TLDR — La LPD révisée est en vigueur depuis le 1er septembre 2023. Elle n’a été modifiée qu’une fois : l’art. 24 al. 5bis, introduit par la LF du 29 septembre 2023 sur l’obligation de signaler les cyberattaques, est en vigueur depuis le 1er avril 2025 (version consolidée : état le 7 juillet 2025). Autour d’elle, davantage a bougé : les États-Unis figurent à l’annexe 1 OPDo depuis le 15 septembre 2024, l’obligation d’annoncer les cyberattaques contre les infrastructures critiques est en vigueur depuis le 1er avril 2025, et un projet de consultation sur l’IA est attendu pour fin 2026. Douze obligations concrètes, sanctions jusqu’à 250 000 francs — et elles visent les personnes physiques, pas la société.
1. Première question : quelle loi vous concerne réellement
Beaucoup d’entreprises numériques vaudoises se trompent d’entrée de jeu.
- Votre société traite ses propres données (clients, prospects, collaborateurs, utilisateurs de votre produit) : c’est la loi fédérale sur la protection des données (LPD, RS 235.1) et son ordonnance (OPDo, RS 235.11) qui s’appliquent. Autorité compétente : le PFPDT.
- Votre société est délégataire d’une tâche publique cantonale ou communale — un mandat pour une commune vaudoise, une plateforme pour un service de l’État, l’hébergement de données d’une entité cantonale : vous entrez dans le champ de la loi vaudoise sur la protection des données personnelles (LPrD, BLV 172.65), avec l’APDI (Autorité de protection des données et de droit à l’information, qui a succédé au Préposé cantonal) comme autorité de surveillance.
Cette distinction n’est pas théorique. Un studio de développement lausannois qui livre un portail citoyen se retrouve soumis à un régime cantonal que sa politique de confidentialité « standard » ne couvre pas. À vérifier avant de signer le contrat de prestation, pas au moment de l’audit.
2. Les principes de traitement (art. 6 LPD)
Tout traitement doit être licite, conforme à la bonne foi et à la proportionnalité. Les données sont collectées pour une finalité déterminée et reconnaissable pour la personne concernée, et ne sont pas traitées ensuite d’une manière incompatible avec cette finalité. S’ajoutent l’exigence d’exactitude des données et leur destruction ou anonymisation lorsqu’elles ne sont plus nécessaires.
Traduction opérationnelle pour une équipe produit : chaque champ collecté dans un formulaire doit pouvoir être rattaché à une finalité écrite. « On le prend au cas où » n’est pas une finalité.
3. Protection des données dès la conception et par défaut (art. 7 LPD)
Les mesures techniques et organisationnelles doivent être intégrées dès la phase de conception, et les réglages par défaut doivent limiter le traitement au minimum nécessaire. Pour un éditeur de logiciel, c’est l’article le plus structurant du texte : il déplace la conformité du service juridique vers le backlog.
4. Registre des activités de traitement (art. 12 LPD, art. 24 OPDo)
Responsables du traitement et sous-traitants tiennent chacun un registre.
L’exception : les entreprises comptant moins de 250 collaborateurs au 1er janvier en sont dispensées — sauf si le traitement porte sur des données sensibles à grande échelle ou constitue un profilage à risque élevé (art. 24 OPDo).
La plupart des PME numériques vaudoises passent sous le seuil des 250. Peu passent le second filtre : une plateforme de santé, un outil RH, un moteur de scoring ou de recommandation retombe dans l’obligation. Et même dispensé, le registre reste le seul document qui permette de répondre vite à une demande d’accès ou à une annonce de violation.
5. Sécurité des données (art. 8 LPD, art. 1 à 6 OPDo)
Sécurité « adéquate par rapport au risque encouru ». L’OPDo décline les objectifs : confidentialité, disponibilité, intégrité, et traçabilité — il doit être possible de vérifier quelles données personnelles ont été saisies ou modifiées, par qui et quand (art. 3 al. 3 let. a OPDo). La journalisation de l’effacement et de la destruction relève de l’art. 4 OPDo, qui ne s’impose qu’aux traitements de données sensibles à grande échelle et aux profilages à risque élevé. Un journal d’audit n’est donc pas une bonne pratique optionnelle : c’est une déclinaison directe de l’ordonnance.
6. Sous-traitance (art. 9 LPD)
Vous ne pouvez confier un traitement à un sous-traitant que si un contrat ou la loi le prévoit, que le sous-traitant ne traite les données que comme vous pourriez le faire vous-même, et qu’aucune obligation légale ou contractuelle de confidentialité ne s’y oppose. La sous-traitance ultérieure requiert votre autorisation.
Pour une entreprise du numérique, la liste des sous-traitants est longue et souvent implicite : hébergeur, CDN, outil d’e-mailing, CRM, service de logs, fournisseur d’API d’IA. Chacun exige un contrat de sous-traitance. Le fait qu’un fournisseur affiche « GDPR compliant » ne règle pas votre obligation suisse.
7. Devoir d’informer (art. 19 à 21 LPD)
Information adéquate lors de la collecte : identité et coordonnées du responsable, finalités, catégories de destinataires. En cas de communication à l’étranger, l’État destinataire et les garanties applicables. L’art. 21 impose en outre d’informer la personne de toute décision individuelle automatisée produisant des effets juridiques ou l’affectant de manière significative — un point qui devient central dès qu’un modèle décide seul d’un octroi, d’un tarif ou d’un refus. Nous traitons ce sujet en détail dans notre article sur la déclaration de protection des données.
8. Analyse d’impact (art. 22 et 23 LPD)
Une AIPD est requise lorsque le traitement est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux — notamment en cas de traitement à grande échelle de données sensibles ou de surveillance systématique de lieux publics. Si l’analyse révèle un risque élevé résiduel malgré les mesures prévues, le PFPDT doit être consulté préalablement (art. 23). L’art. 23 al. 4 dispense toutefois de cette consultation le responsable qui a consulté son conseiller à la protection des données — un argument concret en faveur de la désignation d’un conseiller, même lorsqu’elle reste facultative.
C’est le point de contact naturel entre conformité et projets d’IA : un modèle entraîné sur des données de clients, un outil de tri de candidatures, un système de détection comportementale déclenchent l’analyse.
9. Violations de la sécurité des données (art. 24 LPD, art. 15 OPDo)
Le responsable annonce au PFPDT, dans les meilleurs délais, les violations susceptibles d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux. Contrairement au RGPD, la LPD ne fixe pas de délai de 72 heures — mais « meilleurs délais » n’autorise pas d’attendre la fin de l’investigation : l’art. 15 al. 2 OPDo prévoit explicitement une annonce par étapes.
Contenu de l’annonce (art. 15 al. 1 OPDo) : nature de la violation, moment et durée, catégories et nombre approximatif de données et de personnes concernées, conséquences et risques, mesures prises, personne de contact. La documentation interne des violations doit être conservée au moins deux ans.
Nouveauté du 1er avril 2025 : l’art. 24 al. 5bis LPD autorise le PFPDT, avec l’accord du responsable du traitement, à transmettre l’annonce à l’Office fédéral de la cybersécurité (OFCS) pour analyse de l’incident — y compris, le cas échéant, des données sensibles relatives à des poursuites ou sanctions visant le responsable. C’est le pont entre le régime LPD et le régime LSI décrit plus bas.
10. Communication à l’étranger (art. 16 et 17 LPD)
Sujet à part entière, traité dans notre article dédié aux transferts hors de Suisse. En résumé : transfert libre vers les États listés à l’annexe 1 OPDo, sinon garanties (clauses types, règles d’entreprise contraignantes) ou dérogation de l’art. 17.
11. Droits des personnes (art. 25, 28 et 32 LPD, art. 18 OPDo)
Droit d’accès, avec un délai de réponse de 30 jours (art. 18 al. 1 OPDo). S’y ajoutent le droit à la remise ou à la transmission des données (art. 28 LPD) et les droits de rectification et d’opposition (art. 32 LPD). Une équipe qui n’a pas cartographié ses systèmes ne tient pas ce délai — le registre de l’art. 12 est là aussi l’outil pratique, indépendamment de l’obligation formelle.
12. Sanctions : qui paie, et combien
Point systématiquement mal compris. Les art. 60 à 63 LPD prévoient des amendes jusqu’à 250 000 francs — prononcées contre des personnes physiques, pas contre la société :
- art. 60 : violation des obligations d’information et de renseignement (art. 19, 21, 25 à 27) ;
- art. 61 : violation des devoirs de diligence — communication illicite à l’étranger, sous-traitance non conforme, non-respect des exigences minimales de sécurité fixées par le Conseil fédéral ;
- art. 62 : violation du devoir de discrétion — révélation intentionnelle de données personnelles secrètes connues dans l’exercice d’une profession qui requiert d’en avoir connaissance ; la portée est plus large que le secret professionnel de l’art. 321 CP ;
- art. 63 : non-respect d’une décision du PFPDT.
L’art. 64 al. 2 permet de condamner l’entreprise à une amende jusqu’à 50 000 francs lorsque l’identification de la personne punissable exigerait des mesures d’instruction disproportionnées. La poursuite incombe aux cantons (art. 65) ; la prescription de l’action pénale est de cinq ans (art. 66).
Autrement dit : le risque pèse d’abord sur la direction et sur les personnes qui décident, pas sur le bilan de la société.
Ce qui a changé depuis l’entrée en vigueur
Une seule modification de la loi elle-même — l’art. 24 al. 5bis. Le reste s’est joué autour d’elle.
| Date | Changement | Effet pour une entreprise numérique |
|---|---|---|
| 15.09.2024 | Les États-Unis entrent à l’annexe 1 OPDo (décision du Conseil fédéral du 14.08.2024) | Transfert sans garantie supplémentaire vers les organisations certifiées Swiss-U.S. DPF uniquement — la certification doit être vérifiée, et son périmètre aussi |
| 01.04.2025 | Obligation d’annoncer les cyberattaques (art. 74a ss LSI + OCyS), délai 24 heures. Insertion de l’art. 24 al. 5bis LPD | Vise les entités énumérées à l’art. 74b LSI. Plusieurs catégories d’entreprises du numérique y figurent directement : fournisseurs de services d’informatique en nuage, de moteurs de recherche et de centres de calcul ayant leur siège en Suisse (let. t), et fabricants de matériel ou de logiciels dont les produits sont utilisés par des infrastructures critiques (let. u). La taille de l’entreprise est sans effet. À l’inverse, être simple fournisseur d’une banque ou d’une commune ne vous soumet pas à l’obligation — mais elle peut vous être répercutée par contrat |
| 01.10.2025 | Fin du délai de grâce : dispositions pénales applicables, amende jusqu’à 100 000 francs (art. 74h LSI) | Vérifiez avec votre conseil si le manquement au délai de 24 heures est punissable en tant que tel ou seulement après décision de l’OFCS |
| 27.03.2025 | La Suisse signe la Convention-cadre du Conseil de l’Europe sur l’IA (annonce du Conseil fédéral du 26.03.2025) | Approche sectorielle annoncée, à l’inverse de l’AI Act européen. Ce qui est attendu pour fin 2026 n’est pas un cadre légal mais un projet mis en consultation, que le DFJP doit élaborer avec le DETEC et le DFAE |
À surveiller d’ici fin 2026 : le projet de consultation sur la mise en œuvre de la Convention du Conseil de l’Europe sur l’IA, et la portée extraterritoriale de l’AI Act pour les éditeurs suisses qui vendent dans l’UE.
Checklist de démarrage
- Déterminer le régime applicable — LPD fédérale, ou LPrD vaudoise en cas de tâche publique déléguée.
- Cartographier les traitements, même sans obligation formelle de registre.
- Vérifier le second filtre de l’art. 24 OPDo : données sensibles à grande échelle, profilage à risque élevé.
- Lister les sous-traitants réels, y compris les API d’IA, et contractualiser.
- Publier une déclaration de protection des données conforme à l’art. 19.
- Localiser les transferts hors de Suisse et vérifier l’annexe 1 OPDo.
- Écrire la procédure d’annonce de violation avant d’en avoir besoin.
- Fixer le processus de réponse aux demandes d’accès dans les 30 jours.
- Déclencher une AIPD pour tout projet d’IA touchant des données personnelles.
Sources primaires
- Loi fédérale sur la protection des données (LPD, RS 235.1), état le 7 juillet 2025 — art. 6, 7, 8, 9, 12, 14, 19 à 26 (dont art. 24 al. 5bis, introduit par la LF du 29 septembre 2023, en vigueur depuis le 1er avril 2025), 28, 32, 60 à 66.
- Ordonnance sur la protection des données (OPDo, RS 235.11), état le 15 septembre 2024 — art. 1 à 6, 15, 18, 24, annexe 1.
- Loi sur la sécurité de l’information (LSI), art. 74a ss — champ d’application à l’art. 74b, disposition pénale à l’art. 74h — et OCyS ; obligation d’annonce en vigueur au 1er avril 2025, sanctions applicables depuis le 1er octobre 2025.
- Loi vaudoise sur la protection des données personnelles (LPrD, BLV 172.65) du 11 septembre 2007.
- PFPDT / EDÖB, informations aux entreprises.
- Conseil fédéral, décision du 14 août 2024 sur le Swiss-U.S. Data Privacy Framework.
Avertissement — La FVN est une fédération professionnelle, pas une étude d’avocats. Ce texte est une information générale à jour au 22 août 2026, et non un conseil juridique. Toute décision engageant votre entreprise doit être validée par un mandataire qualifié.
