nLPD vs RGPD pour les PME Romandes: Guide Comparatif 2026

✓ Double conformité souvent requise: 87% des PME romandes avec clients UE doivent respecter les deux cadres

✓ Amendes RGPD: jusqu'à 20M€ ou 4% du CA mondial — nLPD: maximum 250'000 CHF

✓ Consentement implicite: possible sous nLPD dans certaines conditions, pas sous RGPD

✓ Délai de notification: 72h sous RGPD, "dans les meilleurs délais" sous nLPD

✓ Avantage concurrentiel: la conformité facilite les échanges européens et renforce la confiance client

✓ Actions prioritaires 2026: cartographie des traitements, registres, formation, DPO si nécessaire

Le paysage réglementaire a considérablement évolué depuis l'entrée en vigueur de la nLPD en septembre 2023. Trois facteurs rendent la conformité plus urgente que jamais pour les PME romandes:

Intensification des contrôles: le PFPDT (Préposé fédéral) a renforcé ses moyens d'investigation en 2025

Exigences contractuelles: les grands donneurs d'ordre européens imposent désormais des audits de conformité

Digitalisation accélérée: l'adoption d'outils cloud et d'IA multiplie les points de traitement des données

Les PME qui n'ont pas encore aligné leurs pratiques s'exposent non seulement à des sanctions, mais surtout à des pertes de marchés face à des concurrents conformes.

Ce guide s'appuie sur les textes officiels (Règlement UE 2016/679, Loi fédérale sur la protection des données révisée du 25 septembre 2020), les publications du PFPDT, les guides pratiques de economiesuisse, et les analyses des principales études d'avocats spécialisées en droit numérique (notamment Homburger, Lenz & Staehelin, Walder Wyss). Les statistiques de conformité proviennent de l'enquête SwissGRC 2025.

Seule la nLPD s'applique. Vous devez tenir un registre des traitements (si plus de 250 employés ou traitements à risque), informer les personnes concernées de manière transparente, et notifier le PFPDT en cas d'incident. Le consentement implicite peut suffire si le contexte est clair.

Les deux cadres s'appliquent. Pour les données de résidents UE, vous devez respecter le RGPD: consentement explicite obligatoire, notification sous 72h, droits étendus (portabilité, effacement). Pour vos clients suisses, la nLPD s'applique. Recommandation: alignez vos processus sur le RGPD (plus strict) pour simplifier la gestion.

Le groupe applique généralement le RGPD de manière uniforme. Vérifiez que les transferts de données vers la maison-mère sont encadrés (clauses contractuelles types ou règles d'entreprise contraignantes). La nLPD s'applique aux traitements locaux.

Vous êtes probablement "sous-traitant" au sens du RGPD. Obligations spécifiques: contrat de sous-traitance conforme à l'art. 28 RGPD, mesures de sécurité documentées, assistance au responsable de traitement. La nLPD impose des obligations similaires.

Le RGPD s'applique dès que vous traitez des données de résidents de l'UE, même depuis la Suisse. La nLPD couvre les traitements effectués en Suisse. En pratique, la plupart des PME romandes collaborant avec des clients ou partenaires européens sont concernées par les deux. Cartographiez votre clientèle et vos flux de données pour déterminer vos obligations exactes.

Oui, mais sous conditions strictes. La nLPD permet un consentement implicite lorsque le contexte et l'information fournie rendent l'accord raisonnablement attendu. Cette flexibilité exige une transparence totale sur les finalités et la capacité de prouver comment le consentement a été obtenu. Le RGPD reste plus strict: privilégiez le consentement explicite si vous traitez aussi des données de résidents UE.

Au-delà des sanctions financières (jusqu'à 4% du CA mondial sous RGPD, 250'000 CHF sous nLPD), les impacts majeurs sont réputationnels: perte de confiance des clients et partenaires, couverture médiatique négative, opportunités commerciales manquées avec l'UE. La conformité est devenue un critère de sélection pour les grands donneurs d'ordre.

L'exemption concerne les entreprises de moins de 250 employés avec des traitements à faible risque. Si vous traitez des données sensibles (santé, opinions politiques, données biométriques) ou effectuez un profilage systématique, le registre reste obligatoire. Dans le doute, tenez un registre simplifié: c'est aussi un outil de gestion utile.

Depuis l'invalidation du Privacy Shield et les incertitudes du nouveau Data Privacy Framework, privilégiez les clauses contractuelles types (CCT) de la Commission européenne. Vérifiez que votre fournisseur les accepte et documentez votre analyse de risque. Alternative: choisissez des solutions hébergées en Suisse ou dans l'UE.

En bref: Les PME romandes doivent souvent respecter à la fois la nLPD suisse et le RGPD européen. Les différences clés portent sur les amendes (RGPD nettement plus sévère), le consentement (implicite possible sous nLPD), et les délais de notification. La conformité n'est pas qu'une obligation légale — c'est un avantage concurrentiel pour accéder aux marchés européens et renforcer la confiance client.

Ce guide a été élaboré par l'équipe Abilene Group SA, cabinet de conseil spécialisé en gouvernance, risque et conformité pour les PME romandes. Notre méthodologie combine l'analyse des textes réglementaires, les bonnes pratiques sectorielles et l'expérience terrain acquise auprès de plus de 150 entreprises accompagnées.