LPD en pratique : les enseignements à tirer des premières interventions du PFPDT

Droits d’accès, opposition au marketing, effacement, cookies et violations de sécurité : ce que les premières décisions du PFPDT changent pour les PME.

3 juillet 2026 par

Jean-Blaise PERRIN

| Aucun commentaire pour l'instant

Depuis le 1^er septembre 2023, la nouvelle loi fédérale sur la protection des données (LPD) a donné au Préposé fédéral à la protection des données et à la transparence (PFPDT) des moyens de surveillance plus directs. Les premières décisions publiées et le rapport d’activités 2025/2026 montrent désormais comment cette autorité les utilise.

Le message pour une PME n’est pas qu’il faudrait produire un classeur de conformité de 180 pages. Il est plus terre à terre : un droit d’accès doit aboutir à une vraie réponse, une désinscription doit réellement arrêter le marketing, une suppression annoncée doit être exécutée dans tous les systèmes et une violation de sécurité doit être évaluée sans délai.

Autrement dit, le PFPDT regarde moins les belles déclarations que le fonctionnement réel des processus. Et, sur ce terrain, un simple courriel client laissé sans suite peut devenir le premier caillou d’une enquête formelle.

En bref

Une enquête n’est plus réservée aux atteintes touchant un grand nombre de personnes : une violation importante concernant une seule personne peut suffire.
Une réponse standardisée à une demande d’accès ne remplace pas la communication des données personnelles effectivement traitées ; la réponse intervient en principe dans les 30 jours.
Une opposition au marketing ou une demande d’effacement doit être appliquée dans les outils opérationnels, pas seulement confirmée par courriel.
Le PFPDT privilégie souvent une correction rapide et informelle, mais peut rendre des décisions contraignantes, ordonner l’arrêt d’un traitement ou l’effacement de données.
Le PFPDT n’inflige pas lui-même des amendes administratives comparables à celles du RGPD ; les infractions pénales prévues par la LPD relèvent des autorités cantonales.

Ce qui a changé dans la pratique de surveillance

Sous l’ancien droit, les démarches du PFPDT à l’encontre des entreprises privées débouchaient en principe sur des recommandations. La LPD révisée lui permet d’ouvrir une procédure administrative formelle lorsqu’il existe des indices suffisants d’une violation et, si celle-ci est constatée, d’ordonner notamment la modification, la suspension ou la cessation du traitement, ainsi que l’effacement ou la destruction de données.

Le seuil d’intervention a également changé. Il n’est plus nécessaire que le traitement soit susceptible de porter atteinte à un nombre important de personnes. Selon l’aide-mémoire du PFPDT, une violation d’une intensité suffisante peut justifier une enquête même si elle ne touche qu’une seule personne ou un petit nombre de personnes.

Les chiffres publiés le 30 juin 2026 confirment la montée en puissance du dispositif. Le PFPDT fait état de plus de 2’000 dénonciations de violations potentielles au cours de l’année sous revue, de 156 interventions à bas seuil, de 22 enquêtes préliminaires et de 9 enquêtes formelles. Il a également reçu 484 annonces de violations de la sécurité des données.

Précision utile : le PFPDT est compétent pour les traitements effectués par les entreprises privées et les organes fédéraux. Les traitements des autorités cantonales ou communales relèvent en principe des autorités cantonales de protection des données.

Six enseignements concrets pour les PME

1. Une demande d’accès exige les données, pas une formule polie

Dans l’affaire Cembra Money Bank AG, le PFPDT a examiné 13 demandes d’accès traitées entre décembre 2023 et septembre 2024. Neuf réponses avaient été envoyées après l’expiration du délai légal de 30 jours. Surtout, toutes les personnes avaient reçu une réponse standardisée qui ne leur communiquait pas les données personnelles effectivement traitées à leur sujet.

La leçon dépasse largement le secteur bancaire. Une PME doit être capable d’identifier la personne, de rechercher les données dans ses applications, sa messagerie, son CRM, ses dossiers RH et, le cas échéant, chez ses sous-traitants. Elle doit ensuite fournir les informations prévues par la LPD et les données concernées sous une forme compréhensible. Une déclaration de protection des données ou une phrase telle que « nous traitons vos données conformément à la loi » n’est pas une réponse d’accès.

2. L’opposition et l’effacement doivent traverser tous les systèmes

La décision publiée le 26 juin 2026 contre Cream della Cream Switzerland GmbH et Philipp Plein International AG est particulièrement parlante. Plusieurs personnes avaient continué à recevoir des messages publicitaires après s’y être opposées. Dans certains cas, les entreprises avaient même confirmé la suppression des données avant de poursuivre les envois.

Le PFPDT était d’abord intervenu de manière informelle. Faute de correction, il a ouvert une enquête formelle et ordonné de cesser le traitement publicitaire en cas d’opposition, d’effacer les données sur demande sauf motif justificatif et de ne plus utiliser les données des personnes ayant déjà exercé ces droits. La décision, entrée en force, a aussi mis à la charge des entreprises un émolument de CHF 5’500. Il ne s’agissait pas d’une amende, mais la nuance ne rend pas l’addition décorative.

En pratique, un lien de désinscription doit fonctionner, le statut d’opposition doit être propagé au CRM, à l’outil d’envoi et aux listes réimportées, et les demandes manuelles doivent être suivies jusqu’à leur exécution. Une obligation légale de conservation peut justifier de garder certaines données, par exemple des pièces comptables, mais elle ne permet pas de poursuivre leur utilisation à des fins publicitaires.

3. Une donnée publique n’est pas une donnée sans règles

Dans l’affaire dite « Pfarrer-Check », une association avait publié des données concernant des prêtres, pasteurs et autres personnes actives dans le domaine ecclésial. Le PFPDT a ordonné la suppression des inscriptions des personnes qui n’avaient pas consenti à cette publication. Le Tribunal administratif fédéral a confirmé la décision le 6 octobre 2025.

Le raisonnement est important pour les annuaires, la prospection, le recrutement et le profilage : le fait qu’une adresse professionnelle, une fonction ou une autre information soit accessible sur internet ne permet pas de la réutiliser pour n’importe quelle finalité. La transparence, la proportionnalité, la finalité et les droits de la personne restent applicables.

4. Le choix doit être réel et techniquement simple

Dans le dossier Digitec Galaxus, examiné encore sous l’ancien droit, le PFPDT avait critiqué le couplage du processus de commande à la création d’un compte client et le traitement de données qui en résultait. L’entreprise a ensuite introduit une possibilité globale de désactiver la personnalisation du site en un clic ; les cookies correspondants sont alors désactivés, le formulaire d’inscription informe explicitement sur la personnalisation et la déclaration de confidentialité a été adaptée.

Cette affaire ne signifie pas que chaque cookie exige automatiquement un consentement selon le modèle européen. Elle montre en revanche que l’interface, l’information et l’effectivité du choix comptent. Un droit d’opposition dissimulé dans cinq écrans ou un bouton qui ne modifie pas réellement les traitements résistera mal à un contrôle.

5. Un incident chez le prestataire reste aussi votre problème

Selon l’art. 24 LPD, le responsable du traitement doit annoncer au PFPDT, dans les meilleurs délais, une violation de la sécurité des données susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Le sous-traitant doit informer le responsable dans les meilleurs délais.

Le rapport 2025/2026 relève 484 annonces, dont 141 annonces spontanées, et une hausse des notifications provisoires. Lorsque les faits et le niveau de risque ne sont pas encore entièrement connus, une notification initiale peut donc être complétée après analyse. En revanche, le fait qu’un hébergeur, un fournisseur de paie ou un prestataire informatique ait causé l’incident ne transfère pas automatiquement au prestataire l’obligation du responsable d’annoncer.

6. Ignorer l’autorité transforme souvent un problème corrigeable en procédure

Le PFPDT indique qu’une intervention informelle peut suffire lorsqu’une entreprise répond, explique sa pratique et corrige rapidement le traitement. À l’inverse, une enquête formelle entraîne une obligation de collaborer et de produire les renseignements et documents nécessaires, sous réserve des droits de refus prévus par la loi.

Le rapport relate ainsi une enquête encore pendante au 31 mars 2026 dans laquelle le PFPDT a rendu une décision incidente ordonnant la collaboration et a déposé une plainte pénale après plusieurs courriers restés sans réponse. Les faits de fond n’étaient pas encore tranchés à la date du rapport ; l’enseignement procédural, lui, est limpide : le silence n’est pas une stratégie de défense, c’est plutôt une manière coûteuse de laisser l’autorité écrire seule le scénario.

Mise à jour du 2 septembre 2026

Le 20 août 2026, le PFPDT a annoncé que le Tribunal administratif fédéral avait intégralement rejeté, par arrêt du 22 juin 2026, le recours d’Inkasso-Team AG. La publication en ligne de données de débiteurs présumés afin de les localiser et d’avertir des tiers a été jugée contraire aux droits de la personnalité et dépourvue de justification suffisante. L’arrêt est entré en force et le site concerné a été retiré. Cette évolution, rendue publique après la date éditoriale du présent article, confirme que les décisions contraignantes du PFPDT peuvent résister au contrôle judiciaire.

Le plan d’action raisonnable pour une PME

La conformité utile ne commence pas par un document théorique, mais par quelques tests de fonctionnement. Une PME peut engager les contrôles suivants :

Désigner un responsable interne et un canal unique. Les demandes d’accès, d’opposition, de rectification et d’effacement ne doivent pas se perdre entre l’adresse info@, le commercial et l’informatique.
Créer un registre de suivi des demandes. Date de réception, identité vérifiée, systèmes consultés, responsable, délai, réponse et preuve d’envoi doivent être documentés.
Tester un cas réel de bout en bout. Simuler une demande d’accès et vérifier si les données peuvent être retrouvées dans les 30 jours, y compris dans les outils cloud et auprès des sous-traitants.
Tester les désinscriptions et suppressions. Une adresse opposée au marketing ne doit pas réapparaître lors du prochain import de contacts. Les demandes confirmées comme exécutées doivent l’être dans tous les environnements concernés.
Contrôler le site et les interfaces. Information compréhensible, choix non trompeurs, paramétrage effectif des cookies, création de compte proportionnée et opposition accessible doivent être vérifiés techniquement.
Préparer la gestion d’incident. Le contrat avec chaque sous-traitant critique doit prévoir une information rapide, les personnes à contacter et la transmission des éléments nécessaires à l’évaluation du risque.
Conserver les preuves utiles. Version des notices, journaux de consentement ou d’opposition, tickets de suppression, analyse de risque et décisions internes sont plus convaincants qu’une reconstruction après coup.

Pour l’usage d’outils d’intelligence artificielle, ces mêmes réflexes s’appliquent : limiter les données, choisir un environnement contractuel approprié et garder une maîtrise documentée des flux. Notre article sur l’IA générative et la protection des données dans les PME suisses détaille ce point.

Le point de vue contraire : « le PFPDT n’est pas la CNIL »

C’est exact : le système suisse ne reproduit pas les amendes administratives du RGPD. Le PFPDT peut enquêter et ordonner des mesures administratives, mais il ne prononce pas lui-même les sanctions pénales de la LPD. La poursuite et le jugement de ces infractions appartiennent aux autorités cantonales, et la responsabilité pénale vise en principe les personnes physiques qui ont agi intentionnellement.

Il serait toutefois imprudent d’en conclure que l’exposition est négligeable. Une décision peut imposer l’arrêt d’un traitement, l’effacement d’une base ou la modification d’un processus central. Elle peut être publiée si l’intérêt général le justifie, générer des émoluments et des frais de conseil, puis être contestée devant les tribunaux. Le risque opérationnel et réputationnel peut donc dépasser largement le montant d’une éventuelle sanction.

Que faire si vous recevez un courrier du PFPDT ?

Vérifiez l’authenticité du message par un canal officiel. Le PFPDT a signalé en avril 2026 des courriels frauduleux envoyés en son nom à des exploitants de sites web.
Conservez les données, journaux et versions de documents utiles ; ne supprimez pas précipitamment les éléments nécessaires à l’établissement des faits.
Déterminez s’il s’agit d’une intervention informelle, d’une enquête préliminaire ou d’une enquête formelle : les obligations procédurales ne sont pas identiques.
Répondez factuellement, dans le délai indiqué, en distinguant les faits établis, les points à vérifier et les mesures correctives déjà prises.
Faites examiner les enjeux juridiques et techniques lorsque le traitement est sensible, massif, contesté ou susceptible d’affecter durablement l’activité.

Prudence : coopérer ne signifie pas renoncer à ses droits. Dans une enquête formelle, l’entreprise a notamment le droit d’être entendue, de consulter le dossier et d’apporter des preuves. Elle peut aussi contester une décision devant le Tribunal administratif fédéral. Une position défendable doit toutefois reposer sur des faits documentés et un motif justificatif précis, pas sur l’idée générale que « tout le monde fait pareil ».

Comment Delta Conseil SA peut vous accompagner

Delta Conseil SA peut aider une PME à cartographier ses principaux traitements, organiser la réception des demandes, tester les processus d’accès et d’effacement, revoir les circuits de marketing et formaliser une procédure de gestion des incidents. Lorsque le dossier exige une analyse juridique spécialisée, une expertise de cybersécurité ou la conduite d’une procédure contentieuse, nous coordonnons l’intervention du spécialiste approprié.

Vous souhaitez vérifier si vos processus fonctionnent réellement avant qu’un client — ou le PFPDT — ne les teste pour vous ?

Parler à un conseiller

Questions fréquentes

Le PFPDT enquête-t-il après chaque plainte ?

Non. Il vérifie s’il existe des indices suffisants d’une violation. Il peut renoncer lorsqu’elle est de peu d’importance et privilégie souvent une intervention informelle. En revanche, une violation importante peut justifier une enquête même si elle ne touche qu’une personne.

Une PME doit-elle répondre à une demande d’accès dans les 30 jours ?

En principe oui. Si les renseignements ne peuvent pas être fournis dans ce délai, la personne doit en être informée et recevoir l’indication du délai dans lequel la réponse interviendra. La complexité interne ou la dispersion des données n’autorise pas à laisser la demande sans suivi.

Une demande d’effacement oblige-t-elle à supprimer toute trace du client ?

Pas nécessairement. Certaines données doivent être conservées en raison d’une obligation légale ou d’un motif justificatif, par exemple des pièces comptables. Elles ne doivent toutefois plus être utilisées pour une finalité incompatible, comme du marketing après opposition.

Le consentement règle-t-il tous les problèmes ?

Non. Il doit être libre, éclairé et lié à un traitement suffisamment déterminé lorsqu’il est invoqué. Il ne corrige ni une collecte disproportionnée, ni un dispositif trompeur, ni une sécurité insuffisante. Selon le traitement, un autre motif justificatif peut être pertinent, mais il doit être identifié et documenté.

Le PFPDT peut-il infliger une amende de CHF 250’000 à l’entreprise ?

Le PFPDT n’inflige pas lui-même d’amende administrative. La LPD prévoit des infractions pénales poursuivies par les autorités cantonales et visant en principe les personnes physiques responsables en cas de comportement intentionnel. Le montant maximal ne s’applique donc pas automatiquement à chaque défaut de conformité.

Sources officielles

Dernière vérification juridique : 2 septembre 2026.

Avertissement

Cette publication est fournie à titre informatif et ne constitue pas un conseil juridique, fiscal, comptable ou financier individualisé. La situation doit être appréciée au regard des circonstances concrètes et du droit applicable au moment de la décision.

Pour plus d’informations, consultez nos Mentions légales et avertissement.