Conformité · Suisse
nLPD : ce que la loi suisse sur les données change pour votre site
Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données encadre tout traitement de données personnelles en Suisse, y compris sur un simple site vitrine. Beaucoup de PME et de cabinets genevois pensent que la nLPD ne concerne que les grands groupes ou les secteurs qui manipulent des données sensibles. En réalité, dès qu'un site a un formulaire de contact, un outil de statistiques ou une newsletter, il traite des données personnelles et entre dans le champ de la loi. Voici ce que cela change concrètement pour votre site.
Qu'est-ce que la nLPD et qui est concerné ?
La nLPD, nouvelle loi fédérale sur la protection des données, remplace l'ancienne loi de 1992. Elle fixe les règles que doit respecter toute organisation qui collecte, stocke ou utilise des données de personnes physiques identifiées ou identifiables : nom, adresse email, adresse IP, comportement de navigation, historique d'achat. Elle s'applique dès qu'un traitement produit des effets en Suisse, même si l'entreprise qui l'exploite est installée ailleurs.
En pratique, cela concerne toute entreprise établie en Suisse romande, quelle que soit sa taille : cabinet de conseil, commerce, indépendant, association, aussi bien qu'une entreprise étrangère qui vise activement une clientèle suisse. Un site web est presque toujours concerné, car il collecte des données dès sa première page : adresse IP via les statistiques de visite, coordonnées via un formulaire, comportement via les cookies.
Qu'est-ce qui change vraiment par rapport à avant ?
La nLPD ne réinvente pas la protection des données en Suisse, elle la durcit et la rapproche du RGPD européen. Quatre évolutions ont un impact direct sur la gestion d'un site web.
01
Un champ resserré aux personnes physiques
L'ancienne loi protégeait aussi les données des entreprises. La nLPD se concentre sur les personnes physiques, comme le fait le RGPD européen.
02
Un devoir d'information renforcé
Informer dans une page de mentions légales cachée ne suffit plus. L'information doit être donnée au moment même où la donnée est collectée.
03
Une analyse d'impact pour les traitements à risque
Profilage, données sensibles, sous-traitance à l'étranger : ces traitements à risque élevé imposent désormais une analyse d'impact documentée avant leur mise en place.
04
Un devoir de notification des violations
Une fuite de données susceptible de créer un risque élevé pour les personnes concernées doit être annoncée au préposé fédéral, et parfois aux personnes elles-mêmes.
Autre changement notable : les sanctions ne visent plus l'entreprise en tant que telle mais, en général, la personne physique responsable du manquement, le plus souvent un dirigeant. C'est une différence structurelle importante avec le RGPD, dont les amendes administratives frappent directement la société.
Quelles obligations concrètes pour votre site web ?
Pour un site vitrine, un site avec formulaires ou une boutique en ligne, quatre chantiers concentrent l'essentiel de la mise en conformité.
- Une politique de confidentialité à jour. Elle doit lister les données collectées, la finalité de chaque traitement, la base légale retenue, la durée de conservation, les destinataires éventuels (outils tiers, sous-traitants) et la façon d'exercer ses droits.
- Une information donnée au bon moment. À côté de chaque formulaire, une mention claire et courte doit indiquer pourquoi la donnée est demandée, avant même que le visiteur ne clique sur envoyer.
- Une base de traitement identifiée pour chaque usage. Consentement pour une newsletter, exécution d'un contrat pour une commande, intérêt légitime pour des statistiques anonymisées : chaque traitement doit reposer sur une base cohérente et documentée.
- Des formulaires sobres. Ne demander que les champs réellement utiles à la demande. Un formulaire de contact qui exige la date de naissance ou le numéro AVS pose une vraie question de proportionnalité.
Et si vos données sortent de Suisse ?
C'est le point le plus souvent oublié, alors qu'il concerne presque tous les sites : outil d'emailing, hébergeur, CRM, service de statistiques. Beaucoup de ces outils traitent les données hors de Suisse, parfois hors d'Europe. La nLPD encadre ces transferts : vers des pays reconnus comme offrant un niveau de protection adéquat, le transfert est en général possible sans formalité supplémentaire ; vers les autres pays, il faut des garanties additionnelles (clauses contractuelles adaptées, cadre reconnu par le fournisseur) et une information claire des visiteurs.
Cookies et consentement : que faut-il changer ?
Contrairement à une idée reçue, la Suisse n'impose pas un bandeau cookies aussi strict que le RGPD européen. La loi sur les télécommunications, révisée en parallèle de la nLPD, exige d'informer le visiteur du dépôt de cookies et de lui donner un moyen simple de s'y opposer, sans rendre obligatoire un consentement préalable systématique pour toutes les catégories de cookies.
En pratique, la plupart des sites suisses qui reçoivent des visiteurs français, allemands ou d'autres pays européens appliquent le régime le plus protecteur, celui du RGPD, pour éviter de gérer deux logiques différentes selon l'origine du visiteur.
| Catégorie | Exemple | Consentement recommandé |
|---|---|---|
| Nécessaires | Panier, session, préférence de langue | Aucun, information suffit |
| Statistiques | Mesure d'audience, comportement de navigation | Opt-in recommandé si audience européenne |
| Marketing | Publicité ciblée, réseaux sociaux | Opt-in explicite systématique |
Quels droits pour les visiteurs de votre site ?
La nLPD reconnaît aux personnes dont les données sont traitées plusieurs droits, que votre site doit être en mesure de satisfaire dans un délai raisonnable, en général de l'ordre de 30 jours.
- Droit d'accès. Savoir quelles données sont détenues à son sujet et dans quel but.
- Droit de rectification. Corriger une donnée inexacte ou incomplète.
- Droit de suppression. Demander l'effacement de ses données, sauf obligation légale de conservation contraire.
- Droit d'opposition. S'opposer à un traitement, par exemple une prospection commerciale par email.
- Droit à la portabilité. Nouveauté de la nLPD : récupérer ses données dans un format exploitable pour les transférer ailleurs.
Pour qu'un site puisse répondre à ces demandes sans improviser, un point de contact unique suffit en général : une adresse email dédiée, mentionnée dans la politique de confidentialité, avec une personne clairement chargée d'y répondre en interne.
Quelles sanctions en cas de manquement ?
Le régime suisse diffère nettement du RGPD sur ce point. Là où l'Union européenne applique des amendes administratives pouvant atteindre un pourcentage du chiffre d'affaires mondial, la nLPD prévoit des sanctions pénales, visant en général la personne physique responsable du manquement plutôt que l'entreprise.
| Manquement | Sanction possible | Qui est visé |
|---|---|---|
| Violation volontaire du devoir d'information | Amende pouvant atteindre 250 000 CHF | Personne physique responsable |
| Transfert de données non sécurisé à l'étranger | Amende du même ordre | Personne physique responsable |
| Manquement organisationnel diffus, difficile à imputer | Amende plafonnée, à charge de l'entreprise | Entreprise elle-même |
Au-delà de la sanction pénale, le risque le plus fréquent pour une PME reste concret et immédiat : une plainte d'un visiteur mécontent, une demande d'accès mal gérée, ou une intervention du préposé fédéral à la protection des données et à la transparence à la suite d'un signalement. Le coût réputationnel dépasse souvent le montant de l'amende elle-même.
Checklist de mise en conformité pour votre site
Pas besoin d'un chantier de plusieurs mois pour la majorité des sites de PME. Voici l'ordre dans lequel traiter les points qui comptent vraiment.
- Rédiger ou mettre à jour une politique de confidentialité publiée en pied de page, accessible depuis chaque page.
- Vérifier que chaque formulaire porte une mention claire sur la finalité de la collecte, sans case pré-cochée trompeuse.
- Dresser l'inventaire des outils tiers du site (analytics, emailing, CRM, hébergeur, chat) et noter où chacun stocke les données.
- Mettre en place un bandeau cookies catégorisé, avec une option de retrait aussi simple que l'acceptation.
- Créer un canal de contact dédié pour les demandes de droits, et définir en interne qui y répond.
- Documenter une base de traitement pour chaque finalité (contact, newsletter, statistiques, recrutement).
- Vérifier les contrats avec les sous-traitants techniques (hébergeur, CRM) sur la localisation et la sécurité des données.
- Prévoir une analyse d'impact si le site fait du profilage ou traite des données sensibles.
FAQ
La nLPD s'applique-t-elle à toutes les entreprises suisses, même les petites structures ?
Oui, la taille n'entre pas en ligne de compte pour l'application de la loi elle-même. Dès qu'une structure, indépendant compris, traite des données de personnes physiques (via un formulaire, une newsletter ou un outil de statistiques), elle est concernée. Seules certaines obligations renforcées, comme le registre formel des activités de traitement, sont allégées pour les petites structures à faible risque.
Mon site a-t-il besoin d'un bandeau de cookies comme en Europe ?
Le droit suisse n'impose pas le même formalisme que le RGPD sur ce point : il exige d'informer l'utilisateur et de lui permettre de s'opposer aux cookies non essentiels, sans rendre obligatoire un bandeau à consentement préalable pour tout visiteur. En pratique, dès que le site reçoit des visiteurs européens, un bandeau conforme RGPD reste la solution la plus sûre pour éviter deux régimes différents.
Que risque concrètement une PME qui n'a pas de politique de confidentialité conforme ?
L'absence de politique de confidentialité ou un manquement au devoir d'information peut exposer la personne responsable, en général un dirigeant, à une sanction pénale pouvant aller jusqu'à 250 000 francs suisses en cas d'infraction volontaire. Le risque le plus fréquent en pratique reste toutefois une plainte de visiteur ou une intervention du préposé fédéral, avec un impact réputationnel réel pour une petite structure.
Google Analytics ou un CRM américain sont-ils compatibles avec la nLPD ?
Cela reste possible, mais ce n'est pas automatique. Les États-Unis ne sont pas considérés comme offrant un niveau de protection équivalent par défaut : il faut vérifier que le fournisseur s'appuie sur un cadre reconnu ou des clauses contractuelles adaptées, informer les visiteurs de ce transfert, et documenter ce choix. Une alternative hébergée en Suisse ou dans l'UE simplifie nettement la conformité.
Combien de temps ai-je pour répondre à une demande d'accès d'un visiteur ?
La loi n'impose pas un délai unique et rigide, mais la pratique et la doctrine retiennent en général un délai raisonnable de l'ordre de 30 jours pour répondre à une demande d'accès, de rectification ou de suppression. Passé ce délai sans réponse ni justification, le visiteur peut saisir le préposé fédéral à la protection des données et à la transparence.
Vous voulez avancer sur ce sujet ?