Site internet et nLPD : ce que la loi suisse sur la protection des données implique pour votre site
La nouvelle loi fédérale sur la protection des données, appelée nLPD, est en vigueur depuis le 1er septembre 2023. Elle concerne toutes les entreprises qui traitent des données personnelles, y compris les plus petites. Or votre site internet en collecte presque toujours : un formulaire de contact, une réservation en ligne, un outil de statistiques ou une carte intégrée suffisent.
Cet article vous donne une vue d'ensemble des points à examiner sur votre site. Il s'agit d'informations générales, pas d'un avis juridique : chaque situation est différente, et nous vous recommandons de faire valider votre conformité par un juriste ou un spécialiste de la protection des données.
La nLPD en bref : ce qui change pour un site internet
La nLPD a modernisé l'ancienne loi pour l'adapter au numérique et la rapprocher des standards européens. Pour un site d'entreprise, quelques principes reviennent constamment :
- Transparence : les personnes doivent être informées de manière claire lorsque vous collectez leurs données.
- Proportionnalité : ne collecter que ce qui est nécessaire à l'objectif annoncé.
- Finalité : utiliser les données uniquement pour les buts indiqués au moment de la collecte.
- Sécurité : protéger les données par des mesures techniques et organisationnelles adaptées.
La loi concerne les données de personnes physiques. Elle prévoit aussi un rôle de surveillance pour le Préposé fédéral à la protection des données et à la transparence (PFPDT), qui publie des informations utiles pour les entreprises.
La déclaration de confidentialité de votre site
C'est la pièce centrale de la transparence. Une page dédiée, accessible depuis chaque page du site (généralement dans le pied de page), doit expliquer simplement comment vous traitez les données. On y retrouve habituellement :
- L'identité et les coordonnées du responsable du traitement, c'est-à-dire votre entreprise.
- Les catégories de données collectées : formulaires, newsletters, statistiques, réservations.
- Les finalités de chaque traitement.
- Les destinataires ou catégories de destinataires, notamment vos prestataires.
- Les pays vers lesquels des données peuvent être transférées, le cas échéant.
- Les droits des personnes, comme le droit d'accès, et la manière de les exercer.
Évitez de copier le texte d'un autre site : il ne correspondra pas à vos outils réels. Une déclaration doit décrire ce que fait votre site, et être mise à jour à chaque nouvel outil ajouté.
Formulaires de contact, devis et réservations
Les formulaires sont souvent le premier point de collecte. Quelques bonnes pratiques permettent de les rendre plus respectueux de la nLPD :
- Limitez les champs : un cabinet de physiothérapie n'a pas besoin de la date de naissance pour répondre à une question générale.
- Informez au bon endroit : une courte mention sous le formulaire, renvoyant vers la déclaration de confidentialité.
- Séparez les usages : l'inscription à une newsletter ne doit pas être cochée par défaut ni mélangée à une demande de devis.
- Soyez prudent avec les données sensibles : santé, opinions, données concernant des mineurs. Leur traitement appelle une vigilance particulière.
- Sécurisez la transmission : un certificat HTTPS est indispensable, et les messages ne devraient pas rester indéfiniment dans une boîte email partagée.
Pensez aussi à la durée de conservation : définissez combien de temps vous gardez les demandes qui n'aboutissent pas, et appliquez-le réellement.
Cookies, outils de mesure et services intégrés
Statistiques de visite, pixels publicitaires, vidéos intégrées, cartes interactives, polices chargées depuis des serveurs externes : beaucoup d'éléments d'un site transmettent des informations à des tiers, parfois à votre insu.
- Faites l'inventaire de tous les outils et scripts présents sur le site.
- Supprimez ceux qui ne servent plus.
- Décrivez ceux que vous conservez dans votre déclaration de confidentialité.
- Privilégiez des réglages respectueux de la vie privée lorsque l'outil le permet.
La nLPD n'est pas construite exactement comme le règlement européen (RGPD) en matière de consentement aux cookies. Toutefois, si votre site s'adresse aussi à des visiteurs de l'Union européenne, par exemple un commerce proche de la frontière française, les règles européennes peuvent entrer en jeu. C'est typiquement le genre de question à faire trancher par un spécialiste, en fonction de votre clientèle et de vos outils publicitaires.
Hébergement, sous-traitants et transferts à l'étranger
Votre site s'appuie sur des prestataires qui traitent des données pour votre compte : hébergeur, outil d'emailing, plateforme de réservation, logiciel de facturation connecté. Dans le vocabulaire de la loi, ce sont des sous-traitants. Vous restez responsable de leur choix.
- Dressez la liste de vos prestataires et de ce qu'ils traitent.
- Vérifiez où sont stockées les données : en Suisse, dans l'Union européenne ou ailleurs.
- Consultez leurs conditions et accords de traitement des données.
- Pour les pays dont le niveau de protection n'est pas reconnu comme adéquat, des garanties supplémentaires peuvent être nécessaires.
Un hébergement en Suisse simplifie souvent la réflexion pour les données du site lui-même, mais il ne règle pas tout : les outils externes intégrés au site doivent être examinés séparément.
Sécurité et gestion des incidents
La nLPD attend des mesures de sécurité adaptées aux risques. Pour un site d'entreprise, cela passe par des gestes concrets :
- Mettre à jour régulièrement le système de gestion de contenu et ses extensions.
- Utiliser des mots de passe solides et l'authentification à deux facteurs pour les accès administrateur.
- Limiter le nombre de personnes ayant accès aux données collectées.
- Effectuer des sauvegardes régulières et vérifier qu'elles fonctionnent.
En cas de fuite ou de piratage présentant un risque élevé pour les personnes concernées, la loi prévoit une obligation d'annonce au PFPDT. Préparez à l'avance qui doit être prévenu et comment réagir.
Check-list nLPD pour votre site internet
- Une déclaration de confidentialité à jour, accessible depuis chaque page.
- Des formulaires limités au strict nécessaire, avec une mention d'information.
- Une newsletter avec inscription volontaire et désinscription simple.
- Un inventaire des outils de mesure, cookies et services intégrés.
- Une liste des sous-traitants et des pays de stockage.
- Un site en HTTPS, mis à jour et sauvegardé.
- Une procédure simple en cas d'incident.
Cette liste ne remplace pas un conseil juridique : faites valider vos textes et votre analyse par un juriste. Pour la partie technique, de l'inventaire des outils à la mise en place des formulaires, Marketing Suisse peut vous accompagner lors de la création ou de la mise à jour de votre site.
Questions fréquentes
La nLPD s'applique-t-elle aussi aux petites entreprises et aux indépendants ?
Oui, la loi concerne en principe toutes les personnes privées qui traitent des données personnelles, quelle que soit leur taille. Certaines obligations peuvent varier selon l'activité et les risques. Un spécialiste pourra vous indiquer ce qui s'applique précisément à votre situation.
Ai-je besoin d'une bannière cookies sur mon site suisse ?
La réponse dépend des outils utilisés et de votre public. La nLPD met l'accent sur l'information transparente, tandis que le droit européen peut imposer un consentement si vous ciblez des visiteurs de l'Union européenne. Faites vérifier votre cas par un juriste avant de choisir une solution.
Puis-je copier la déclaration de confidentialité d'un autre site ?
C'est déconseillé. Une déclaration doit décrire vos propres traitements, vos outils et vos prestataires réels. Un texte copié sera forcément inexact et ne remplit donc pas son rôle d'information.