La loi fédérale suisse sur la protection des données, révisée et en vigueur depuis le 1er septembre 2023, encadre le traitement des données personnelles. Pour une PME, la démarche consiste à connaître les données traitées, les personnes qui y accèdent et les prestataires impliqués, puis à adapter les mesures de protection aux risques.

Identifier les données et les traitements concernés

La LPD protège la personnalité et les droits fondamentaux des personnes physiques dont les données sont traitées. Commencez par les dossiers clients, salariés, candidats et partenaires. Identifiez les finalités, les applications, les lieux de stockage, les destinataires et les durées de conservation. Les données sensibles demandent une attention particulière selon leur usage et le risque.

Organiser information, accès et sous-traitance

Une politique de confidentialité ne suffit pas. Vérifiez l’information des personnes, la gestion des demandes, les contrats avec les prestataires et les éventuels transferts internationaux. Les obligations de documentation et d’analyse d’impact dépendent du traitement et des risques ; elles ne doivent pas être réduites à une checklist identique pour toutes les entreprises.

Le RGPD européen peut aussi s’appliquer selon les activités et les situations concernées. Une entreprise suisse ne doit ni l’ignorer systématiquement ni supposer qu’il remplace la LPD.

Mettre en place des mesures informatiques et organisationnelles

Utiliser des comptes nominatifs et retirer les droits devenus inutiles.
Protéger les accès et les appareils selon la sensibilité des données.
Organiser les sauvegardes, leur surveillance et les essais de restauration.
Tenir à jour les systèmes et maîtriser les interventions des prestataires.
Former les personnes et définir une procédure de traitement des incidents.

Une certification, un antivirus ou le choix d’un cloud suisse ne suffit pas à démontrer la conformité de tous les traitements.

Préparer le traitement d’une violation de données

Selon l’article 24 LPD, le responsable du traitement doit annoncer au PFPDT dans les meilleurs délais une violation de sécurité entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux. Toutes les erreurs ou pannes ne relèvent donc pas automatiquement de cette notification. L’information des personnes concernées répond également aux conditions prévues par la loi.

Documentez les faits, les données touchées, les risques et les mesures prises. Consultez le guide du PFPDT pour apprécier les obligations ; ne transposez pas automatiquement le délai de 72 heures du RGPD à la LPD suisse.

Préparer une revue de protection des données dans une PME

Commencez par les usages réels : dossiers clients, ressources humaines, formulaires et échanges avec les prestataires. Identifiez les responsables et les documents existants. Une revue doit distinguer le cadre applicable à l’organisation des contrôles purement techniques.

Préparez les questions à valider : accès, destinataires, lieux de traitement, conservation et traitement d’un incident. Le PFPDT fournit des ressources officielles suisses pour cadrer la démarche. Les décisions doivent ensuite être traduites en procédures et vérifiées sur les outils utilisés.

Exemple illustratif pour une PME à Genève. Une société de courtage à Genève fait le point sur ses dossiers et ses espaces cloud. Elle recense les partenaires autorisés et les droits, puis prépare avec les responsables compétents les règles de traitement. L’équipe informatique applique ces choix et conserve les résultats des contrôles appropriés.

Pour transformer les objectifs de protection en actions vérifiables, retrouvez LPD : les mesures informatiques à organiser et Comment assurer la protection des données de vos clients?. Reliez chaque contrôle à un responsable et à un résultat observable.

Pour compléter ce sujet avec une démarche liée, consultez Santé en Suisse : organiser la cybersécurité. Adaptez les vérifications aux outils et aux usages de votre entreprise.

Faire le point avec Pixel IT à Genève

Vous souhaitez identifier les mesures à traiter en premier ? Pixel IT accompagne les PME genevoises en sécurité informatique. Décrivez votre environnement et vos besoins pour définir une intervention adaptée.

Sources et documentation

Documentation vérifiée le 15 octobre 2026. Les fonctions disponibles dépendent des produits, versions, licences et réglages concernés.

LPD en Suisse : les points à vérifier dans une PME