Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) s’applique à toutes les entreprises suisses, quelle que soit leur taille. Votre site internet collecte presque toujours des données personnelles : formulaire de contact, statistiques de visite, newsletter, boutique. Voici ce que vous devez vérifier.
Cet article est un guide pratique, pas un avis juridique. Pour un cas particulier, consultez un juriste.
1. Une déclaration de protection des données
C’est l’obligation la plus visible. Votre site doit expliquer, dans une page facile à trouver :
- qui est responsable du traitement (nom et coordonnées de l’entreprise) ;
- quelles données vous collectez (formulaire, statistiques, cookies…) ;
- pourquoi vous les collectez ;
- à qui elles sont transmises (hébergeur, outil d’emailing, outil de statistiques) ;
- dans quels pays elles sont traitées, si elles quittent la Suisse ;
- comment la personne peut exercer ses droits (accès, rectification, suppression).
2. Les transferts de données à l’étranger
Si votre site, votre formulaire ou vos statistiques passent par des serveurs à l’étranger, vous devez l’indiquer, et le pays doit offrir une protection adéquate ou des garanties suffisantes. C’est l’une des raisons pour lesquelles un hébergement en Suisse simplifie beaucoup la conformité.
3. Les cookies et les statistiques
La nLPD n’impose pas, en règle générale, une bannière de consentement préalable comme le RGPD européen. Elle exige en revanche de la transparence : vos visiteurs doivent savoir quels outils de suivi vous utilisez, et pouvoir s’y opposer. Attention : si vous visez aussi des clients dans l’Union européenne, le RGPD peut s’appliquer, avec des exigences plus strictes.
La solution la plus simple : utiliser un outil de statistiques respectueux de la vie privée, hébergé en Suisse ou en Europe, qui ne dépose pas de cookies de suivi.
4. La sécurité des données
Vous devez protéger les données que vous collectez : site en https, mises à jour régulières, sauvegardes, accès limités. Un site WordPress jamais mis à jour est un risque réel.
5. Les violations de données
En cas de fuite de données qui présente un risque élevé pour les personnes concernées, vous devez l’annoncer au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais.
6. Les sanctions
La nLPD prévoit des amendes jusqu’à 250’000 CHF, visant les personnes responsables en cas de violation intentionnelle de certaines obligations. Le risque est surtout réputationnel pour une PME, mais il mérite d’être pris au sérieux.
La check-list rapide
- Page « Protection des données » à jour et accessible depuis chaque page
- Mentions légales complètes
- Formulaires avec case de consentement et lien vers la déclaration
- Hébergement et outils listés, avec leur pays
- Site en https et maintenu à jour
- Statistiques respectueuses de la vie privée
Tous nos sites sont livrés avec ces éléments. Voir notre offre de maintenance et hébergement et nos prix.