Quand la loi révisée sur la protection des données est entrée en vigueur le 1er septembre 2023 sans période transitoire, l'inquiétude était grande et la préparation très inégale. Trois ans plus tard, un bilan honnête est possible: les obligations de base sont arrivées dans la plupart des entreprises. Déclarations de protection des données revues, registres des traitements créés, responsabilités désignées.
La qualité de la mise en œuvre ne suit toutefois pas toujours la conformité formelle. Le schéma typique de notre pratique: le registre des traitements a été créé une fois en 2023 et plus jamais touché. Nouveaux outils, nouveaux processus, nouveaux prestataires: rien n'est recensé. La vue d'ensemble que la loi exige manque exactement là où elle compte.
Deuxième sujet récurrent: la sous-traitance. Qui fait traiter des données personnelles par des tiers a besoin des garanties contractuelles de l'art. 9 LPD. En pratique, ces contrats manquent étonnamment souvent, ou datent d'une époque où le prestataire fournissait de tout autres services. Cela devient critique avec les services cloud et IA traitant des données hors de Suisse: sans base propre pour la communication à l'étranger selon les art. 16 ss LPD, toute la chaîne repose sur un fondement fragile.
Troisièmement: l'annonce des violations de la sécurité des données. La loi exige l'annonce au PFPDT dans les meilleurs délais lorsqu'un risque élevé menace les personnes concernées. Nous voyons les deux extrêmes: des violations jamais remontées en interne, et des annonces arrivant avec des semaines de retard parce que personne ne savait qui décide. Un processus d'annonce testé avec des responsabilités claires n'est pas un luxe, c'est l'équipement de base.
Le sujet pratique de 2026 est le lien entre protection des données et intelligence artificielle. Qui introduit des données personnelles dans des outils d'IA les traite au sens de la LPD, avec toutes les conséquences: transparence, finalité, sous-traitance, communication à l'étranger, le cas échéant analyse d'impact. Pour les entreprises liées à l'UE s'ajoutent les obligations du règlement IA applicables depuis août 2026. La bonne nouvelle: qui met en ordre son socle LPD a déjà fait la moitié du travail IA.
Notre recommandation pour l'automne 2026: un check de santé des données compact. Actualiser le registre, passer en revue les contrats des prestataires, dérouler une fois le processus d'annonce. Trois jours d'effort qui épargnent des semaines le moment venu.
