Protection des données : comparaison avec la Suisse
Les régimes suisse et singapourien sont proches dans leur structure et diffèrent dans leur mise en œuvre. La Suisse ne connaît pas d'amendes administratives contre les organisations. Ses sanctions sont des amendes pénales pouvant atteindre 250 000 CHF à l'encontre des personnes physiques responsables, ce qui mobilise l'attention d'un responsable de la conformité d'une tout autre manière.1 Singapour inflige à l'organisation des amendes pouvant atteindre 10 % du chiffre d'affaires local. La Suisse exige la notification d'une violation « dans les meilleurs délais » lorsque celle-ci entraîne vraisemblablement un risque élevé. Singapour accorde trois jours après l'évaluation et fixe un seuil chiffré. La Suisse traite les données relatives à une personne identifiable comme des données personnelles de la même manière que Singapour. Elle rencontre la même difficulté avec les blockchains publiques, sur lesquelles le Préposé fédéral à la protection des données et à la transparence (PFPDT) n'a pas publié de lignes directrices comparables au guide singapourien. Un groupe qui construit son programme de protection des données selon la norme singapourienne satisfera en général à la norme suisse, en y ajoutant les documents propres au droit suisse : le registre des activités de traitement et l'analyse d'impact relative à la protection des données pour les traitements à risque élevé.2
Perspective transfrontalière
Vous pouvez gérer un programme unique de protection des données pour un groupe Zoug–Singapour si vous adoptez, sur chaque point, la règle la plus stricte. N'inscrivez aucune donnée personnelle sur une chaîne publique. Traitez les adresses de portefeuille rattachées à des clients connus comme des données personnelles dans les deux pays. Utilisez les clauses contractuelles types de l'UE assorties des adaptations suisses pour chaque transfert depuis la Suisse et un accord intragroupe contraignant pour chaque transfert depuis Singapour. Calez votre horloge de notification sur le délai applicable le plus court, à savoir la notification d'incident d'une heure à la MAS pour les entités agréées et la notification de trois jours à la PDPC pour les données personnelles. Un programme ainsi construit résistera à une inspection de l'une ou l'autre autorité. Surtout, il résistera à l'attention de ceux qui attaquent les entreprises crypto pour s'emparer de leurs fichiers clients.
Notes
- Art. 60–63 LPD (RS 235.1). ↩
- Art. 12 (registre des activités de traitement) et art. 22 (analyse d'impact relative à la protection des données) LPD (RS 235.1). ↩
À titre d’information générale uniquement. Cet article ne constitue pas un conseil juridique ou fiscal, ne remplace pas un conseil adapté à votre situation et ne crée aucune relation avocat-client. Il reflète l’état du droit en octobre 2026.