Le cadre juridique
Le cadre juridique suisse repose sur la loi fédérale sur la protection des données (nLPD), adoptée en 2023, le PFPDT faisant office d'autorité de contrôle.
La position est hybride. La collecte est régie par l'obligation d'information et le principe de limitation des finalités, et le consentement est réservé aux cas sensibles, ce qui rend le marketing first-party plus praticable ici que sur des marchés strictement opt-in.
Principaux textes
Loi fédérale sur la protection des données (nLPD)
La loi fédérale sur la protection des données (nLPD), entièrement révisée, a pris effet le 1er septembre 2023, sans période de transition. Son architecture est inhabituelle à deux égards. Le traitement par le secteur privé n'exige pas de base légale par défaut, et les sanctions sont des amendes pénales visant principalement les responsables individuels. Le PFPDT met directement à l'épreuve les pratiques marketing : en avril 2026, il a ordonné à Philipp Plein et à un autre vendeur en ligne de cesser d'envoyer des e-mails et des SMS aux clients qui s'y étaient opposés. Le marketing par e-mail reste soumis à l'opt-in en vertu de la loi contre la concurrence déloyale.
Marketing et publicité
Le traitement est licite sans consentement, sauf s'il porte atteinte aux droits de la personnalité ; le consentement est requis pour les données sensibles, le profilage à haut risque et pour justifier une atteinte. Le marketing par e-mail de masse exige un opt-in en vertu de la loi contre la concurrence déloyale. Cette seule règle détermine la plupart des choix de canaux ici.
Transferts transfrontaliers
Liste d'adéquation tenue par le Conseil fédéral, qui couvre les entreprises américaines certifiées au titre du Swiss-US Data Privacy Framework depuis le 15 septembre 2024 ; des CCT s'appliquent dans les autres cas. La Suisse bénéficie d'une décision d'adéquation de l'UE.
Application et sanctions
Amendes pénales pouvant atteindre CHF 250 000, visant en premier lieu les personnes responsables ; une entreprise peut être condamnée à une amende allant jusqu'à CHF 50 000 lorsque l'identification de l'individu responsable serait disproportionnée.