TLDR — L’art. 12 LPD impose un registre au responsable du traitement et au sous-traitant, avec deux listes de contenu distinctes : sept indications à l’al. 2, quatre à l’al. 3. L’art. 12 al. 5 LPD renvoie au Conseil fédéral, qui a fixé l’exception à l’art. 24 OPDo : sont dispensés les organismes de droit privé « employant moins de 250 collaborateurs au 1er janvier d’une année », à moins que le traitement porte sur des données sensibles à grande échelle ou constitue un profilage à risque élevé. Les deux conditions sont cumulatives : une société de dix personnes qui fait du scoring, de la recommandation, du SaaS RH ou santé, de la publicité ciblée, ou qui traite des données de mineurs, n’est pas dispensée. Le défaut de registre ne figure pas parmi les infractions des art. 60 à 63 LPD : pas d’amende pour ce seul motif. Mais fournir intentionnellement au PFPDT des renseignements inexacts dans une enquête de l’art. 49 LPD coûte jusqu’à 250 000 francs, à une personne physique. Sans registre, vous ne tenez ni les 30 jours de l’art. 18 OPDo, ni une déclaration de protection des données exacte, ni une analyse d’impact de l’art. 22 LPD.
Deux registres, deux contenus
Première erreur de lecture : croire qu’il n’existe qu’un registre. L’art. 12 al. 1 LPD dit le contraire.
« Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement. »
Le mot « chacun » n’est pas décoratif. Un éditeur de SaaS est presque toujours les deux à la fois : responsable du traitement pour ses propres données (candidats, employés, clients, prospects) et sous-traitant pour celles que ses clients lui confient dans la plateforme. Donc deux registres, ou deux sections nettement séparées. Leur contenu minimal n’est pas le même. Celui du responsable, art. 12 al. 2 LPD :
« a. l’identité du responsable du traitement ; b. la finalité du traitement ; c. une description des catégories de personnes concernées et des catégories de données personnelles traitées ; d. les catégories de destinataires ; e. dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation ; f. dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l’art. 8 ; g. en cas de communication de données personnelles à l’étranger, le nom de l’État concerné et les garanties prévues à l’art. 16, al. 2. »
Celui du sous-traitant est plus court, et c’est l’al. 3 :
« Le registre du sous-traitant contient des indications concernant l’identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l’al. 2, let. f et g. »
Autrement dit : le sous-traitant doit les deux identités, les catégories de traitements, les mesures de sécurité et les transferts à l’étranger — mais ni les finalités, ni les catégories de personnes et de données, ni les destinataires, ni les durées de conservation. Ces éléments restent la responsabilité de son client. Le registre ne se déclare à personne : l’art. 12 al. 4 LPD n’impose la déclaration au PFPDT qu’aux organes fédéraux. Vous le tenez chez vous et le produisez sur demande.
L’exemption des 250 collaborateurs : deux conditions, pas une
C’est la disposition la plus mal lue de la LPD. L’art. 12 al. 5 ne dispense personne directement : il donne un mandat au Conseil fédéral.
« Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d’atteinte à la personnalité des personnes concernées. »
Lisez lentement : deux conditions liées par « et ». Moins de 250 collaborateurs et risque limité. L’exception d’exécution figure à l’art. 24 OPDo (RS 235.11), qui traduit le « risque limité » en deux exclusions :
« Les entreprises et autres organismes de droit privé employant moins de 250 collaborateurs au 1er janvier d’une année, ainsi que les personnes physiques, sont déliés de leur obligation de tenir un registre des activités de traitement, à moins que l’une des conditions suivantes soit remplie : a. le traitement porte sur des données sensibles à grande échelle ; b. le traitement constitue un profilage à risque élevé. »
Trois conséquences que l’on oublie systématiquement. L’effectif se mesure au 1er janvier : une société qui passe de 240 à 260 personnes en juin n’entre dans l’obligation qu’au 1er janvier suivant, mais elle y entre, et cet effectif l’engage toute l’année. La dispense tombe dès qu’une seule exclusion est réalisée : il suffit d’un traitement, pas de l’ensemble de l’activité. Un seul produit qui fait du profilage à risque élevé remet toute l’entreprise dans l’obligation. La dispense ne porte que sur le registre : ni le devoir d’informer (art. 19 LPD), ni le droit d’accès (art. 25 ss LPD), ni la sécurité des données (art. 8 LPD), ni l’annonce des violations (art. 24 LPD) ne disparaissent.
Ce que « données sensibles » et « profilage à risque élevé » veulent dire
Les deux notions sont à l’art. 5 LPD et sont plus larges qu’on ne l’imagine. Les données sensibles (let. c) couvrent « les données sur la santé, la sphère intime ou l’origine raciale ou ethnique », les données génétiques, « les données biométriques identifiant une personne physique de manière univoque », les opinions religieuses, philosophiques, politiques ou syndicales, les poursuites et sanctions pénales ou administratives, et les mesures d’aide sociale. Le profilage à risque élevé (let. g) est :
« tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu’il conduit à un appariement de données qui permet d’apprécier les caractéristiques essentielles de la personnalité d’une personne physique »
Le mot décisif est « appariement ». Dès que vous croisez des sources — comportement produit, CRM, données achetées, signaux publicitaires, localisation — pour construire un portrait exploitable d’une personne, vous êtes dans le champ. Concrètement, le second filtre rattrape :
- Le SaaS RH : absences, certificats médicaux, procédures disciplinaires, parfois affiliation syndicale. L’échelle est celle du parc clients, pas de votre effectif.
- Le SaaS santé ou bien-être : données de santé par nature, y compris un produit « fitness » qui mesure un rythme cardiaque.
- L’outil de scoring — crédit, risque, fiabilité d’un locataire, tri de candidatures : le cas d’école du profilage à risque élevé.
- La plateforme de recommandation : si le modèle infère une préférence intime, une orientation, un état de santé ou une conviction, vous produisez de la donnée sensible sans l’avoir collectée.
- Le produit publicitaire : ciblage comportemental, identifiants tiers, audiences croisées. L’appariement est le cœur du produit.
- Le service traitant des données de mineurs : la LPD ne crée pas de catégorie « mineurs », mais l’atteinte potentielle à la personnalité y est admise plus largement, et le « risque limité » de l’art. 12 al. 5 devient très difficile à soutenir.
Disons-le honnêtement : ni la LPD ni l’OPDo ne définissent « à grande échelle ». Le seuil est une appréciation, et personne ne vous donnera de chiffre certain. Raison de plus pour documenter votre raisonnement maintenant, plutôt que de le reconstruire sous la pression d’une enquête.
Le registre champ par champ
Un registre utile est un tableau : une ligne par activité de traitement, pas par outil ni par base de données. « Recrutement », « paie », « support client », « télémétrie produit », « emailing » : cinq lignes. Voici une structure que vous pouvez recopier telle quelle.
| Colonne | Base | Ce qu’on y met |
|---|---|---|
| Activité de traitement | — | Nom court et stable. « Gestion des candidatures ». |
| Rôle | Art. 5 let. j et k | Responsable ou sous-traitant. Une seule réponse par ligne. |
| Identité du responsable | Art. 12 al. 2 let. a | Raison sociale, siège, IDE, contact interne. |
| Finalité | Art. 12 al. 2 let. b | Une phrase vérifiable. Pas « améliorer l’expérience ». |
| Personnes concernées | Art. 12 al. 2 let. c | Candidats, employés, clients, utilisateurs finaux de vos clients. |
| Catégories de données | Art. 12 al. 2 let. c | Identité, coordonnées, logs, paiement. Marquer le sensible (art. 5 let. c). |
| Destinataires | Art. 12 al. 2 let. d | Hébergeur, emailing, fiduciaire, assurance, autorité. Nommer les sous-traitants. |
| Conservation | Art. 12 al. 2 let. e | Durée, ou critère : « six mois après la fin du processus ». |
| Mesures de sécurité | Art. 12 al. 2 let. f, art. 8 | Chiffrement, gestion des accès, journalisation, sauvegardes, tests. |
| Transferts à l’étranger | Art. 12 al. 2 let. g | État concerné et garantie invoquée (art. 16 al. 2). |
| Profilage ? AIPD ? | Art. 5 let. f et g, art. 22 | Oui/non, renvoi à l’analyse d’impact si elle existe. |
| Dernière revue | — | Date et auteur. La colonne qui prouve que le registre est vivant. |
Pour les lignes où vous êtes sous-traitant, gardez la même structure et remplissez ce que l’art. 12 al. 3 exige. Le jour où un client demande vos garanties, vous répondez en une page.
Le registre est le socle des autres obligations
C’est l’argument qui convainc un dirigeant, davantage que l’obligation elle-même. Quatre obligations deviennent intenables sans registre.
| Obligation | Base | Ce qui bloque sans registre |
|---|---|---|
| Demande d’accès | Art. 25 LPD ; 30 jours, art. 18 OPDo | Vous ignorez où sont les données. Le délai court pendant que vous cherchez. |
| Déclaration de protection des données | Art. 19 LPD | Finalités, destinataires et États de transfert doivent être exacts. Sans inventaire, la page publie une fiction. |
| Analyse d’impact | Art. 22 LPD | Elle commence par la description du traitement envisagé. Le registre la fournit. |
| Annonce d’une violation | Art. 24 LPD, « dans les meilleurs délais » | Dire en heures quelles catégories de données et de personnes sont touchées. |
Un incident de sécurité un vendredi soir se gère avec un registre à jour, ou ne se gère pas.
Analyse d’impact et consultation du PFPDT
L’art. 22 al. 1 LPD impose une analyse d’impact « lorsque le traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée ». L’al. 2 cite deux cas : le « traitement de données sensibles à grande échelle » et la « surveillance systématique de grandes parties du domaine public ». Vous reconnaissez la première formule : c’est le critère qui vous prive déjà de la dispense de registre. Les deux obligations se déclenchent sur le même terrain, et l’analyse reprend le registre pour décrire le traitement. Si un risque élevé subsiste malgré vos mesures, l’art. 23 al. 1 impose la consultation préalable du PFPDT, qui a deux mois pour ses objections, prolongeables d’un mois pour un traitement complexe (al. 2). L’art. 23 al. 4 offre une sortie : le responsable privé peut y renoncer s’il a consulté son conseiller à la protection des données (art. 10 LPD). Pour un éditeur qui livre souvent, désigner un conseiller évite d’attendre trois mois avant une mise en production.
Quand le PFPDT demande le registre
L’art. 49 al. 1 LPD permet au PFPDT d’ouvrir une enquête « d’office ou sur dénonciation » dès qu’il existe « des indices suffisants » qu’un traitement pourrait être contraire au droit. En pratique, la dénonciation vient d’un client mécontent, d’un ancien employé ou d’un concurrent. L’al. 3 est celui qui compte :
« L’organe fédéral ou la personne privée fournit au PFPDT tous les renseignements et les documents qui lui sont nécessaires pour l’enquête. »
Le registre est le premier document demandé : il donne la carte du reste. Son absence n’est pas une infraction en soi, mais elle transforme une enquête ciblée en inventaire général, conduit sous délai.
Les sanctions : dites-vous la vérité
Beaucoup d’articles laissent croire à une amende pour défaut de registre. Le défaut de registre ne figure pas parmi les infractions des art. 60 à 63 LPD. Aucune amende n’est prévue pour ce seul motif. Ce qui est puni est autre chose, et souvent plus proche de vous.
| Comportement | Base | Peine |
|---|---|---|
| Renseignements inexacts ou incomplets (art. 19, 21, 25 à 27) ; défaut d’information intentionnel | Art. 60 al. 1 LPD | Amende jusqu’à 250 000 francs, sur plainte |
| Renseignements intentionnellement inexacts au PFPDT en enquête, ou refus de collaborer | Art. 60 al. 2 LPD | Amende jusqu’à 250 000 francs, d’office |
| Transfert à l’étranger sans base, sous-traitance non conforme, sécurité minimale non respectée | Art. 61 LPD | Amende jusqu’à 250 000 francs, sur plainte |
| Insoumission à une décision du PFPDT | Art. 63 LPD | Amende jusqu’à 250 000 francs |
Deux points. Ces dispositions visent des personnes physiques : « les personnes privées qui, intentionnellement… ». C’est le dirigeant ou le collaborateur responsable qui est poursuivi, pas la société ; l’art. 64 al. 2 LPD ne permet de condamner l’entreprise à leur place que si l’amende envisagée ne dépasse pas 50 000 francs et que l’instruction serait disproportionnée. Et l’art. 60 al. 2 est le vrai point de contact entre le registre et le droit pénal : le registre n’est pas obligatoire sous peine d’amende, mais répondre au PFPDT de façon inexacte l’est — et sans registre, la réponse inexacte devient très probable.
Trois choses à faire ce mois-ci
- Trancher la dispense par écrit, en une page. Effectif au 1er janvier ; liste de vos traitements ; pour chacun, deux cases : données sensibles à grande échelle, profilage à risque élevé. Datez et signez. Si une case est cochée, la dispense tombe, et vous le savez avant le PFPDT.
- Écrire les cinq à quinze lignes du registre dans un tableur. Séparez le rôle de responsable de celui de sous-traitant. Un registre incomplet mais daté vaut mieux qu’un projet parfait jamais commencé.
- Confronter le registre à votre déclaration de protection des données publiée. Chaque destinataire et chaque État de transfert doit s’y retrouver. Les écarts sont exactement ce que l’art. 60 al. 1 LPD sanctionne.
Sources primaires
- LPD, RS 235.1, état le 7 juillet 2025 — art. 5, 8, 10, 12, 16, 19, 22, 23, 24, 25, 49, 60 à 64. Fedlex, ELI
cc/2022/491/20250707. - OPDo, RS 235.11, état le 1er septembre 2023 — art. 18 et art. 24. Fedlex, ELI
cc/2022/568/20230901. - PFPDT, FAQ protection des données, rubrique « registre des traitements ».
- PFPDT, « Analyse d’impact relative à la protection des données personnelles » et aide-mémoire AIPD, août 2023.
Avertissement — La FVN est une fédération professionnelle, pas une étude d’avocats. Ce texte reflète le droit au 25 août 2026, sur la base de la LPD « état le 7 juillet 2025 » et de l’OPDo « état le 1er septembre 2023 ». Ce que nous n’avons pas pu vérifier, nommément : nous n’avons trouvé chez le PFPDT ni page dédiée ni modèle téléchargeable de registre des activités de traitement — les adresses tentées ont retourné une erreur 404 ; le tableau de structure ci-dessus est donc notre construction à partir du seul art. 12 LPD, pas un gabarit officiel. Les art. 19, 24 et 25 LPD ne nous sont parvenus que résumés par l’outil de lecture : nous les avons reformulés sans guillemets, et nous rattachons le délai de 30 jours à l’art. 18 OPDo, seule source lue verbatim sur ce point. Enfin, ni la LPD ni l’OPDo ne définissent « à grande échelle » : notre lecture des cas sectoriels est une appréciation, pas une règle vérifiée. Pour une décision qui vous engage, consultez un mandataire qualifié ou le PFPDT.
