Toute entreprise suisse qui traite des données personnelles finit par se poser la question : devons-nous réaliser une analyse d'impact relative à la protection des données ? Sous la nouvelle Loi fédérale sur la protection des données (nLPD), la réponse dépend du niveau de risque que vos activités de traitement font peser sur les personnes concernées. Ce guide vous accompagne à travers les exigences légales, la méthodologie pratique et les erreurs courantes — pour aborder l'AIPD avec assurance plutôt qu'avec appréhension.
Qu'est-ce qu'une analyse d'impact relative à la protection des données ?
Une analyse d'impact relative à la protection des données — connue en allemand sous le nom de Datenschutz-Folgenabschätzung (DSFA) et en anglais sous le nom de Data Protection Impact Assessment (DPIA) — est un processus structuré par lequel une organisation identifie, évalue et atténue les risques qu'un traitement envisagé fait peser sur la protection des données avant de le mettre en œuvre.
L'obligation est inscrite à l'article 22 de la nouvelle Loi fédérale sur la protection des données (nLPD, fedlex.admin.ch). En substance, la loi vous impose de réfléchir avant de traiter — et non après qu'un incident vous y contraigne.
L'AIPD n'est pas un exercice ponctuel de conformité. C'est un document vivant qui doit être révisé chaque fois que l'activité de traitement évolue de manière significative : nouvelles catégories de données, nouvelles technologies, nouveaux destinataires ou modification du périmètre.
Quand l'AIPD est-elle obligatoire ?
L'art. 22 al. 1 nLPD dispose qu'une AIPD doit être effectuée lorsqu'un traitement envisagé est susceptible d'engendrer un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. La loi ne fournit pas de liste exhaustive de déclencheurs, mais les indicateurs suivants sont bien établis dans la pratique suisse et dans les orientations du PFPDT :
Indicateurs de risque élevé
- Profilage systématique et extensif — L'art. 21 nLPD traite spécifiquement du profilage à risque élevé, c'est-à-dire le profilage qui permet d'apprécier des aspects essentiels de la personnalité d'une personne. Si votre traitement implique un profilage atteignant ce seuil, une AIPD est requise.
- Traitement à grande échelle de données sensibles — données de santé, données biométriques servant à l'identification, données sur les opinions politiques ou religieuses, données relatives aux poursuites ou sanctions pénales. Le caractère « grande échelle » s'apprécie en fonction du nombre de personnes concernées, du volume de données, de l'étendue géographique et de la durée du traitement.
- Surveillance systématique de zones accessibles au public — vidéosurveillance d'espaces publics, suivi WiFi en environnement commercial, ou toute technologie qui surveille les déplacements et le comportement de personnes dans des zones accessibles.
- Recours à de nouvelles technologies — intelligence artificielle, modèles d'apprentissage automatique, systèmes de décision automatisée, reconnaissance faciale ou autres technologies dont l'impact sur les personnes concernées n'est pas encore pleinement compris.
- Décision individuelle automatisée — traitement produisant des effets juridiques ou affectant de manière significative une personne sans intervention humaine significative.
- Croisement ou combinaison de jeux de données à grande échelle — fusion de données provenant de sources multiples d'une manière qui dépasse les attentes raisonnables des personnes concernées.
- Traitement concernant des personnes vulnérables — employés (déséquilibre de pouvoir), enfants, patients ou autres groupes dont la capacité à consentir ou à s'opposer librement est limitée.
L'approche cumulative
La pratique suisse suit généralement une approche cumulative : plus les indicateurs sont nombreux, plus l'AIPD est nécessaire. Un seul indicateur peut suffire si le risque est sévère (par exemple, un traitement biométrique à grande échelle). Deux indicateurs ou plus réunis déclenchent presque toujours l'obligation.
Exemption pour les traitements prescrits par la loi
L'art. 22 al. 2 nLPD prévoit une exemption : aucune AIPD n'est requise si le traitement est prescrit par la loi et que cette loi réglemente déjà le traitement de manière suffisamment détaillée. Cette exemption est étroite — le simple fait de disposer d'une base légale ne vous en dispense pas automatiquement.
Méthodologie de l'AIPD étape par étape
Bien que la nLPD ne prescrive pas de méthodologie spécifique, l'approche suivante est conforme à la pratique suisse et aux recommandations des principaux référentiels en matière de protection des données. Vous pouvez l'adapter à la taille et à la complexité de votre organisation.
Étape 1 — Décrire l'activité de traitement
Commencez par une description claire et exhaustive de ce que vous envisagez de faire :
- Quelles données personnelles allez-vous collecter ? Listez chaque catégorie, y compris les données qui peuvent sembler anodines (identifiants d'appareils, adresses IP, horodatages).
- Auprès de qui allez-vous les collecter ? Clients, employés, visiteurs du site web, courtiers en données tiers ?
- Dans quel but ? Soyez précis. « Marketing » n'est pas une finalité — « recommandations de produits personnalisées basées sur l'historique d'achat » en est une.
- Comment allez-vous les traiter ? Examen manuel, décision automatisée, scoring algorithmique, inférence par IA ?
- Qui y aura accès ? Équipes internes, sous-traitants, organisations partenaires, autorités ?
- Où les données seront-elles stockées et transférées ? Serveurs nationaux, fournisseurs cloud, transferts transfrontaliers ?
- Combien de temps les conserverez-vous ?
Cette description est le fondement de l'ensemble de l'AIPD. Si elle est incomplète, chaque étape suivante sera biaisée.
Étape 2 — Évaluer la nécessité et la proportionnalité
Avant d'évaluer les risques, examinez si le traitement est nécessaire et proportionné à la finalité déclarée :
- Existe-t-il un moyen moins intrusif d'atteindre le même objectif ? Si vous pouvez accomplir votre objectif commercial avec moins de données, moins de destinataires ou une durée de conservation plus courte, vous devriez le faire.
- La finalité est-elle légitime et spécifique ? Des finalités vagues comme « amélioration de l'entreprise » sont insuffisantes au regard de la nLPD.
- Le principe de minimisation des données est-il respecté ? Vous ne devriez traiter que les données réellement nécessaires à la finalité déclarée.
- Avez-vous établi une base juridique valable ? Consentement, intérêt privé prépondérant, obligation légale ou exécution d'un contrat — laquelle s'applique et est-elle solide ?
C'est à cette étape que de nombreuses organisations découvrent qu'elles peuvent reconcevoir l'activité de traitement pour réduire le risque avant même d'atteindre la phase d'évaluation des risques.
Étape 3 — Identifier et évaluer les risques
Pour chaque aspect de l'activité de traitement, identifiez les risques potentiels pour les personnes concernées. Les risques se répartissent en plusieurs catégories :
Risques de confidentialité — accès non autorisé, violation de données, divulgation accidentelle à de mauvais destinataires.
Risques d'intégrité — corruption des données, profilage inexact, décisions fondées sur des données incorrectes.
Risques de disponibilité — perte de données, incapacité de répondre aux demandes d'accès, pannes de systèmes affectant des services essentiels.
Risques d'impact élargi — discrimination, atteinte à la réputation des personnes, perte financière, perte d'emploi, stigmatisation sociale, effets dissuasifs sur les droits fondamentaux.
Pour chaque risque identifié, évaluez :
- La probabilité — quelle est la probabilité que ce risque se concrétise ? Tenez compte de vos mesures de sécurité existantes, du paysage des menaces et des incidents passés.
- La gravité — si le risque se concrétise, quelle est la gravité de l'impact sur les personnes concernées ? Une violation de données de santé est bien plus grave qu'une violation de données d'abonnement à une newsletter.
Combinez probabilité et gravité en une évaluation globale du risque. Une matrice simple (faible/moyen/élevé pour chaque dimension) suffit dans la plupart des scénarios de PME.
Étape 4 — Définir les mesures d'atténuation
Pour chaque risque classé moyen ou élevé, définissez des mesures d'atténuation concrètes. Celles-ci doivent être à la fois techniques et organisationnelles :
Mesures techniques :
- Chiffrement au repos et en transit
- Pseudonymisation ou anonymisation lorsque c'est possible
- Contrôles d'accès et permissions basées sur les rôles
- Journalisation et surveillance automatisées
- Outils de prévention des pertes de données
- Tests de sécurité et analyses de vulnérabilités réguliers
Mesures organisationnelles :
- Formation à la protection des données pour tout le personnel impliqué dans le traitement
- Contrats de sous-traitance clairs avec tous les sous-traitants
- Procédures de réponse aux incidents
- Audits et revues réguliers
- Désignation d'un conseiller à la protection des données (art. 10 nLPD)
- Calendriers de conservation des données avec suppression automatisée
Après avoir défini les mesures d'atténuation, réévaluez le risque résiduel. Si le risque résiduel demeure élevé, vous devrez peut-être consulter le PFPDT (voir ci-dessous) ou reconsidérer entièrement l'activité de traitement.
Étape 5 — Documenter et approuver
Documentez l'ensemble de l'AIPD dans un format structuré. Votre documentation doit inclure :
- La description de l'activité de traitement
- L'évaluation de la nécessité et de la proportionnalité
- L'évaluation des risques avec les niveaux de probabilité et de gravité
- Les mesures d'atténuation et leur effet attendu
- L'évaluation du risque résiduel
- La décision : poursuivre, modifier ou abandonner le traitement
- Le nom et la fonction de la personne qui a approuvé l'AIPD
- La date de l'évaluation et la date de révision prévue
Cette documentation n'est pas soumise automatiquement au PFPDT — mais elle doit être disponible sur demande et constitue une preuve de vos efforts de conformité.
Le profilage à risque élevé selon l'art. 21 nLPD
L'art. 21 nLPD introduit un concept qui n'existe pas dans le RGPD : le profilage à risque élevé (Profiling mit hohem Risiko / high-risk profiling). Il s'agit du profilage qui permet d'apprécier des aspects essentiels de la personnalité d'une personne — par exemple, la combinaison de points de données pour évaluer son état de santé, sa situation économique, sa fiabilité ou ses comportements.
Le profilage à risque élevé nécessite soit le consentement exprès de la personne concernée, soit une justification par la loi ou un intérêt privé prépondérant. C'est également l'un des déclencheurs les plus clairs d'une AIPD obligatoire.
Exemples courants dans le contexte d'une PME :
- Scoring de crédit de clients basé sur de multiples sources de données
- Analytique de performance des employés combinant données de productivité, habitudes de communication et registres de présence
- Moteurs de segmentation client qui infèrent des attributs sensibles (intérêt pour la santé, orientation politique, stress financier) à partir du comportement de navigation ou d'achat
- Outils de recrutement basés sur l'IA qui évaluent les candidats sur des traits comportementaux ou de personnalité
Si votre organisation pratique une forme de profilage, réalisez une analyse de seuil pour déterminer si celui-ci atteint le niveau « risque élevé » — et documentez votre conclusion dans les deux cas.
Le rôle du conseiller à la protection des données (art. 10 nLPD)
L'art. 10 nLPD permet aux organisations de désigner un conseiller à la protection des données (Datenschutzberaterin / data protection adviser) à titre volontaire. Contrairement au délégué à la protection des données obligatoire du RGPD pour certaines organisations, la nLPD rend ce rôle entièrement facultatif — mais y attache un avantage procédural significatif.
Si vous avez désigné un conseiller à la protection des données qui remplit les exigences d'indépendance et de compétence de l'art. 10 nLPD, et si vous consultez ce conseiller dans le cadre du processus d'AIPD, vous êtes dispensé de l'obligation de consulter le PFPDT au sens de l'art. 23 nLPD — même si le risque résiduel demeure élevé.
C'est un puissant incitatif pour les PME suisses. Désigner un conseiller à la protection des données — interne ou externe — peut considérablement simplifier votre processus d'AIPD et vous éviter les délais et la charge administrative d'une consultation formelle du PFPDT.
Le conseiller doit :
- Être professionnellement qualifié en droit et pratique de la protection des données
- Exercer sa fonction de manière indépendante
- Ne recevoir aucune instruction concernant l'exercice de cette fonction
- Avoir accès à toutes les activités de traitement et informations pertinentes
Différences entre l'AIPD nLPD et l'AIPD RGPD
Les organisations suisses opérant au-delà des frontières — ou comparant leurs pratiques avec des homologues européens — doivent comprendre les différences clés :
| Aspect | nLPD (Suisse) | RGPD (UE/EEE) |
|---|---|---|
| Base légale | Art. 22 nLPD | Art. 35 RGPD |
| Déclencheur | Risque élevé pour la personnalité ou les droits fondamentaux | Risque élevé pour les droits et libertés |
| Consultation obligatoire de l'autorité | Uniquement si le risque résiduel demeure élevé ET aucun conseiller à la protection des données consulté (art. 23 nLPD) | Obligatoire si le risque résiduel demeure élevé (art. 36 RGPD) |
| Exemption via le conseiller | Oui — la désignation et la consultation d'un conseiller art. 10 dispensent de la consultation du PFPDT | Pas d'exemption équivalente |
| Liste des traitements soumis à AIPD obligatoire | Aucune liste obligatoire publiée par le PFPDT | Les autorités de contrôle doivent publier des listes (art. 35(4) RGPD) |
| Sanctions en cas de non-conformité | Pas d'amende directe pour AIPD manquante ; amendes pénales jusqu'à CHF 250 000 pour d'autres violations de la nLPD | Amendes administratives jusqu'à 10 millions EUR ou 2 % du chiffre d'affaires mondial |
| Cible de la sanction | Personne physique responsable | Entité juridique (entreprise) |
La différence la plus significative en pratique est l'exemption via le conseiller. Dans le monde du RGPD, un risque résiduel élevé déclenche toujours une consultation obligatoire de l'autorité de contrôle. Sous la nLPD, vous pouvez l'éviter entièrement en impliquant un conseiller qualifié à la protection des données.
La consultation du PFPDT (art. 23 nLPD)
Si votre AIPD révèle que le traitement envisagé présente encore un risque élevé malgré les mesures d'atténuation mises en œuvre, et que vous n'avez pas consulté un conseiller à la protection des données au sens de l'art. 10 nLPD, vous devez consulter le Préposé fédéral à la protection des données et à la transparence (PFPDT) avant de commencer le traitement.
Que soumettre
L'art. 23 nLPD exige que vous soumettiez l'AIPD au PFPDT. En pratique, cela signifie fournir :
- La documentation complète de l'AIPD (description, évaluation des risques, mesures d'atténuation, risque résiduel)
- Une explication des raisons pour lesquelles le risque résiduel n'a pas pu être réduit davantage
- Le calendrier prévu pour le début du traitement
La réponse du PFPDT
Le PFPDT dispose de deux mois pour répondre (prolongeables d'un mois pour les cas complexes). Le PFPDT peut :
- Ne formuler aucune objection — vous pouvez procéder
- Proposer des modifications au traitement ou des garanties supplémentaires
- Recommander l'abandon ou la refonte fondamentale du traitement
Point important : la réponse du PFPDT au titre de l'art. 23 est un avis, pas une décision contraignante à ce stade. Cependant, ignorer les recommandations du PFPDT augmente considérablement votre exposition juridique en cas de problème ultérieur.
Traitements courants nécessitant une AIPD
Voici des exemples concrets d'activités de traitement qui requièrent généralement une AIPD pour une PME suisse :
Intelligence artificielle et apprentissage automatique
Si vous déployez des outils d'IA qui traitent des données personnelles — qu'il s'agisse de chatbots pour le service client, d'analyses prédictives, de personnalisation de contenu ou de recommandations automatisées — une AIPD est presque certainement requise. L'opacité des modèles d'IA, le potentiel de biais et la difficulté d'expliquer les décisions automatisées aux personnes concernées contribuent tous au risque élevé.
Surveillance des employés
La surveillance des courriels, de l'utilisation d'Internet, de la localisation ou de la productivité des employés par des outils logiciels crée un scénario à risque élevé en raison du déséquilibre de pouvoir dans les relations de travail. Le droit suisse du travail (art. 328b CO) impose des contraintes supplémentaires. L'AIPD doit évaluer si la surveillance est proportionnée et si des alternatives moins intrusives existent.
Profilage client à grande échelle
Construire des profils clients complets en combinant l'historique d'achat, le comportement de navigation, les données de réseaux sociaux, les données de programmes de fidélité et les données de sources tierces constitue un traitement à risque élevé classique. Plus les points de données combinés sont nombreux et plus le profil résultant est granulaire, plus le risque est élevé.
Traitement de données biométriques
Les lecteurs d'empreintes digitales pour le contrôle d'accès aux bâtiments, la reconnaissance faciale à des fins de sécurité ou la reconnaissance vocale pour l'authentification impliquent tous des données biométriques — une catégorie de données sensibles au sens de l'art. 5 let. c nLPD. Tout traitement biométrique systématique constitue un fort déclencheur d'AIPD.
Traitement de données de santé
Les systèmes RH qui traitent les certificats médicaux des employés, les plateformes d'assurance, les applications de bien-être ou tout système manipulant des données médicales doivent faire l'objet d'une AIPD si le traitement est à grande échelle ou systématique.
Vidéosurveillance
Si votre entreprise exploite des caméras de vidéosurveillance dans des zones accessibles au public, aux employés ou aux clients, une AIPD est requise. Cela inclut non seulement la vidéosurveillance traditionnelle, mais aussi les caméras intelligentes dotées de capacités d'analyse (comptage de personnes, cartographie thermique, analyse comportementale).
Modèle pratique d'AIPD pour les PME
Vous n'avez pas besoin d'un mandat de conseil coûteux pour produire une AIPD valable. Voici une structure de modèle pratique qui couvre toutes les exigences légales :
Section 1 : Vue d'ensemble du traitement
- Nom de l'activité de traitement et numéro de référence
- Identité du responsable du traitement et coordonnées
- Conseiller à la protection des données (le cas échéant) et coordonnées
- Date de l'évaluation et date de révision prévue
Section 2 : Description du traitement
- Catégories de données personnelles traitées
- Catégories de personnes concernées
- Finalités du traitement
- Base juridique du traitement
- Destinataires des données et sous-traitants
- Transferts internationaux de données
- Durées de conservation
- Technologies utilisées
Section 3 : Nécessité et proportionnalité
- Pourquoi ce traitement est nécessaire à la finalité déclarée
- Si des alternatives moins intrusives ont été envisagées
- Mesures de minimisation des données en place
- Comment les personnes concernées sont informées
Section 4 : Évaluation des risques
- Identification des risques (lister chaque risque)
- Évaluation de la probabilité (faible/moyen/élevé) pour chaque risque
- Évaluation de la gravité (faible/moyen/élevé) pour chaque risque
- Niveau de risque global pour chaque risque
Section 5 : Mesures d'atténuation
- Mesures techniques (chiffrement, contrôle d'accès, pseudonymisation, etc.)
- Mesures organisationnelles (formation, politiques, contrats, audits)
- Réduction de risque attendue pour chaque mesure
Section 6 : Risque résiduel
- Niveau de risque résiduel après atténuation
- Décision : poursuivre / modifier / consulter le PFPDT / abandonner
- Justification de la décision
Section 7 : Approbation
- Nom et fonction de l'approbateur
- Date d'approbation
- Calendrier de révision prévu
Avec un outil comme PrivaGuard, vous pouvez gérer l'ensemble de ce processus de manière numérique — de l'identification initiale des risques à la documentation jusqu'aux révisions périodiques — sans jongler entre tableurs et chaînes d'e-mails.
Documentation et conservation des preuves
La nLPD ne précise pas combien de temps vous devez conserver la documentation de l'AIPD, mais la bonne pratique consiste à la conserver pendant toute la durée de l'activité de traitement et pendant une période raisonnable après la cessation du traitement — au minimum la durée de prescription applicable aux actions en matière de protection des données.
Votre documentation d'AIPD doit être :
- Versionnée — suivez les modifications au fil du temps, en particulier lorsque l'activité de traitement est modifiée
- Accessible — le PFPDT peut la demander à tout moment dans le cadre d'une enquête
- Liée à votre registre des traitements — votre AIPD doit faire référence à l'entrée correspondante dans votre registre des activités de traitement (art. 12 nLPD)
- Révisée périodiquement — au minimum annuellement, ou à chaque changement significatif
Que se passe-t-il si vous omettez une AIPD obligatoire ?
La nLPD ne prévoit pas d'amende spécifique pour l'absence d'AIPD. Cela conduit parfois les organisations à sous-estimer l'obligation. Ce serait une erreur. Voici pourquoi :
1. Pouvoirs d'enquête du PFPDT. Le PFPDT peut ouvrir une enquête sur toute activité de traitement. Si l'enquête révèle qu'une AIPD aurait dû être réalisée mais ne l'a pas été, le PFPDT peut prononcer des injonctions de modifier ou de cesser le traitement. Le non-respect d'une injonction du PFPDT constitue une infraction pénale.
2. Responsabilité pénale pour d'autres violations. Bien que l'absence d'AIPD elle-même n'entraîne pas d'amende, l'activité de traitement qu'elle aurait dû évaluer peut violer d'autres dispositions de la nLPD — par exemple, des mesures de sécurité inadéquates (art. 8), le défaut d'information des personnes concernées (art. 19) ou des transferts transfrontaliers illicites (art. 16-17). Ces violations peuvent entraîner des amendes pénales allant jusqu'à CHF 250 000 contre la personne physique responsable.
3. Atteinte à la réputation. En cas de violation de données ou de plainte publique, l'absence d'AIPD est un indicateur clair de négligence qui peut amplifier les dommages réputationnels et miner la confiance des clients, partenaires et régulateurs.
4. Responsabilité civile. Les personnes concernées qui subissent un préjudice du fait d'un traitement illicite peuvent introduire des actions civiles. L'absence d'AIPD affaiblit votre défense et peut être interprétée comme la preuve que l'organisation n'a pas pris les mesures raisonnables pour protéger les données personnelles.
Intégrer les AIPD dans votre programme de conformité
L'AIPD ne doit pas exister de manière isolée. Pour en maximiser la valeur, intégrez-la dans votre programme global de conformité à la protection des données :
- Reliez les AIPD à votre registre des traitements. Chaque activité de traitement de votre registre (art. 12 nLPD) qui présente un risque élevé devrait avoir une AIPD correspondante. Le registre des traitements de PrivaGuard facilite ce recoupement.
- Incluez les AIPD dans la gouvernance de projet. Pour tout nouveau projet, produit ou technologie impliquant des données personnelles, prévoyez un point de contrôle AIPD dans votre plan de projet — idéalement avant l'approvisionnement ou le développement.
- Formez vos équipes. Assurez-vous que les chefs de produit, le personnel IT et les responsables métier comprennent quand une AIPD est nécessaire et à qui s'adresser. Un arbre décisionnel interne simple peut réduire le risque d'oubli.
- Utilisez votre AIPD pour améliorer votre politique de confidentialité. Les risques et mesures documentés dans une AIPD alimentent directement les informations de transparence que vous fournissez aux personnes concernées.
- Planifiez des révisions. Programmez des rappels pour réviser chaque AIPD active au moins une fois par an. Les évolutions technologiques, réglementaires ou contextuelles peuvent modifier significativement le profil de risque.
Conclusion
Les analyses d'impact relatives à la protection des données au titre de l'art. 22 nLPD ne sont pas des obstacles bureaucratiques — ce sont des outils pratiques qui aident les organisations suisses à traiter les données personnelles de manière responsable et défendable. Pour les PME, une AIPD bien exécutée peut prévenir des incidents coûteux, renforcer votre position devant le PFPDT et construire la confiance avec les clients et les employés.
Les principes clés sont simples : identifiez les traitements à risque élevé tôt, évaluez les risques honnêtement, mettez en œuvre des mesures d'atténuation proportionnées, documentez tout et révisez régulièrement. Si le risque résiduel demeure élevé, consultez un conseiller à la protection des données ou engagez-vous auprès du PFPDT avant de procéder.
Avec PrivaGuard, les PME suisses peuvent gérer leurs AIPD aux côtés de leurs registres des traitements, politiques de confidentialité et gestion du consentement — le tout sur une plateforme hébergée en Suisse, conçue spécifiquement pour la conformité nLPD. Lancez votre vérification gratuite de conformité avec PrivaScan pour savoir où en est votre organisation aujourd'hui.