Qwik 
Cet article donne des repères techniques. Ce n’est pas un conseil juridique : pour votre situation, adressez-vous à un juriste.
La nouvelle loi fédérale sur la protection des données (nLPD) est en vigueur depuis le 1er septembre 2023. Elle s’applique à toute entreprise qui traite des données personnelles, quelle que soit sa taille : un fichier de clients, des dossiers de patients, les données des collaborateurs suffisent.
Ce que la loi demande, côté sécurité
Des mesures techniques et organisationnelles appropriées au risque. Le mot important est « appropriées » : on n’attend pas d’un cabinet de trois personnes ce qu’on attend d’une banque. Mais on attend quelque chose, et de pouvoir le montrer.
Le socle technique
- Un compte par personne, jamais de mot de passe partagé, et la double authentification sur la messagerie et les accès à distance
- Des droits d’accès limités : chacun voit ce dont il a besoin
- Le chiffrement des portables et des sauvegardes : un ordinateur volé ne doit pas devenir une fuite
- Des sauvegardes testées, dont une copie hors d’atteinte
- Des mises à jour faites à temps, et un antivirus que quelqu’un surveille
- Une trace des connexions : savoir qui s’est connecté, d’où, quand
- Les départs traités le jour même : comptes fermés, accès partagés changés
- L’effacement des disques avant de donner ou de recycler un appareil
Savoir où sont les données
Messagerie, stockage en ligne, logiciel de gestion, sauvegarde : pour chacun, chez quel prestataire, dans quel pays. C’est une question technique autant que juridique, et beaucoup d’entreprises ne savent pas y répondre. L’inventaire prend une demi-journée.
En cas de violation de la sécurité des données
Si une violation présente un risque élevé pour les personnes concernées, elle doit être annoncée au Préposé fédéral (PFPDT) dans les meilleurs délais. D’où l’intérêt d’avoir décidé à l’avance qui fait quoi : contenir, établir les faits, évaluer le risque avec un juriste, annoncer si nécessaire.
À ne pas confondre : l’obligation d’annoncer une cyberattaque à l’Office fédéral de la cybersécurité (OFCS) dans les 24 heures, en vigueur depuis le 1er avril 2025, ne concerne que les exploitants d’infrastructures critiques. Une PME ordinaire n’y est pas soumise ; elle peut en revanche signaler volontairement un incident à l’OFCS, qui publie aussi des recommandations utiles.
Ce qui relève du juriste, pas de l’informaticien
Le registre des activités de traitement (dont certaines petites entreprises sont dispensées), l’information des personnes, les contrats avec les sous-traitants, l’analyse d’impact quand elle s’impose, les transferts à l’étranger. Nous fournissons les faits techniques ; le juriste les qualifie.
Par où commencer
Par ce qui protège le plus pour le moins d’effort : la double authentification, le chiffrement des portables, et un essai de restauration. Ensuite, un état des lieux écrit, qui sert aussi de preuve que vous vous en êtes occupé.
En résumé : la nLPD ne demande rien d’exotique côté technique : ce sont les bonnes pratiques de sécurité, appliquées et documentées. Voir Sécurité des données & nLPD et l’audit de sécurité.