Données personnelles en Suisse : ce que votre site doit respecter

Depuis le 1^er septembre 2023, la loi fédérale révisée sur la protection des données (nLPD) s'applique en Suisse. Elle concerne tout site qui collecte des données personnelles : formulaire de contact, newsletter, statistiques de visite, espace client. Voici l'essentiel pour une PME.

Ce qui change avec la nLPD

La loi renforce la transparence : les personnes doivent savoir qui collecte leurs données, pourquoi, et à qui elles sont transmises. Elle renforce aussi leurs droits (accès, rectification, suppression) et les obligations de sécurité de l'entreprise.

Les six points à vérifier sur votre site

1. Une politique de confidentialité accessible. Elle indique l'identité et les coordonnées du responsable, les finalités, les destinataires et, le cas échéant, les pays vers lesquels les données sont transférées ;
2. Des formulaires sobres. Ne demandez que ce dont vous avez besoin et expliquez à quoi servent les informations ;
3. Les cookies et outils de mesure. Informez clairement les visiteurs et permettez-leur de s'y opposer. Si vous visez des visiteurs de l'Union européenne, le RGPD est plus strict (consentement préalable) ;
4. Vos prestataires (hébergeur, e-mailing, statistiques) : vérifiez où les données sont stockées et encadrez la relation par un contrat. Pour les transferts vers les États-Unis, la Suisse reconnaît depuis septembre 2024 le cadre « Swiss-U.S. Data Privacy Framework » pour les entreprises certifiées ;
5. La sécurité : HTTPS, mises à jour régulières, accès limités, sauvegardes, mots de passe solides ;
6. Les droits des personnes : prévoyez une adresse et une procédure pour répondre aux demandes d'accès ou de suppression (en principe sous 30 jours).

En cas de fuite de données

Si une violation de la sécurité des données entraîne un risque élevé pour les personnes concernées, elle doit être annoncée dès que possible au Préposé fédéral à la protection des données et à la transparence (PFPDT).

Et les sanctions ?

La nLPD prévoit des amendes pouvant aller jusqu'à 250 000 francs. Elles visent en principe la personne responsable au sein de l'entreprise, en cas de violation intentionnelle de certaines obligations (information, devoir de renseigner, sécurité minimale…).

Faut-il tenir un registre des traitements ?

Les entreprises de moins de 250 collaborateurs en sont en principe dispensées, sauf traitement à grande échelle de données sensibles ou profilage à risque élevé. Cela ne dispense pas de savoir quelles données vous collectez et pourquoi.

Les rubriques d'une politique de confidentialité

• L'identité et les coordonnées du responsable ;
• Les données traitées et les finalités de chaque traitement ;
• Les destinataires et sous-traitants (hébergeur, e-mailing, statistiques) ;
• Les transferts éventuels de données à l'étranger ;
• La durée de conservation ;
• Les cookies et outils de mesure, et comment s'y opposer ;
• Les droits des personnes et le contact pour les exercer.

Checklist technique pour votre site

• Site en HTTPS, mis à jour régulièrement ;
• Polices et ressources hébergées sur votre site plutôt que chargées depuis des services externes ;
• Formulaire minimal et message expliquant l'usage des informations ;
• Aucun outil de suivi installé sans information claire ;
• Sauvegardes et accès limités au strict nécessaire ;
• Contrats avec les prestataires qui traitent des données pour vous.

Ce que nous prévoyons sur vos sites

Lors de la création d'un site, nous prévoyons les pages Mentions légales et Politique de confidentialité, à compléter avec vos informations réelles, ainsi qu'un hébergement et des formulaires configurés avec sobriété. Pour un avis juridique ou un audit de conformité, nous vous recommandons de vous adresser à un juriste. Une question sur votre site ? Écrivez-nous.

Sources et pour aller plus loin

• Fedlex : loi fédérale sur la protection des données (LPD)
• PFPDT : Préposé fédéral à la protection des données et à la transparence

FAQ