nLPD CRM 2026 : votre CRM est-il conforme ? Le guide pour PME suisses

Mettre votre CRM en conformité avec la nLPD n'a rien de sorcier. Pas besoin d'être juriste ni informaticien : en 30 minutes, vous pouvez vérifier si votre outil est en règle ou s'il vous expose. Ce guide vous explique comment, sans jargon.

En clair : un CRM conforme à la nLPD, c'est un outil dont vous savez où il range vos données, qui peut y accéder, et qui vous permet de les exporter ou de les supprimer pour de bon. Voici les 8 points à vérifier et comment les contrôler vous-même en 30 minutes.

Pourquoi s'en préoccuper maintenant ? Depuis 2026, la période de transition de la nouvelle Loi fédérale sur la protection des données (nLPD) est terminée. Concrètement, pour votre PME, la plainte d'un client mécontent peut désormais déboucher sur une amende bien réelle, jusqu'à CHF 250 000, prononcée par le PFPDT (le Préposé fédéral à la protection des données et à la transparence, l'autorité suisse qui veille au respect de la loi). Et fait souvent ignoré : cette amende vise la personne qui décide, pas l'entreprise.

Votre CRM est en première ligne, car il contient ce que vous avez de plus sensible : les données de vos clients. Nom, email, téléphone, historique d'achat, notes commerciales. D'où une première question toute simple : savez-vous dans quel pays ces données sont stockées, et qui peut légalement y accéder ?

Si la réponse n'est pas évidente, ce guide est fait pour vous. On va voir ensemble ce que la loi attend vraiment de votre CRM, comment l'auditer en 30 minutes, et combien coûte une mise en conformité.

Qu'est-ce que la nLPD change pour votre CRM ?

La nLPD s'applique à toute organisation suisse qui traite des données personnelles. Une donnée personnelle est toute information qui identifie un individu : nom, email, téléphone, fonction, historique d'achat, notes commerciales. Votre CRM en contient par définition.

La loi repose sur quelques principes de bon sens :

1. Une raison légitime de collecter les données
2. Le minimum nécessaire : on ne récolte pas plus que ce dont on a besoin
3. La transparence : la personne sait que vous traitez ses données
4. Un usage fidèle : les données servent uniquement à ce qui était annoncé
5. Des données exactes et tenues à jour
6. La sécurité : des mesures concrètes protègent les données
7. La prudence à l'étranger : tout transfert hors de Suisse demande des garanties

Par rapport à l'ancienne loi, quatre changements concrets :

• Vous devez mieux informer : votre page de confidentialité doit dire à qui vont les données et si elles partent à l'étranger
• Le registre des traitements n'est obligatoire qu'à partir de 250 collaborateurs (la plupart des PME en sont dispensées)
• Une fuite de données doit être signalée au PFPDT rapidement
• Les amendes sont personnelles : jusqu'à CHF 250 000 pour la personne responsable, pas pour l'entreprise

À retenir : la nLPD sanctionne la personne qui décide, pas l'entreprise. Celui qui choisit le CRM, qu'il soit CEO, CFO ou responsable IT, engage sa responsabilité personnelle.

Où sont stockées les données de votre CRM (et pourquoi c'est critique) ?

La réponse à cette question détermine l'essentiel de votre risque. Pourtant, beaucoup de dirigeants de PME seraient incapables de dire dans quel pays leur CRM stocke réellement leurs données.

Les CRM utilisés par les PME suisses se répartissent en 3 catégories :

Le PFPDT recommande de privilégier un hébergement en Suisse ou dans un État offrant une protection jugée adéquate par le Conseil fédéral. Les États-Unis ne bénéficient pas de cette reconnaissance de manière inconditionnelle. Leur statut dépend du Swiss-US Data Privacy Framework (voir section suivante).

L'enjeu n'est pas seulement géographique. Si vos données sont stockées chez un fournisseur soumis au droit américain, ce dernier peut être contraint de les transmettre à des autorités étrangères, y compris si les serveurs sont en Europe.

Pourquoi un CRM américain soulève-t-il des questions sous nLPD ?

Le problème n'est pas la qualité du logiciel. HubSpot et Salesforce sont des CRM reconnus. La question est d'ordre juridique, et elle tient à trois cadres : Cloud Act, DPF UE-US et Swiss-US DPF.

Le Cloud Act est une loi américaine de 2018. Elle permet aux autorités américaines de réclamer les données détenues par une entreprise américaine, où qu'elles soient stockées dans le monde. Autrement dit : même si vos données sont sur un serveur en Europe, si votre fournisseur est une société américaine, la justice américaine peut théoriquement y accéder.

Pour autoriser quand même les échanges, deux accords existent : un entre l'Union européenne et les États-Unis (depuis 2023), et son équivalent entre la Suisse et les États-Unis (reconnu par le Conseil fédéral en 2024). Ils permettent à une entreprise américaine certifiée de recevoir des données européennes ou suisses.

Le hic : la solidité de ces accords est contestée. Un accord précédent a déjà été annulé par la justice européenne, et plusieurs juristes s'attendent à ce que le dispositif actuel connaisse le même sort, un scénario qu'ils surnomment déjà « Schrems III ». Rien n'est tranché à ce jour, mais le risque est réel : si l'accord européen tombait, la Suisse réexaminerait le sien dans la foulée.

Pour une PME suisse, l'incertitude juridique constitue un risque en soi : un transfert considéré comme légal aujourd'hui pourrait ne plus l'être demain.

À noter : anticiper ces évolutions permet de garder le contrôle de son calendrier de mise en conformité plutôt que de subir une migration dans l'urgence.

Pour une analyse détaillée par fournisseur, nous y consacrerons un article dédié prochainement.

Les 8 exigences nLPD pour votre CRM, expliquées simplement

Voici les 8 points qu'un CRM doit cocher pour être en règle. Pour chacun, ce que ça veut dire concrètement, sans le vocabulaire d'avocat.

1. Un contrat de sous-traitance signé

Vous devez avoir un contrat avec votre fournisseur CRM qui précise ce qu'il a le droit de faire de vos données : pour quel usage, combien de temps, quelles données, et avec quelles mesures de sécurité. Il ne peut pas les confier à un autre prestataire sans votre accord écrit.

Sans ce contrat, votre fournisseur n'a tout simplement pas le droit de traiter vos données.

2. Un hébergement vérifiable

Votre fournisseur doit pouvoir vous dire clairement où sont stockées vos données : dans quel pays, et avec quelles garanties (par exemple un label de sécurité reconnu comme la norme ISO 27001). Cette information doit être accessible facilement, pas au prix d'un audit payant.

3. Un chiffrement solide

Vos données doivent être protégées à deux moments : quand elles sont stockées, et quand elles circulent sur internet. Ces protections portent des noms techniques (AES-256, TLS 1.3), mais vous n'avez qu'une chose à vérifier : que votre fournisseur confirme bien chiffrer vos données dans les deux cas. C'est aujourd'hui un standard de base.

4. Un accès limité selon les rôles

Chaque collaborateur ne devrait voir que les données utiles à son travail. Un bon CRM permet de définir des rôles (qui voit quoi) et, idéalement, de garder un historique de qui a consulté ou exporté quoi.

5. Une suppression vraiment définitive

Quand une donnée n'est plus utile, ou qu'une personne demande légitimement son retrait, elle doit réellement disparaître. Pas juste passer en statut « désactivé » tout en restant dans la base et les sauvegardes.

6. Une trace du consentement

Pour la prospection (emails, appels), vous devez pouvoir prouver que la personne était d'accord pour être contactée : quand, comment, et sur quelle base. Et si vous importez des contacts, cet historique doit suivre.

7. L'export des données sur demande

Toute personne peut vous demander une copie de ses données. Votre CRM doit permettre de les exporter simplement, dans un format lisible (un fichier Excel ou CSV), sans devoir passer par le support technique du fournisseur.

8. Une alerte en cas de fuite

Si votre fournisseur subit une faille de sécurité, votre contrat doit l'obliger à vous prévenir vite. Assez vite pour que vous puissiez à votre tour alerter le PFPDT, comme la loi l'exige.

Comment auditer votre CRM en 30 minutes ?

Votre score

Que faire si votre CRM n'est pas au niveau attendu ?

Trois approches, par ordre croissant d'investissement :

Option 1 : mettre en conformité l'outil actuel

Adapté si les manques sont surtout administratifs (contrat de sous-traitance absent, page de confidentialité incomplète, rôles mal réglés). Réclamez le contrat à votre fournisseur, mettez à jour vos documents, ajustez les permissions.

Option 2 : renforcer techniquement l'outil actuel

Si le CRM est hébergé en Suisse ou dans l'UE mais manque de fonctionnalités (consentement non journalisé, suppression incomplète), activez les modules disponibles ou demandez les évolutions au fournisseur.

Option 3 : migrer vers un CRM mieux adapté

À envisager si le CRM est hébergé aux États-Unis sans alternative crédible aux risques juridiques, ou si l'outil ne permet structurellement pas la conformité (suppression impossible, consentement absent).

Combien coûte un CRM aligné avec la nLPD ?

Comparaison des quatre profils de CRM disponibles pour les PME suisses en 2026 :

Pour une PME de 10 utilisateurs, un CRM hébergé en Suisse représente un budget annuel de CHF 3 500 à 10 000. À mettre en regard de l'amende potentielle de CHF 250 000 et du coût d'une procédure devant le PFPDT (procédure pouvant durer plusieurs mois et engendrer des frais juridiques).

FAQ : les questions que les PME suisses nous posent

La conformité nLPD comme avantage concurrentiel

Les PME qui prennent la conformité au sérieux ont une longueur d'avance. Elles répondent aux appels d'offres exigeant des garanties nLPD. Elles rassurent leurs clients. Elles protègent leurs dirigeants d'amendes personnelles dont le montant dépasse largement le coût d'une mise en conformité.

En 2026, un CRM aligné avec la nLPD n'est pas un luxe. C'est la nouvelle norme.

Cet article a été rédigé sur la base des sources officielles disponibles à mai 2026. Le cadre légal évolue ; nous le mettons à jour tous les 6 mois.

Sources officielles :

• Site officiel du PFPDT
• Texte intégral de la nLPD (RS 235.1)
• Ordonnance sur la protection des données (OPDo, RS 235.11)
• Transfert de données à l'étranger (informations PFPDT)
• Texte du Cloud Act américain (H.R. 4943)

Avez-vous besoin d'aide ? Pour auditer votre CRM ou comparer les solutions suisses, contactez-nous. Audit gratuit de 30 minutes pour évaluer votre conformité et identifier les actions prioritaires.