RGPD et nLPD : Ce que les prescripteurs de CRM doivent considérer en 2026

En bref

• La nLPD (nouvelle Loi fédérale sur la protection des données révisée) est en vigueur depuis le 01.09.2023
• Le standard de protection du RGPD a été largement repris, mais avec des règles suisses autonomes
• Les prescripteurs de CRM ne sont pas directement responsables de la conformité du fournisseur, mais sont engagés en cas de conseil erroné
• Le lieu d'hébergement détermine les exigences de protection des données : hébergement en Suisse, dans l'UE (par exemple en Allemagne) ou aux États-Unis
• Le contrat de traitement (AVV/DPA) fait partie obligatoire de toute recommandation CRM

Ce qui a changé depuis le 01.09.2023

La loi suisse révisée sur la protection des données (nLPD, souvent aussi appelée revDSG) remplace depuis le 1er septembre 2023 la loi sur la protection des données de 1993. Les nouveautés essentielles :

• Obligations d'information étendues lors de la collecte de données personnelles (art. 19)
• Évaluation d'impact sur la protection des données en cas de risque élevé (art. 22)
• Obligation de notification des violations de données à l'EDÖB (art. 24)
• Privacy by Design / by Default (art. 7)
• Amendes accrues jusqu'à CHF 250 000 pour les personnes physiques (art. 60)
• Obligation de tenir un registre des traitements pour les entreprises ≥ 250 employés ou en cas de données sensibles

La nLPD se rapproche du RGPD de l'UE, mais n'est pas identique — elle reste une loi suisse autonome.

RGPD vs. nLPD — les principales différences

| Aspect | RGPD (UE) | nLPD (CH) | |--------|-----------|-----------| | Champ d'application | Citoyens de l'UE dans le monde | Données personnelles traitées en Suisse | | Amendes | Jusqu'à EUR 20 Mio. ou 4 % du chiffre d'affaires | Jusqu'à CHF 250 000 (personne) | | Délégué à la protection des données | Obligatoire au-delà de certains seuils | Recommandé, pas obligatoire | | Droit à la portabilité des données | Oui (art. 20) | Oui (art. 28) | | Droit à l'effacement | Oui (art. 17) | Indirectement via le droit de rectification | | Contrat de traitement | Obligatoire (art. 28) | Obligatoire (art. 9) |

Si vous conseillez des mandants suisses dont les données ne transitent pas vers l'UE, vous pouvez vous concentrer principalement sur la nLPD. En présence d'éléments liés à l'UE (p. ex. employés ou clients dans l'UE), le RGPD s'applique en complément.

Résidence des données — le point critique

En 2026, la résidence des données est le critère central de conformité pour les recommandations CRM. Trois scénarios :

Scénario 1 : Hébergement en Suisse

• Les données restent en Suisse
• Pas de transfert international de données
• nLPD respectée nativement
• Pas de DPA pour transfert de données nécessaire (seulement AVV selon l'art. 9 nLPD)
• Recommandation possible sans réserve de conformité

Scénario 2 : Hébergement dans l'UE (p. ex. TecArt en Allemagne, Pipedrive Francfort, HubSpot région UE)

• Les données sont traitées dans l'UE
• Le RGPD s'applique directement
• Du point de vue suisse : transfert de données vers un État tiers (UE = niveau de protection adéquat reconnu)
• Clauses contractuelles types (SCC) recommandées, mais pas toujours obligatoires
• DPA avec le fournisseur obligatoire

Scénario 3 : Hébergement aux États-Unis (p. ex. Salesforce US, HubSpot configuration par défaut)

• Les données sont traitées aux États-Unis
• Les États-Unis = pas de niveau de protection reconnu comme adéquat du point de vue suisse (position du Préposé fédéral à la protection des données)
• Le transfert n'est autorisé qu'avec des garanties supplémentaires :
  • Switzerland–US Data Privacy Framework (DPF)
  • Clauses contractuelles types (SCC)
  • Règles d'entreprise contraignantes (BCR)
• DPA + Transfer Impact Assessment recommandés
• Risque de conformité le plus élevé pour les données sensibles

Contrat de traitement (AVV/DPA)

Toute mise en œuvre de CRM nécessite un contrat de traitement entre le mandant (responsable du traitement) et le fournisseur CRM (sous-traitant). Contenu obligatoire selon l'art. 9 de la nLPD :

1. Objet et durée du traitement
2. Nature et finalité du traitement des données
3. Catégories de personnes concernées et types de données
4. Obligations et droits du responsable
5. Mesures de sécurité du sous-traitant
6. Sous‑sous‑traitants (hébergement, sauvegarde, monitoring)
7. Droits d'accès et de rectification
8. Fin du contrat et restitution / suppression des données

Des fournisseurs CRM suisses comme TecArt fournissent des modèles d'AVV standard. Pour les fournisseurs américains, la conformité au RGPD/nLPD doit être vérifiée au cas par cas.

Responsabilité du conseiller

Un fiduciaire ou un consultant IT qui recommande un logiciel CRM n'est pas directement responsable de la conformité au droit des données — celle-ci incombe au fournisseur et au mandant.

Cependant : un conseil erroné peut engager la responsabilité. Si vous recommandez un CRM à un mandant sans l'informer des risques connus en matière de protection des données, cela peut constituer une violation du devoir de diligence (Code des obligations (CO) 398).

Conseil pratique : une recommandation écrite devrait inclure les éléments suivants :

• Résidence des données du fournisseur
• Existence d'un modèle d'AVV/DPA
• Risques de conformité connus (p. ex. hébergement US pour des données sensibles)
• Recommandation d'une évaluation d'impact lorsque des types de données à risque sont concernés

Checklist : recommandation CRM conforme à la protection des données

Pour chaque recommandation CRM, clarifiez les points suivants avec le mandant :

• [ ] Types de données identifiés (coordonnées, solvabilité, informations médicales ?)
• [ ] Types de données sensibles marqués séparément (nLPD art. 5 let. c)
• [ ] Résidence des données du fournisseur clarifiée (CH/EU/US ?)
• [ ] AVV/DPA disponible et signé ?
• [ ] Sous-traitants documentés ?
• [ ] Évaluation d'impact sur la protection des données réalisée en cas de risque élevé ?
• [ ] Registre des traitements complété ?
• [ ] Formation des collaborateurs à l'utilisation du CRM prévue ?
• [ ] Stratégie d'effacement pour les données non nécessaires définie ?
• [ ] Mécanisme d'audit établi (vérification annuelle) ?

Quand une évaluation d'impact est nécessaire

Une évaluation d'impact sur la protection des données (DSFA) est obligatoire selon l'art. 22 de la nLPD lorsque le traitement "peut présenter un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée".

Déclencheurs typiques :

• Traitement à grande échelle de types de données sensibles
• Profilage ayant des conséquences juridiques ou comparables
• Surveillance systématique d'espaces publics
• Nouvelles technologies au risque incertain

Pour une implémentation CRM "standard" traitant des contacts et des données commerciales, une DSFA n'est généralement pas obligatoire, mais recommandée.

Conclusion : priorité à la résidence des données

Pour les mandants suisses, la stratégie de conformité la plus simple consiste à vérifier le lieu d'hébergement et le DPA/AVV avant toute recommandation. L'hébergement en Suisse évite les complexités des transferts internationaux. Pour TecArt, hébergé en Allemagne (UE), le transfert vers l'UE doit être documenté.

Pour les recommandations concernant des fournisseurs américains (Salesforce, HubSpot), la charge de conformité est plus élevée et doit être documentée explicitement dans le conseil.

Remarque importante : le droit de la protection des données est complexe et évolue régulièrement. Cet article fournit une information générale, ce n'est pas un conseil juridique. En cas de configurations critiques, consultez un cabinet d'avocats spécialisé ou l'EDÖB.

Sources

• nLPD — Loi fédérale sur la protection des données
• Préposé fédéral à la protection des données (EDÖB)
• RGPD (UE) 2016/679
• Switzerland–US Data Privacy Framework (DPF) — Situation 2026