Nouvelle LPD en Suisse : ce que doivent faire psychologues et thérapeutes

La nouvelle loi fédérale sur la protection des données (nLPD, aujourd'hui simplement LPD) est la loi suisse qui fixe comment toute personne privée, y compris un psychologue ou un thérapeute en cabinet, peut collecter, garder et transmettre des données personnelles. Elle est en vigueur depuis le 1er septembre 2023. Pour un cabinet, elle touche surtout le dossier patient, les logiciels utilisés et l'hébergement des données.

Qui est concerné et pourquoi les données de vos patients comptent double

La LPD s'applique aux personnes privées, donc aussi au psychologue indépendant, au psychothérapeute en cabinet de groupe ou au thérapeute qui tient des notes de séance. Selon le portail PME de la Confédération, la loi et ses ordonnances sont entrées en vigueur le 1er septembre 2023.

L'article 5 de la LPD range les données sur la santé et la sphère intime parmi les données personnelles sensibles. Une note de séance, un bilan ou un rapport à l'assureur contiennent en général ce type de données.

La LPD s'ajoute au secret professionnel, elle ne le remplace pas. L'article 321 du Code pénal nomme expressément les psychologues, les physiothérapeutes, les ergothérapeutes, les diététiciens et les ostéopathes, ainsi que leurs auxiliaires. Si votre profession n'y figure pas, nous vous conseillons de vérifier auprès de votre association quelles règles de secret s'appliquent à vous.

Vous êtes le responsable du traitement

La loi appelle responsable du traitement la personne qui décide pourquoi et comment les données sont traitées (art. 5, let. j). Au cabinet, c'est vous. Le logiciel de dossiers, l'hébergeur, la messagerie ou l'outil d'IA qui traitent les données pour votre compte sont des sous-traitants (art. 5, let. k). Cette distinction compte. Si le patient demande l'accès à ses données, c'est vous qui restez tenu de lui répondre, même quand elles sont stockées chez un prestataire (art. 25, al. 4).

Les principes à appliquer au quotidien

L'article 6 pose des principes simples. Le traitement doit être licite, de bonne foi et proportionné. Les données sont collectées pour une finalité reconnaissable par le patient, ici le suivi thérapeutique. Elles doivent être exactes et sont détruites ou anonymisées quand elles ne sont plus nécessaires.

L'article 7 ajoute la protection des données dès la conception et par défaut. Vous devez garantir, par des préréglages appropriés, que le traitement est limité au minimum requis par sa finalité. L'article 8 demande une sécurité adaptée au risque. Pour des données de santé, nous conseillons au minimum un mot de passe fort, la double authentification, un poste verrouillé et des sauvegardes chiffrées.

Le consentement est traité dans notre article sur la prise de notes par IA en Suisse et l'accord du patient.

Informer le patient

L'article 19 impose d'informer la personne au moment de la collecte. Le patient doit recevoir au moins votre identité et vos coordonnées, la finalité du traitement et, le cas échéant, les destinataires des données (assureur, médecin prescripteur, prestataires). Si des données partent à l'étranger, il faut aussi indiquer le pays et, selon le cas, les garanties prévues ou l'exception de l'article 17 appliquée.

Nous conseillons une notice d'une page, remise au premier rendez-vous. Nous conseillons aussi d'y nommer les catégories d'outils utilisés (logiciel de dossiers, hébergement, outil de prise de notes) et le pays d'hébergement.

Le registre des activités de traitement : ce que dit vraiment la règle

L'article 12 de la LPD prévoit un registre des activités de traitement. Il contient au moins l'identité du responsable, la finalité, les catégories de personnes et de données, les destinataires et, dans la mesure du possible, la durée de conservation et les mesures de sécurité.

L'ordonnance (OPDo, art. 24) délie de cette obligation les entreprises de moins de 250 collaborateurs et les personnes physiques, sauf si le traitement porte sur des données sensibles à grande échelle ou constitue un profilage à risque élevé. La loi ne définit pas ici ce qu'est la « grande échelle ». Un cabinet individuel n'est donc ni clairement obligé, ni clairement dispensé.

Notre conseil : tenez un registre simple, même d'une page. Il vous aide à faire l'inventaire de vos outils et sert de base à votre notice d'information.

Sous-traitants : logiciel, hébergeur, outil d'IA

Confier des données à un prestataire est permis, à des conditions précises (art. 9). Il faut un contrat ou une base légale. Le prestataire ne fait que ce que vous auriez le droit de faire vous-même. Aucune obligation de secret ne doit l'interdire. Vous devez vous assurer qu'il est en mesure de garantir la sécurité des données. Enfin, il ne peut confier lui-même le travail à un autre prestataire (sous-sous-traitance) qu'avec votre autorisation préalable.

Avant de choisir un outil, nous conseillons de vérifier ces points :

• un contrat de sous-traitance (souvent appelé DPA) existe et vous pouvez le lire ;
• le pays où les données sont stockées et traitées est indiqué clairement ;
• la liste des sous-traitants ultérieurs est publiée, avec un moyen d'être prévenu des changements ;
• les données sont chiffrées en transit et au repos ;
• vous pouvez exporter et supprimer les données à la fin du contrat.

Nous avons comparé les conditions de ChatGPT, Gemini et Claude dans notre article sur l'entraînement de l'IA et les notes de séance.

Données hébergées à l'étranger

La LPD autorise la communication de données à l'étranger si le Conseil fédéral a reconnu au pays un niveau de protection adéquat (art. 16, al. 1). La liste figure à l'annexe 1 de l'OPDo. La France, l'Allemagne et les autres États de l'Union européenne que nous avons vérifiés y figurent.

Les États-Unis figurent aussi à l'annexe 1, mais seulement pour les organisations certifiées selon le cadre de protection des données entre la Suisse et les États-Unis (Swiss-U.S. Data Privacy Framework). Selon le communiqué du Conseil fédéral, cette règle s'applique depuis le 15 septembre 2024. Pour un prestataire non certifié, ou dans un pays absent de la liste, il faut d'autres garanties, comme des clauses types reconnues par le PFPDT (art. 16, al. 2), ou une des exceptions de l'article 17.

Combien de temps garder le dossier

La LPD ne fixe aucune durée. Elle dit seulement que les données sont détruites ou anonymisées quand elles ne sont plus nécessaires (art. 6, al. 4). La durée de conservation du dossier patient vient des lois cantonales sur la santé, qui varient d'un canton à l'autre.

Un exemple : le site officiel du canton de Genève cite l'article 57 de la loi genevoise sur la santé. Les éléments du dossier y sont conservés aussi longtemps qu'ils présentent un intérêt pour la santé du patient, mais au moins dix ans dès la dernière consultation, et le dossier est détruit après vingt ans au plus tard, sauf intérêt prépondérant contraire. Ailleurs, vérifiez la loi de votre canton.

Les droits du patient

Tout patient peut demander si vous traitez des données le concernant (art. 25). Il reçoit alors au moins votre identité et vos coordonnées, les données elles-mêmes, la finalité, la durée de conservation ou ses critères, et les destinataires. Les renseignements sont gratuits, sauf exceptions prévues par le Conseil fédéral, et fournis en règle générale dans un délai de 30 jours. Personne ne peut renoncer par avance à ce droit.

L'article 25, alinéa 3 prévoit un cas propre à la santé : les données sur la santé peuvent être communiquées au patient, avec son consentement, par l'intermédiaire d'un professionnel de la santé qu'il désigne. Le patient peut aussi demander la rectification de données inexactes et, par une action en justice, l'interdiction d'un traitement ou l'effacement de ses données (art. 32).

Sur les rapports, voir notre page sur le rapport à l'assureur après 30 séances de psychothérapie.

En cas de violation de données

Si la violation entraîne vraisemblablement un risque élevé pour le patient, vous l'annoncez dans les meilleurs délais au PFPDT (art. 24). Le PFPDT met à disposition un portail d'annonce en ligne (databreach.edoeb.admin.ch). Votre sous-traitant doit, lui, vous annoncer toute violation. Vous informez le patient lorsque c'est nécessaire à sa protection ou si le PFPDT l'exige. L'ordonnance demande de documenter les violations et de garder cette documentation au moins deux ans (OPDo, art. 15, al. 4).

Les amendes : ce qu'elles visent vraiment

L'article 61 prévoit une amende de 250 000 francs au plus. Elle n'est pas automatique. Elle est prononcée sur plainte, contre la personne privée qui a agi intentionnellement. Elle vise le transfert à l'étranger sans garanties, la sous-traitance hors des conditions de l'article 9 et le non-respect de la sécurité minimale. Selon le guide du PFPDT, l'omission d'annoncer une violation n'est pas en soi punissable selon la LPD, mais le PFPDT peut ordonner d'y remédier.

Liste de contrôle pour votre cabinet

• Faire la liste de vos outils qui touchent aux données des patients.
• Pour chacun, obtenir et lire le contrat de sous-traitance, et noter le pays d'hébergement.
• Vérifier que chaque pays figure à l'annexe 1 de l'OPDo, ou que d'autres garanties existent.
• Rédiger une notice d'information patient d'une page.
• Tenir un registre simple de vos traitements (conseillé, même si vous en êtes peut-être dispensé).
• Activer la double authentification et chiffrer vos sauvegardes.
• Connaître la durée de conservation fixée par votre canton.
• Préparer une réponse type aux demandes d'accès (30 jours en règle générale).
• Savoir comment annoncer une violation au PFPDT et noter chaque incident.

Et un outil comme Delta ?

Delta est l'assistant clinique des professionnels de santé mentale et du paramédical. Les données sont hébergées en France, un pays reconnu comme adéquat à l'annexe 1 de l'OPDo, chez un hébergeur certifié HDS, et le traitement IA a lieu en France. Le nom du patient et les informations identifiantes sont pseudonymisés avant l'IA. Aucun fichier audio n'est conservé. Les données ne servent jamais à entraîner un modèle et sont chiffrées en transit et au repos. Delta rédige aussi les courriers, attestations et bilans, adaptés à la profession (voir nos modèles de documents).

Ces faits ne vous dispensent pas de vos propres obligations. Quel que soit l'outil, Delta compris, nous conseillons de lire son contrat de sous-traitance et sa liste de sous-traitants avant d'y mettre des données de patients.

Questions fréquentes

Sources

• Loi fédérale sur la protection des données (LPD), RS 235.1 et Ordonnance sur la protection des données (OPDo), RS 235.11, fedlex, consultées le 16 octobre 2026.
• Portail PME de la Confédération : nouvelle loi sur la protection des données (nLPD).
• PFPDT : guide relatif à l'annonce des violations de la sécurité des données (art. 24 LPD), version du 23 avril 2025.
• Conseil fédéral : communiqué du 14 août 2024 sur le Swiss-U.S. Data Privacy Framework.
• Canton de Genève : règles entourant le travail des thérapeutes (conservation du dossier, art. 57 LS).