perte, l'effacement, la destruction ou la modification accidentelle ou illicite de données, ou leur divulgation à des personnes non autorisées (art. 5, let. h, LPD). Portable volé, fiche de salaire mal adressée, rançongiciel : autant de cas. Seule la violation à risque élevé probable s'annonce (art. 24, al. 1, LPD).

Comment le PFPDT apprécie le risque élevé

Le guide du PFPDT (version 1.2 du 23 avril 2025) retient la sensibilité des données, la nature et les motifs de l'attaque, l'effort d'identification, la quantité et la durée, les préjudices économiques et les personnes vulnérables. Copies de pièces d'identité et données de carte de crédit peuvent fonder un risque élevé sans être sensibles. Des données efficacement chiffrées sont anonymes pour les tiers : pas d'annonce. Face à un rançongiciel, il faut selon les cas présumer un risque élevé dès la première analyse, sans attendre.

Ce que contient l'annonce

Source : art. 15 OPDo (état au 1er décembre 2025).

L'annonce passe par le formulaire en ligne du PFPDT (DataBreach), qui délivre une confirmation téléchargeable ; les informations manquantes suivent dans les meilleurs délais. Chaque violation, même non annoncée, est documentée (faits, effets, mesures) et la documentation gardée au moins deux ans dès l'annonce (art. 15, al. 4, OPDo). Votre sous-traitant vous signale toute violation, quel que soit le risque (art. 24, al. 3, LPD). Vous informez les personnes si leur protection l'exige ou si le PFPDT le demande. L'annonce ne peut servir dans une procédure pénale contre son auteur qu'avec son accord (art. 24 LPD). Réponse détaillée : Quand faut-il annoncer une violation de la sécurité des données au PFPDT ?

Droit d'accès et autres droits des personnes concernées

Toute personne peut savoir si vous traitez des données la concernant. Vous indiquez au moins votre identité, les données, la finalité, la durée de conservation, l'origine, une éventuelle décision automatisée et sa logique, et les destinataires (art. 25, al. 2, LPD). Sans aucune donnée, vous répondez quand même par la négative (FAQ du PFPDT).

Délais et coûts

La demande est écrite ; vous identifiez la personne par des moyens appropriés (art. 16 OPDo). Vous répondez dans les 30 jours dès réception, ou indiquez dans ce délai quand vous répondrez (art. 18 OPDo). L'accès est gratuit (art. 25, al. 6, LPD). Si l'effort est disproportionné, une participation de CHF 300 au plus est possible ; la personne a dix jours de réflexion, puis les 30 jours courent (art. 19 OPDo). Un refus ou une limitation se motive (art. 26, al. 4, LPD).

Remise, rectification, effacement

Les données fournies par la personne et traitées de manière automatisée lui sont remises gratuitement, sur demande, dans un format électronique courant (art. 28 LPD). Les données inexactes sont rectifiées ; en justice, la personne peut exiger l'effacement ou l'interdiction d'un traitement (art. 32 LPD).

Sanctions et pouvoirs du PFPDT

Le PFPDT enquête d'office ou sur dénonciation (art. 49 LPD). Il peut faire adapter, suspendre ou cesser un traitement, faire effacer des données et exiger analyse d'impact, consultation, annonce ou renseignement (art. 51 LPD). Il ne prononce pas d'amendes : les autorités pénales cantonales le font après condamnation (art. 65 LPD, FAQ du PFPDT).

Source : LPD, art. 60 à 66 (état au 7 juillet 2025).

Seule l'intention est punissable. L'action pénale se prescrit par cinq ans (art. 66 LPD).

Exemples concrets

Personnes et chiffres fictifs ; délais selon LPD et OPDo.

Exemple 1 : Sophie, Lausanne, cabinet de physiothérapie, 18 collaborateurs

Sophie gère environ 2 400 dossiers de patients. Au 1er janvier 2026, elle occupe 18 personnes, moins de 250. Les données de santé sont sensibles, et 2 400 dossiers forment un traitement à grande échelle. L'exception de l'art. 24, let. a, OPDo s'applique : Sophie doit tenir un registre. Les dossiers étant électroniques, il lui faut aussi un règlement de traitement (art. 5 OPDo).

Le 3 février 2026, un ancien patient demande l'accès. Sans participation, le délai est de 30 jours dès réception : 5 mars 2026 (art. 18 OPDo). Il veut cependant des copies de douze ans de traitement, sur papier et dans deux systèmes. Le 5 février, Sophie annonce une participation de CHF 120, sous le plafond de CHF 300. La réflexion de dix jours finit le 15 février ; les 30 jours courent ensuite, réponse due au 17 mars 2026 (art. 19, al. 3, OPDo). Sans confirmation, la demande est réputée retirée.

Exemple 2 : Julien, Genève, boutique en ligne, 35 collaborateurs

Julien vend des accessoires de vélo en ligne. Son CRM est chez un prestataire américain certifié Swiss-US Data Privacy Framework, admis selon l'annexe 1 OPDo. Son outil de newsletter américain n'est pas certifié : Julien conclut des clauses types (art. 16, al. 2, let. d, LPD).

Le lundi 9 mars 2026 à 7 h 30, un rançongiciel chiffre le serveur. 12 000 fiches clients (adresses, commandes) sont touchées et les attaquants menacent de les publier. Le guide du PFPDT impose de présumer un risque élevé : Julien annonce le jour même sur DataBreach la nature, le moment, le nombre approximatif de fiches et de personnes, les conséquences, les mesures et un interlocuteur (art. 15 OPDo). Il garde la documentation au moins deux ans, soit jusqu'au 9 mars 2028 au moins.

Omettre l'annonce n'aurait pas été punissable (guide du PFPDT, ch. 1.8). Ignorer intentionnellement les exigences minimales de sécurité, par exemple laisser ouvertes des failles critiques connues, l'est (art. 3, al. 2, let. f, OPDo) : amende jusqu'à CHF 250 000 pour lui personnellement (art. 61, let. c, LPD).

Exemple 3 : Nicolas, Fribourg, construction de machines, 248 collaborateurs

Au 1er janvier 2026, l'entreprise de Nicolas compte 248 collaborateurs, moins de 250, sans données sensibles à grande échelle ni profilage à risque élevé : pas de registre en 2026. En mars, elle engage 15 personnes, total 263. Seul compte le 1er janvier ; l'obligation commence le 1er janvier 2027 si l'effectif est alors d'au moins 250 (art. 24 OPDo).

Nicolas veut un outil qui note les candidatures et refuse automatiquement sous un seuil. C'est une décision individuelle automatisée ; un refus ne fait pas droit à la demande, l'exception de l'art. 21, al. 3, let. a, LPD ne joue pas. Il informe dans l'annonce d'emploi et offre un réexamen par les RH. L'outil combinant performance et comportement, il réalise d'abord une analyse d'impact. Si un risque élevé subsiste, il consulte le PFPDT le 4 mai 2026 : réponse au plus tard le 4 juillet 2026, ou le 4 août 2026 si le traitement est complexe (art. 23, al. 2, LPD). Avec une conseillère indépendante annoncée, il pourrait s'en passer (art. 23, al. 4, LPD).

Cas particuliers

Exactement 250 collaborateurs

L'ordonnance ne libère que l'entreprise qui occupe « moins de 250 » collaborateurs (art. 24 OPDo). Avec exactement 250 au 1er janvier, vous tenez un registre. La FAQ du PFPDT parle de « plus de 250 » ; c'est le texte de l'ordonnance qui fait foi.

Clients entreprises plutôt que particuliers

La LPD ne protège pas les données des personnes morales (art. 1 LPD). Mais nom, e-mail et téléphone de votre interlocuteur chez un client sont des données d'une personne physique : une PME purement B2B est concernée.

Traitements antérieurs au 1er septembre 2023

Protection dès la conception, analyse d'impact et consultation ne visent pas les traitements commencés avant l'entrée en vigueur, si la finalité est inchangée et qu'aucune nouvelle donnée n'est collectée (art. 69 LPD). Les autres obligations s'appliquent immédiatement.

Portable perdu avec disque chiffré

Des données efficacement chiffrées restent illisibles pour qui trouve l'appareil ; le PFPDT les tient pour anonymes, pas d'annonce (guide du PFPDT). Des données seulement pseudonymisées restent des données personnelles. Documentez quand même l'incident (art. 15, al. 4, OPDo).

Violation chez le prestataire

Le sous-traitant vous avertit, vous et non le PFPDT ; vous appréciez le risque et annoncez (art. 24, al. 3, LPD). Exigez dans le contrat un avertissement sans délai.

Entreprise étrangère avec des clients en Suisse

Un responsable sans siège en Suisse désigne un représentant s'il y propose des biens ou services et que le traitement est étendu, régulier et à risque élevé ; les conditions sont cumulatives (art. 14 LPD).

Conseiller externe

Une étude d'avocats ou un cabinet peut assumer la fonction (FAQ du PFPDT), s'il est joignable par les personnes concernées et le PFPDT et présente au besoin une procuration (PFPDT). Les critères d'indépendance valent envers chaque mandant.

Ce que ça change pour vous

1. Cette semaine : vérifiez l'effectif au 1er janvier 2026 et les deux exceptions de l'art. 24 OPDo.
2. Dans le mois : listez les prestataires ayant accès à des données et leur pays ; contrôlez l'annexe 1 et les certifications américaines.
3. Dans le mois : complétez la déclaration de protection des données (États, garanties, décisions automatisées).
4. Dans les trois mois : fixez par écrit droits d'accès, chiffrement, sauvegarde et mises à jour (art. 3 OPDo).
5. Immédiatement : désignez qui apprécie et annonce une violation sur DataBreach, et qui répond aux demandes d'accès en 30 jours.
6. Avant chaque nouvel outil : examinez le besoin d'une analyse d'impact, surtout pour l'IA, la vidéosurveillance et le recrutement.
7. Chaque 1er janvier : contrôlez effectif, registre et conservation des journaux. Numezis réunit clients, personnel et documents avec droits d'accès et historique des modifications, ce qui facilite registre et réponses d'accès.

Checklist : la protection des données en PME en dix étapes

1. Inventorier les données. Clients, fournisseurs, personnel, candidats : finalité et lieu de stockage (art. 6 LPD).
2. Vérifier le registre. Effectif au 1er janvier et deux exceptions (art. 24 OPDo) ; le cas échéant, registre selon l'art. 12 LPD.
3. Décider du conseiller. Si des analyses d'impact sont prévues, nommez une personne indépendante, annoncée sur le portail DPO (art. 10, al. 3, LPD).
4. Contrôler les sous-traitants. Pour chaque prestataire : contrat, preuve de sécurité, sous-traitants ultérieurs (art. 9 LPD, art. 7 OPDo).
5. Clarifier les transferts à l'étranger. Comparer l'État à l'annexe 1, sinon clauses types (art. 16 LPD).
6. Mettre à jour la déclaration de protection des données. Mentions obligatoires, États, garanties, décisions automatisées (art. 19 et 21 LPD).
7. Fixer les mesures de sécurité. Droits d'accès, chiffrement, sauvegarde, mises à jour, journaux (art. 3 OPDo).
8. Analyse d'impact pour les nouveaux projets. Avant tout traitement à risque élevé (art. 22 LPD).
9. Gérer les violations. Signalement interne, risque, annonce sur DataBreach, documentation deux ans (art. 15 OPDo).
10. Accès et effacement. Réponse type en 30 jours, effacement une fois la finalité atteinte (art. 18 OPDo, art. 6, al. 4, LPD).

Erreurs fréquentes

• Compter 72 heures. La LPD dit « dans les meilleurs délais » (art. 24 LPD) ; trois jours d'enquête sur un rançongiciel, c'est trop tard, et le PFPDT peut ordonner l'annonce (art. 51, al. 3, let. f, LPD).
• Nommer le directeur conseiller. La direction est incompatible selon le PFPDT ; la dispense tombe et le PFPDT peut ordonner la consultation (art. 51, al. 3, let. e, LPD).
• Croire le conseiller obligatoire. Les privés sont libres (art. 10 LPD) ; investissez plutôt dans la sécurité, dont la violation coûte jusqu'à CHF 250 000 (art. 61, let. c, LPD).
• Outil américain sans certification ni clauses. Une communication intentionnellement illicite coûte jusqu'à CHF 250 000 (art. 61, let. a, LPD).
• Prestataire non vérifié. Déléguer sans vérifier la sécurité du prestataire expose à CHF 250 000 au plus (art. 61, let. b, LPD).
• Renseignement incomplet. Un renseignement intentionnellement incomplet est punissable jusqu'à CHF 250 000 (art. 60, al. 1, let. a, LPD) ; une réponse négative est due elle aussi.
• Croire que l'entreprise paie. La personne responsable est punie ; l'entreprise seulement par exception, jusqu'à CHF 50 000 (art. 64 LPD).

Réponses détaillées

• Une PME doit-elle nommer un conseiller à la protection des données ? → /fr/compliance/protection-des-donnees/conseiller-protection-donnees-obligatoire
• Une entreprise de moins de 250 employés doit-elle tenir un registre des activités de traitement ? → /fr/compliance/protection-des-donnees/registre-traitement-obligatoire-pme
• Quand une analyse d'impact relative à la protection des données est-elle obligatoire ? → /fr/compliance/protection-des-donnees/analyse-impact-obligatoire
• Quand faut-il annoncer une violation de la sécurité des données au PFPDT ? → /fr/compliance/protection-des-donnees/annonce-violation-donnees-pfpdt
• Faut-il informer une personne d'une décision prise automatiquement, sans intervention humaine ? → /fr/compliance/protection-des-donnees/decision-individuelle-automatisee
• Que signifie la protection des données dès la conception et par défaut ? → /fr/compliance/protection-des-donnees/protection-donnees-conception-defaut
• À quelles conditions peut-on confier des données personnelles à un sous-traitant ? → /fr/compliance/protection-des-donnees/conditions-sous-traitance-donnees
• À quelles conditions peut-on transférer des données personnelles à l'étranger ? → /fr/compliance/protection-des-donnees/transfert-donnees-etranger-conditions
• En cas d'infraction à la nLPD, qui est puni : l'entreprise ou la personne responsable ? → /fr/compliance/protection-des-donnees/amende-entreprise-ou-personne
• Quelles mesures techniques et organisationnelles faut-il prendre pour protéger les données ? → /fr/compliance/protection-des-donnees/mesures-techniques-organisationnelles

Sources

1. Loi fédérale sur la protection des données (LPD), RS 235.1, art. 1 à 33, 49 à 51, 60 à 66, 69, 74 — https://www.fedlex.admin.ch/eli/cc/2022/491/fr (état au 7 juillet 2025).
2. Ordonnance sur la protection des données (OPDo), RS 235.11, art. 1 à 5, 7 à 24, annexe 1 — https://www.fedlex.admin.ch/eli/cc/2022/568/fr (état au 1er décembre 2025).
3. Code des obligations (CO), RS 220, art. 958f — https://www.fedlex.admin.ch/eli/cc/27/317_321_377/fr#art_958_f (état au 1er octobre 2026).
4. PFPDT, Guide sur l'annonce des violations de la sécurité des données (art. 24 LPD), version 1.2 — https://www.edoeb.admin.ch/dam/fr/sd-web/T64CAUyvAMcF/1_2%20Leitfaden%20des%20ED%C3%96B%20betreffend%20die%20Meldung%20von%20Datensicherheitsverletzungen%20und%20Information%20der%20Betroffenen%20nach%20Art.%2024%20DSG_FR.pdf (23 avril 2025).
5. PFPDT, Conseiller à la protection des données — https://www.edoeb.admin.ch/fr/conseiller-a-la-protection-des-donnees (2 novembre 2026).
6. PFPDT, FAQ protection des données — https://www.edoeb.admin.ch/fr/faq-protection-des-donnees (2 novembre 2026).
7. PFPDT, portail d'annonce DataBreach — https://www.edoeb.admin.ch/fr/databreach-2 (2 novembre 2026).
8. PFPDT, portails de notification (DataBreach, portail DPO) — https://www.edoeb.admin.ch/fr/portails-notification (2 novembre 2026).
9. SECO, Portail PME, Protection des données : ce qu'il faut savoir — https://www.kmu.admin.ch/fr/protection-des-donnees-ce-quil-faut-savoir (2 novembre 2026).