En bref:
- La désignation d'un délégué à la protection des données est obligatoire uniquement pour certains organismes sous le RGPD, tandis qu'en Suisse, elle reste facultative pour les entreprises privées.
- Un conseiller indépendant permet de réduire la nécessité de consulter le PFPDT, facilitant la gestion des analyses d’impact à risque élevé.
Sous le RGPD, la désignation d'un délégué à la protection des données (DPO) est obligatoire dans trois cas : les autorités publiques, les organismes dont l'activité principale consiste à surveiller des individus à grande échelle, et ceux qui traitent à grande échelle des données sensibles. En Suisse, la nouvelle loi fédérale sur la protection des données (nLPD), entrée en vigueur le 1er septembre 2023, adopte une logique différente : la nomination d'un conseiller à la protection des données (CPD) reste facultative pour les entreprises privées, seuls les organes fédéraux y étant légalement tenus. Cela ne signifie pas que la fonction est accessoire. Bien au contraire : un CPD correctement nommé dispense l'entreprise de consulter le Préposé fédéral à la protection des données et à la transparence (PFPDT) pour certaines analyses d'impact à risque élevé, un avantage opérationnel considérable.
Les missions essentielles du DPO ou du CPD couvrent plusieurs axes :
- Conseil et formation des responsables du traitement et de leurs équipes sur les obligations légales
- Surveillance de la conformité aux prescriptions de protection des données
- Gestion des analyses d'impact relatives à la protection des données (AIPD)
- Interface avec les autorités compétentes : la CNIL pour les traitements relevant du RGPD, le PFPDT pour la nLPD
- Secret professionnel et obligation de confidentialité dans l'exercice de toutes ses missions
Le PFPDT est l'autorité fédérale suisse équivalente fonctionnel de la CNIL. Son rôle est central dans le dispositif de conformité suisse, et le CPD en est le premier interlocuteur.
Quand et comment désigner un délégué à la protection des données sous RGPD et nLPD
La frontière entre obligation et recommandation est nette, mais elle mérite d'être bien comprise pour éviter toute erreur d'appréciation.
Sous le RGPD, la désignation est imposée dès lors que l'organisme remplit l'un des trois critères légaux : autorité publique, surveillance régulière et systématique à grande échelle, ou traitement à grande échelle de données sensibles. La notion de « grande échelle » dépend du volume de données traitées, du nombre de personnes concernées, de la durée et de la portée géographique du traitement. Un hôpital cantonal, une plateforme de géolocalisation ou un réseau de vidéosurveillance commercial entrent typiquement dans ce périmètre.
Sous la nLPD, les entreprises privées restent libres de nommer ou non un CPD. Toutefois, pour bénéficier de la dispense de consultation du PFPDT lors d'une AIPD à risque résiduel élevé, quatre conditions cumulatives doivent être remplies :
- Le CPD exerce sa fonction de manière indépendante, sans recevoir d'instructions du responsable du traitement
- Il n'occupe pas de fonctions incompatibles avec son rôle de conseiller
- Il dispose des connaissances professionnelles nécessaires en droit et en sécurité des données
- Le responsable du traitement publie ses coordonnées et les communique au PFPDT via le portail dédié
La communication au PFPDT n'est pas une simple formalité administrative. Elle conditionne directement l'accès aux facilités prévues par la loi. Les organes fédéraux, eux, communiquent obligatoirement l'identité de leur conseiller au PFPDT.
Un DPO peut être interne ou externe. Le RGPD autorise explicitement la désignation d'un prestataire externe sous contrat, à condition que chaque membre de cet organisme tiers soit exempt de conflit d'intérêts. Pour une PME suisse soumise simultanément au RGPD et à la nLPD, parce qu'elle traite des données de résidents de l'UE, il est possible de coordonner les deux fonctions en une seule personne, à condition que le dispositif couvre les exigences des deux régimes sans créer de doublons inutiles.
Quelles sont les responsabilités concrètes du conseiller à la protection des données ?
Le CPD ou DPO n'est pas un simple auditeur ponctuel. Sa présence doit être effective à chaque étape où des décisions ayant des implications sur les données personnelles sont prises.
Formation et sensibilisation constituent le socle quotidien de la fonction. Le conseiller forme les équipes aux obligations légales, sensibilise les dirigeants aux risques spécifiques à leur secteur, et participe à l'élaboration des politiques internes de protection des données. Cette mission de pédagogie interne est souvent sous-estimée, alors qu'elle conditionne directement la qualité de la conformité opérationnelle.
Sur le plan de la surveillance et du conseil, le CPD contrôle le respect des prescriptions légales, examine les nouveaux projets impliquant des données personnelles, et conseille sur la mise en œuvre des conditions d'utilisation. Il participe à l'adoption des règles internes de traitement des données, sans pour autant en porter la responsabilité finale, qui incombe au responsable du traitement.
La gestion des AIPD et des incidents représente un autre volet critique. Concrètement :
- Réaliser ou superviser les analyses d'impact pour tout traitement présentant un risque élevé
- Notifier le PFPDT en cas de violation de données présentant un risque élevé pour les personnes concernées, dans les meilleurs délais selon la nLPD
- Collaborer étroitement avec le responsable de la sécurité des systèmes d'information (RSSI) pour réagir efficacement lors d'un incident
- Agir comme point de contact pour les personnes concernées exerçant leurs droits, notamment le droit à l'effacement
L'entreprise doit mettre à disposition du CPD les ressources nécessaires : temps, accès aux documents, registres des activités de traitement et données pertinentes. L'accès reste limité aux informations strictement utiles à l'accomplissement de ses missions. Si le conseiller n'est pas employé par l'entreprise, il devra présenter une procuration pour la représenter auprès du PFPDT.
Conseil de pro : Veillez à ce que le CPD dispose d'un accès direct à la direction générale. Sans ce canal hiérarchique, son indépendance effective reste théorique, et la dispense de consultation du PFPDT pour les AIPD à risque élevé ne peut pas être invoquée valablement.
Spécificités suisses : indépendance, responsabilité pénale et meilleures pratiques
La nLPD introduit des particularités qui distinguent nettement le régime suisse du cadre européen, et dont les conséquences pratiques sont souvent mal mesurées.
L'indépendance du CPD est une exigence formelle posée à l'article 10 alinéa 3 de la nLPD. Elle se traduit par une subordination directe à la direction de l'entreprise, sans passer par des niveaux hiérarchiques intermédiaires. Le PFPDT recommande explicitement ce positionnement pour garantir que le conseiller puisse porter ses avis à la connaissance de l'organe supérieur en cas de divergence. Un CPD rattaché à la direction juridique ou au département informatique, sans accès direct à la direction générale, ne satisfait pas pleinement à cette exigence.
Les fonctions incompatibles avec le rôle de CPD sont clairement identifiées : membre de la direction, responsable des ressources humaines, responsable des systèmes d'information, ou appartenance à un service qui traite lui-même des données sensibles. En revanche, la nLPD admet qu'un CPD puisse également assumer la responsabilité de la sécurité de l'information, à condition que cela ne crée pas de conflit d'intérêts.
Sur le plan des sanctions, la différence avec le RGPD est structurelle. Là où le RGPD prévoit des amendes administratives infligées à la personne morale, la nLPD applique un régime pénal ciblant les personnes physiques : dirigeants, DPO interne ou responsable du traitement peuvent être condamnés à des amendes avec un plafond fixé par la loi suisse. La responsabilité personnelle d'un dirigeant peut être engagée pour des manquements sur la transparence, la sécurité ou les transferts internationaux de données.
Quelques bonnes pratiques reconnues au niveau suisse méritent d'être soulignées :
- Séparer strictement les tâches de conseil en protection des données des autres activités de conseil ou de représentation juridique
- Documenter formellement le mandat du CPD, y compris son périmètre d'intervention et ses modalités de reporting à la direction
- Prévoir un audit annuel de conformité, distinct des contrôles opérationnels courants
- Pour les entreprises soumises simultanément au RGPD et à la nLPD, coordonner les fonctions DPO et CPD afin d'assurer une conformité aux deux régimes sans doublons
Le PFPDT joue un rôle central dans l'orientation des entreprises. Au-delà de ses pouvoirs d'enquête et de sa capacité à ordonner la suspension d'un traitement, il publie des recommandations pratiques sur le rôle et l'organisation du CPD, que tout responsable de conformité devrait consulter régulièrement.
Lorsqu'une entreprise suisse utilise des outils numériques pour traiter des données personnelles, la question de la souveraineté des données se pose directement. Nectos propose un espace de travail IA hébergé exclusivement sur des serveurs suisses, sans transfert vers des infrastructures étrangères, conçu pour répondre aux exigences de la nLPD. Ainsi, le CPD peut s'appuyer sur des outils dont la conformité est vérifiable, sans avoir à gérer des flux de données transfrontaliers supplémentaires.
Pour les entreprises qui souhaitent structurer leur conformité nLPD de manière opérationnelle, le Pack Sécurité & Conformité de Nectos offre un cadre technique adapté aux exigences suisses, directement utilisable par le CPD dans son travail quotidien.
Points clés
La désignation d'un CPD en Suisse est facultative pour les entreprises privées, mais elle conditionne l'accès à des facilités légales importantes et réduit l'exposition au risque pénal personnel.
| Point | Détails |
|---|---|
| Obligation de désignation | Le DPO est obligatoire sous le RGPD dans trois cas ; sous la nLPD, seuls les organes fédéraux y sont tenus. |
| Dispense PFPDT | Un CPD indépendant et qualifié dispense l'entreprise de consulter le PFPDT pour les AIPD à risque élevé. |
| Sanctions pénales nLPD | Les amendes nLPD ciblent les personnes physiques responsables, jusqu'à 250 000 CHF. |
| Indépendance obligatoire | Le CPD doit être subordonné directement à la direction et ne pas occuper de fonctions incompatibles. |
| Notification de violation | La nLPD impose la notification au PFPDT dans les meilleurs délais, uniquement si le risque pour les personnes est élevé. |
Questions fréquentes
Le délégué à la protection des données est-il obligatoire en Suisse ?
Sous la nLPD, la désignation d'un conseiller à la protection des données est obligatoire uniquement pour les organes fédéraux. Les entreprises privées peuvent le nommer volontairement, ce qui leur ouvre des facilités pour les analyses d'impact à risque élevé.
Quelles sont les principales responsabilités du DPO selon le RGPD ?
Le DPO informe et conseille l'organisme sur ses obligations légales, contrôle la conformité, conseille sur les AIPD, et agit comme point de contact auprès de l'autorité de protection des données compétente, telle que la CNIL ou le PFPDT.
Quelles sont les obligations de notification en cas de violation de données sous la nLPD ?
La nLPD impose la notification au PFPDT « dans les meilleurs délais », mais uniquement si la violation présente un risque élevé pour les personnes concernées. Contrairement au RGPD, aucun délai chiffré n'est formellement imposé, bien que cette pratique soit recommandée.
Quels risques encourt une entreprise qui ne respecte pas ses obligations liées au CPD ?
Sous la nLPD, les manquements peuvent entraîner des sanctions pénales allant jusqu'à 250 000 CHF, ciblant directement les personnes physiques responsables, dirigeants ou CPD interne, et non la personne morale comme sous le RGPD.
Une PME suisse soumise au RGPD et à la nLPD doit-elle nommer deux délégués distincts ?
Non. Une PME traitant des données de résidents de l'UE peut coordonner les fonctions DPO et CPD en une seule personne, à condition que le dispositif couvre les exigences des deux régimes et que l'indépendance requise soit garantie dans les deux cadres légaux.