« DSG » est un acronyme ayant deux significations populaires dans l'espace germanophone : Datenschutzgesetz (Loi sur la protection des données, LPD) et Direktschaltgetriebe (boîte de vitesses à double embrayage). Quiconque recherche dans un contexte juridique ou de conformité entend pratiquement toujours le premier sens. Cet article clarifie la signification juridique en 90 secondes, puis apporte la profondeur réellement utile en pratique. Ce que vous retiendrez :

• la réponse courte : LPD = Loi fédérale sur la protection des données (Suisse, RS 235.1) ;
• la désambiguïsation par rapport à « DSG » comme technologie de boîte de vitesses Volkswagen ;
• la différence entre aLPD, LPD rév. et « nLPD » – et pourquoi ces termes apparaissent encore dans des textes plus anciens ;
• les principales obligations que la LPD impose aux entreprises suisses depuis le 1er septembre 2023 ;
• la délimitation par rapport au RGPD de l'UE et au BDSG allemand.

L'article s'adresse aux directions et aux responsables de la conformité qui rencontrent ce terme pour la première fois dans un audit, une demande de client ou un texte contractuel – ainsi qu'aux collaborateurs ayant besoin d'une réponse rapide mais précise.

LPD désigne dans le contexte juridique la Loi fédérale sur la protection des données de la Suisse. Elle réglemente le traitement de données personnelles par des personnes privées et des organes fédéraux. La version actuelle porte le numéro de la Recueil systématique RS 235.1 et est entrée intégralement en vigueur le 1er septembre 2023. En pratique, on parle – selon la génération – de :

• aLPD – « ancienne LPD » de 1992, en vigueur jusqu'au 31 août 2023 ;
• LPD rév. – « LPD révisée », dénomination courante dans la procédure législative ;
• « nLPD » – « nouvelle LPD », désignation transitoire de la période de révision, devenue superflue aujourd'hui ;
• officiellement, on dit simplement « LPD » – les préfixes a/rév/n ne sont que des désignations auxiliaires.

La LPD est complétée par l'Ordonnance sur la protection des données (OPDo, RS 235.11), qui règle les détails réglementaires (p. ex. registre selon l'art. 24 OPDo, mesures techniques et organisationnelles selon les art. 1-6 OPDo, reconnaissance de pays tiers selon l'art. 8 OPDo).

« DSG » est également très répandu comme abréviation de marque Volkswagen pour le Direktschaltgetriebe (boîte de vitesses à double embrayage, DSG). Quiconque accède à une recherche sur le droit ou la conformité ne vise pas ce sens – voir section suivante.

La double signification est pertinente dans les comportements de recherche. Qui saisit « acheter DSG » cherche une voiture. Qui saisit « respecter LPD », « LPD Suisse », « obligation LPD », « droit d'accès LPD » cherche la Loi sur la protection des données. Désambiguïsateurs pratiques :

• Mot contextuel « Suisse », « loi fédérale », « protection des données » → Loi sur la protection des données ;
• Mot contextuel « VW », « Audi », « double embrayage », « boîte de vitesses » → boîte de vitesses à double embrayage ;
• « art. X LPD », « nLPD », « LPD rév. » → Loi sur la protection des données (il n'y a pas d'« articles » dans une boîte de vitesses) ;
• « DSG7 », « DSG6 », « S-tronic » → variantes de boîte de vitesses à double embrayage VW/Audi.

Cet article traite exclusivement de la signification juridique. Quiconque recherche des informations techniques sur les boîtes de vitesses à double embrayage VW trouvera mieux auprès d'un constructeur automobile ou d'un atelier technique. Tout ce qui suit désigne la Loi sur la protection des données.

La LPD réglemente le traitement des données personnelles en cinq chapitres principaux :

1. Dispositions générales (art. 1-11 LPD) : but, champ d'application, définitions, principes du traitement, sécurité des données, conseiller à la protection des données, analyse d'impact, registre.
2. Obligations du responsable du traitement et du sous-traitant (art. 12-18 LPD) : registre, sous-traitance, communication à l'étranger, représentant pour les responsables à l'étranger, sécurité des données, mesures techniques et organisationnelles.
3. Obligations envers les personnes concernées (art. 19-24 LPD) : information lors de la collecte, décisions automatisées, obligation de notification en cas de violation des données.
4. Droits de la personne concernée (art. 25-32 LPD) : droit d'accès, portabilité des données, rectification, effacement, autres droits de protection de la personnalité.
5. PFPDT, dispositions pénales, dispositions finales (art. 33-74 LPD) : tâches et compétences du PFPDT, sanctions pénales, droit transitoire.

La loi est complétée par l'Ordonnance sur la protection des données (OPDo) et, pour les autorités fédérales, par des dispositions sectorielles spécifiques. Les principales aides à l'interprétation sont fournies par le Préposé fédéral à la protection des données et à la transparence (PFPDT) dans ses rapports d'activité et recommandations sur edoeb.admin.ch.

Pour les PME suisses et les entreprises étrangères ayant un lien avec la Suisse, la LPD génère sept obligations opérationnelles fondamentales :

• Respecter les principes du traitement (art. 6 LPD) : bonne foi, proportionnalité, finalité, exactitude des données ;
• Garantir la sécurité des données (art. 8 LPD) avec des mesures techniques et organisationnelles adéquates ;
• Réglementer la sous-traitance (art. 9 LPD) par une convention écrite (contrat de sous-traitance) ;
• Tenir un registre des activités de traitement (art. 12 LPD, exception selon l'art. 24 OPDo pour les PME avec moins de 250 collaborateurs sans risque élevé) ;
• Remplir l'obligation d'information (art. 19 LPD) envers les personnes concernées lors de la collecte ;
• Réaliser une analyse d'impact relative à la protection des données (art. 22 LPD) en cas de risque élevé ;
• Notifier les violations de données (art. 24 LPD) au PFPDT le plus rapidement possible si un risque élevé existe pour la personne concernée.

S'y ajoutent les droits des personnes concernées, pouvant être exercés à tout moment : droit d'accès selon l'art. 25 LPD (délai de 30 jours), portabilité des données selon l'art. 28 LPD, rectification et effacement selon l'art. 32 LPD.

Les entreprises suisses ayant un lien avec l'UE sont parallèlement soumises au Règlement général sur la protection des données de l'UE (RGPD/GDPR). Celui-ci est en vigueur depuis le 25 mai 2018 et s'applique à (a) les responsables du traitement et sous-traitants établis dans l'UE/EEE ou (b) les prestataires qui offrent des biens ou services à des personnes de l'UE ou observent leur comportement (art. 3 RGPD, principe du marché de destination).

Le BDSG allemand (Bundesdatenschutzgesetz) est la transposition nationale du RGPD pour l'Allemagne, avec des règles spéciales notamment pour la protection des données des salariés (§ 26 BDSG) et la vidéosurveillance (§ 4 BDSG). Il complète le RGPD sans le remplacer.

Sur le fond, la LPD, le RGPD et le BDSG convergent dans les grandes lignes (principes du traitement, droits des personnes concernées, sous-traitance, transferts vers des pays tiers). Il subsiste toutefois 12 différences essentielles entre la LPD et le RGPD – nous les avons décrites dans un article dédié : LPD vs RGPD – Les 12 différences les plus importantes. Quiconque doit satisfaire aux deux régimes construit au mieux l'architecture de conformité selon le plus petit commun multiple le plus élevé.

Dans les entretiens de conseil, les mêmes erreurs reviennent régulièrement :

• « La LPD ne s'applique qu'aux systèmes informatiques. » Faux. Elle s'applique à tout traitement de données personnelles – que ce soit dans une liste Excel, un classeur papier, un CRM ou une application cloud.
• « La LPD ne s'applique pas aux données B2B. » Partiellement faux. Les contacts B2B (p. ex. le nom et l'adresse e-mail professionnelle d'un collaborateur d'un fournisseur) sont des données personnelles et relèvent de la LPD.
• « Nous avons moins de 250 collaborateurs – la LPD ne nous concerne pas. » Faux. L'exception PME selon l'art. 24 OPDo ne dispense que du registre, pas de toutes les autres obligations.
• « Si nous respectons le RGPD, nous sommes automatiquement conformes à la LPD. » Largement exact, mais incomplet. Certaines obligations spécifiques à la LPD (p. ex. voies de notification au PFPDT suisse, responsabilité pénale personnelle, obligations d'information spécifiques selon l'art. 19 LPD) doivent être complétées.
• « En cas de violation de données, nous avons 72 heures. » Inexact. L'art. 24 LPD exige une notification « le plus rapidement possible » – la pratique du PFPDT accepte la convention des 72 heures, mais seulement si l'on agit sans délai.
• « Il n'y a pas d'amendes dans la LPD. » Faux. Les art. 60-66 LPD prévoient des amendes pénales à l'encontre des personnes physiques (membres responsables de la direction) pouvant atteindre CHF 250 000 – pas un modèle d'amende administrative comme dans le RGPD, mais avec des conséquences personnelles.

SIDD, en tant qu'Institut pour la protection et la sécurité des données, est spécialisé dans l'interprétation et la mise en œuvre de la LPD. Nous assumons le rôle de conseiller à la protection des données (CPD) selon l'art. 10 LPD pour les PME, les hôpitaux, les communes, les prestataires de services financiers et les entreprises étrangères ayant un lien avec la Suisse.

Mandats typiques : état des lieux LPD avec cahier des charges ; mise en place du ROPA selon l'art. 12 LPD / art. 30 RGPD ; déclaration de protection des données selon l'art. 19 LPD / art. 13-14 RGPD ; standardisation des contrats de sous-traitance selon l'art. 9 LPD ; stratégie pays tiers selon les art. 16-18 LPD incluant CCT suisses et Transfer Impact Assessment ; ateliers de protection des données pour la direction et les collaborateurs ; pour les traitements duaux CH/UE, en complément mandat DPO RGPD et Représentant UE selon l'art. 27 RGPD.

Vous souhaitez savoir quelles obligations LPD s'appliquent concrètement à votre organisation ? Demandez une offre sans engagement ou contactez-nous via le formulaire de contact. En 30 minutes d'entretien initial, nous cernerons vos besoins et vous proposerons la prochaine étape.