1. La portée extraterritoriale du RGPD (Art. 3.2 RGPD)

L’erreur la plus répandue au sein des entreprises helvétiques consiste à penser que le droit de l’Union européenne ne concerne pas la Suisse. En vertu du critère de ciblage (Art. 3.2 du RGPD), une entreprise basée à Genève ou Lausanne est soumise directement au RGPD dès lors qu’elle :

• Offre des biens ou des services (même à titre gratuit) à des résidents situés sur le territoire de l’UE (ex. boutique en ligne livrant en France ou en Allemagne, acceptant l’euro).
• Assure le suivi de leur comportement (tracking comportemental, cookies analytiques, profilage publicitaire) sur l’UE.

2. Principales divergences opérationnelles entre la nLPD et le RGPD

• Représentant dans l’UE : Une entité suisse soumise au RGPD doit désigner un représentant légal établi dans l’un des États membres de l’UE (Art. 27 RGPD).
• Délégué à la protection des données (DPO) : Facultatif mais encouragé sous la nLPD suisse (« conseiller à la protection des données »), la nomination d’un DPO est strictement obligatoire sous le RGPD pour tout traitement à grande échelle ou pour les organismes publics.
• Régime des sanctions financières : Le RGPD prévoit des amendes administratives pouvant atteindre jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial de l’entreprise contrevenante.