La nouvelle LPD (nLPD), entrée en vigueur le 1er septembre 2023, a rapproché la Suisse du RGPD européen : vous pouvez exiger l'accès à vos données, leur rectification et, dans certaines conditions, leur effacement. Mais la loi suisse a ses propres particularités, et ce qui compte n'est pas ce que dit le texte, c'est ce que vous arrivez réellement à obtenir. Voici comment procéder.
Ce que la nLPD vous permet de demander
Depuis le 1er septembre 2023, la Suisse dispose d'une loi révisée sur la protection des données, la nLPD (aussi appelée LPD révisée ou revDSG en allemand). Elle s'applique à toute entreprise qui traite des données personnelles en Suisse, y compris les entreprises étrangères dès lors que l'effet de leur traitement se produit en Suisse.
Vous disposez de trois droits principaux : l'accès, c'est-à-dire savoir si un responsable détient des données sur vous et obtenir une copie des données traitées ; la rectification des données inexactes ; et l'effacement ou la destruction des données lorsque leur traitement n'est pas conforme à la loi. Un quatrième droit, celui de vous opposer à un traitement, revêt une importance pratique considérable pour les cas de réputation.
La différence avec le RGPD qu'il faut connaître
La nLPD ressemble au RGPD mais n'est pas le RGPD. Trois points de divergence changent concrètement la façon de procéder en Suisse.
Autre point : il n'existe pas en Suisse d'équivalent pleinement contraignant du droit à la désindexation reconnu par la CJUE. La voie suisse passe davantage par le droit civil (protection de la personnalité, article 28 CC) que par la loi sur les données elle-même.
- Pas de base légale unique : en Suisse, le traitement est licite s'il existe une justification (consentement, intérêt prépondérant, obligation légale...) — mais la logique n'est pas celle de l'article 6 du RGPD, et l'argumentaire doit être adapté.
- Délais plus courts : le responsable doit vous répondre dans les 30 jours, contre un mois extensible à trois dans le RGPD. En pratique, cela veut dire que le silence au-delà de 30 jours est déjà un problème.
- Frais possibles : contrairement au RGPD où l'accès est en principe gratuit, la nLPD permet au responsable de facturer des frais d'accès — c'est une différence qui surprend les personnes habituées au cadre européen, et il faut savoir la contester quand elle est excessive.
Comment présenter la demande
Adressez votre demande par écrit au responsable du traitement — l'entreprise elle-même, pas un intermédiaire. Précisez que vous exercez votre droit d'accès au sens de la nLPD, demandez une copie des données vous concernant, et si vous visez un effacement, dites-le dans le même courrier en expliquant pourquoi le traitement ne vous paraît pas conforme.
Soyez précis sur les données visées et sur la période. Une demande générale reçoit souvent une réponse générale. Conservez la preuve d'envoi et la date : le délai de 30 jours court à partir de la réception, et c'est cette date qui vous servira si vous devez saisir le Préposé.
Le recours au Préposé fédéral (PFPDT)
Si le responsable refuse, tarde ou répond de manière incomplète, vous pouvez vous adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT). Il est important de comprendre son rôle réel : le Préposé n'est pas un tribunal. Il intervient comme médiateur, conseille les parties et peut ouvrir une enquête, mais il ne rend pas de décision contraignante à votre profit.
Vous pouvez également saisir la justice civile. C'est la voie qui permet réellement d'obtenir quelque chose, sur la base de la protection de la personnalité (articles 28 et suivants du Code civil). Pour un contenu publié qui porte atteinte à votre réputation, c'est souvent plus direct que la loi sur les données elle-même.
Ce que la loi suisse ne règle pas
Comme partout, la plus grande partie de votre exposition numérique ne relève pas de l'entreprise avec laquelle vous avez une relation. Elle est ailleurs : archives de presse régionale, registres publics et feuilles officielles des cantons, anciens documents PDF indexés, annuaires professionnels et agrégateurs de données.
Contre cela, la nLPD ne donne pas de prise directe. Il faut soit demander la désindexation au moteur de recherche sur la base de la protection de la personnalité, soit obtenir la suppression à la source — deux démarches distinctes, avec des critères distincts, et c'est précisément là que la plupart des gens se découragent.
Le passage qui doit précéder vos démarches
Toute demande d'effacement ou de désindexation suppose la même chose : une liste exacte de ce qui existe et où. Vous ne pouvez pas demander l'effacement d'un document introuvable, ni faire désindexer une URL que vous n'avez pas identifiée, ni démontrer un préjudice sans savoir quelles pages portent l'atteinte.
C'est pour cette raison que nous commençons par la localisation avant d'écrire la moindre mise en demeure. Notre audit recense les mentions dans la presse, les feuilles officielles, les registres cantonaux, les PDF oubliés et les annuaires, puis classe chaque résultat selon la voie qui s'applique réellement : effacement, désindexation ou suppression à la source. Vous recevez la carte avant d'investir des semaines dans des démarches qui n'aboutiraient pas.