nLPD suisse pour les sites de PME : les principales obligations expliquées simplement

La loi fédérale révisée sur la protection des données (nLPD) est en vigueur depuis le 1er septembre 2023 et concerne pratiquement toutes les entreprises exploitant un site web avec formulaire de contact, newsletter ou suivi – quelle que soit leur taille.

Les obligations essentielles en un coup d'œil

Les obligations essentielles en bref : une politique de confidentialité claire et à jour (devoir d'information), des accords contractuels appropriés avec les prestataires tiers tels que l'hébergement, l'analyse de trafic ou les outils d'e-mail (sous-traitance), et – à partir d'une certaine taille ou en cas de données particulièrement sensibles – un registre des activités de traitement. En cas de violation de la sécurité des données à haut risque, une obligation de notification au Préposé fédéral à la protection des données et à la transparence (PFPDT) s'applique également.

S'y ajoutent les droits des personnes concernées : toute personne visitant un site peut en principe demander quelles données sont conservées à son sujet, exiger la rectification de données erronées ou en demander la suppression. Ignorer de telles demandes, ou y répondre trop lentement, constitue déjà une violation d'une obligation essentielle de la loi.

Ce que cela signifie concrètement au quotidien

Ce qui compte concrètement au quotidien : les formulaires de contact ne devraient demander que les données réellement nécessaires à la demande (limitation de la finalité), avoir une durée de conservation raisonnable, et tout outil de suivi ou de cookies doit être communiqué de manière transparente. L'hébergement suisse n'est pas obligatoire, mais il simplifie sensiblement l'évaluation des flux de données vers l'étranger.

Ce qui est en jeu en cas de manquement

Contrairement au RGPD européen, la nLPD ne sanctionne pas directement les entreprises – en cas de violation intentionnelle, c'est la personne responsable qui engage sa responsabilité pénale personnelle, avec des amendes pouvant atteindre CHF 250'000 dans les cas graves. C'est une différence importante par rapport au régime européen, mais cela ne change rien au sérieux avec lequel ces obligations doivent être traitées.

Transferts internationaux de données

Lorsque des données sont transmises à des prestataires à l'étranger – par exemple un service d'e-mail marketing ou un outil d'analyse basé hors de Suisse –, la nLPD exige de vérifier si le pays de destination offre un niveau de protection adéquat. Le Conseil fédéral tient une liste des pays reconnus ; l'UE/EEE est en principe considérée comme adéquate. En l'absence d'adéquation, des garanties contractuelles supplémentaires sont nécessaires, par exemple des clauses contractuelles types.

Quand une analyse d'impact relative à la protection des données est nécessaire

Une analyse d'impact relative à la protection des données est obligatoire lorsqu'un traitement prévu présente vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées – par exemple en cas de profilage systématique, de traitement à grande échelle de données personnelles particulièrement sensibles, ou de surveillance systématique d'espaces accessibles au public. Pour la plupart des sites de PME simples avec formulaire de contact et analyse standard, ce n'est généralement pas le cas, mais une vérification rapide en début de projet apporte de la clarté.

Bien utiliser les bandeaux de cookies

La nLPD elle-même n'impose pas de design précis pour le bandeau de cookies, mais exige de la transparence : les visiteurs doivent être informés avant le dépôt de cookies non essentiels (par exemple marketing ou suivi) et pouvoir s'y opposer ou y consentir. Les cookies techniquement nécessaires, par exemple pour le panier d'achat ou le choix de la langue, ne nécessitent pas de consentement.

Mon avis : c'est exactement pour cette raison que je mise volontairement sur un hébergement en Suisse et sur le moins de services tiers possible. Cet aperçu ne remplace pas un conseil juridique individuel – pour la rédaction contraignante de votre propre politique de confidentialité, je recommande toujours une vérification par un professionnel qualifié.

Sandro Geissmann | Geissmann Webconsulting

Tous les articles constituent des informations générales et ne remplacent pas un conseil juridique ou professionnel individuel.