Déclaration de protection des données pour votre site web : ce qu’exige la nLPD en Suisse

Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) s’applique en Suisse. Quiconque collecte des données personnelles via un site web, par exemple avec un formulaire de contact, un outil d’analyse, une newsletter ou simplement les journaux du serveur web, doit en informer les visiteurs (art. 19 LPD). En pratique, on le fait avec une déclaration de protection des données accessible depuis chaque page. Elle indique au minimum le responsable et ses coordonnées, les finalités du traitement, les destinataires et, en cas de communication à l’étranger, les États et les garanties.

Cet article est une information générale et ne constitue pas un conseil juridique. Pour votre cas concret, adressez-vous à un spécialiste du droit de la protection des données.

Ce qui a changé avec la nLPD

• La loi (RS 235.1) et l’ordonnance sur la protection des données OPDo (RS 235.11) s’appliquent depuis le 1er septembre 2023.
• Seules les données des personnes physiques sont encore protégées, plus celles des entreprises et autres personnes morales.
• Le devoir d’informer s’applique à toute collecte de données personnelles. Auparavant, dans le secteur privé, il ne concernait que les données sensibles et les profils de la personnalité.
• Celui qui viole intentionnellement le devoir d’informer peut être puni, sur plainte, d’une amende allant jusqu’à CHF 250’000 (art. 60 LPD). L’amende vise la personne responsable, p. ex. la directrice ou le propriétaire.
• Les violations de la sécurité des données entraînant vraisemblablement un risque élevé pour les personnes concernées doivent être annoncées au PFPDT dans les meilleurs délais (art. 24 LPD).
• Les entreprises tiennent un registre des activités de traitement (art. 12 LPD). Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf si elles traitent des données sensibles à grande échelle ou effectuent un profilage à risque élevé (art. 24 OPDo).

Les informations obligatoires selon l’art. 19 LPD

L’art. 19 exige toutes les informations nécessaires pour que les personnes concernées puissent faire valoir leurs droits et que la transparence du traitement soit garantie. Au minimum, il s’agit des indications suivantes :

Pas expressément exigé par la loi, mais recommandé et courant en pratique : quelles données vous collectez en détail, combien de temps vous les conservez, quels droits ont les personnes concernées (notamment le droit d’accès selon l’art. 25 LPD, la rectification et l’effacement), quels cookies et services vous utilisez et comment s’y opposer, ainsi que la date de la dernière modification.

Dans ses indications sur les déclarations de protection des données sur internet, le PFPDT recommande une présentation par niveaux : d’abord un aperçu court et compréhensible, puis les détails. La déclaration doit être facilement accessible depuis chaque page, exister dans toutes les langues du site et éviter les formulations vagues comme « dans certaines circonstances ».

Conseil: La déclaration doit correspondre à la réalité. Avant de la rédiger, vérifiez quels services votre site charge réellement, p. ex. dans les outils de développement du navigateur, onglet « Réseau ». Les modèles sont un début, mais ne remplacent pas cet inventaire.

Cookies, analyse et services intégrés

La LPD n’impose pas de bannière de cookies. La disposition déterminante est l’art. 45c de la loi sur les télécommunications (LTC) : quiconque traite des données sur l’appareil des visiteurs, p. ex. avec des cookies, doit les informer du traitement et de sa finalité et leur indiquer qu’ils peuvent le refuser. Le PFPDT a précisé sa position dans un guide sur les cookies et technologies similaires (version 1.1 du 6 octobre 2025). La LPD exige un consentement exprès pour le traitement de données sensibles et pour le profilage à risque élevé (art. 6 al. 7 LPD).

• Cookies techniquement nécessaires, p. ex. pour la session, le panier ou la langue : une information dans la déclaration suffit.
• Statistiques, p. ex. avec Matomo ou Google Analytics : les décrire dans la déclaration, permettre un refus simple et indiquer les garanties pour les fournisseurs à l’étranger.
• Marketing et suivi sur plusieurs sites, comme les pixels publicitaires et le remarketing : selon le guide du PFPDT, un consentement est en règle générale nécessaire.
• Contenus intégrés comme les vidéos YouTube, Google Maps, les polices chargées depuis des serveurs tiers ou les plugins de réseaux sociaux : ils transmettent l’adresse IP au fournisseur dès le chargement. Intégrez les polices localement et ne chargez cartes ou vidéos qu’après un clic.

Concevez une bannière loyale : refuser doit être aussi simple qu’accepter, sans boutons cachés ni cases précochées. Si vous avez des visiteurs de l’UE, les règles européennes exigent de toute façon un consentement préalable pour les cookies non nécessaires. C’est pourquoi de nombreux sites suisses demandent le consentement de tous les visiteurs.

Formulaire de contact, newsletter et journaux du serveur

• Formulaire de contact : ne demandez que ce dont vous avez besoin pour répondre et indiquez la finalité et la durée de conservation. Le formulaire doit passer par HTTPS. Une protection antispam comme Google reCAPTCHA transmet des données à Google et doit figurer dans la déclaration.
• Newsletter : faites confirmer l’inscription par un lien de confirmation (double opt-in) afin de pouvoir prouver le consentement, et proposez la désinscription dans chaque envoi. Selon l’art. 3 al. 1 let. o LCD, la publicité de masse par e-mail suppose en principe un consentement préalable. Citez le service d’envoi comme destinataire.
• Journaux du serveur : à chaque requête, le serveur web enregistre notamment l’adresse IP, l’heure, la page consultée et le navigateur. Cela sert à l’exploitation et à la sécurité et doit figurer dans la déclaration avec la durée de conservation.
• Boutique en ligne et compte client : prestataires de paiement, services d’expédition et logiciel de comptabilité sont des destinataires et doivent être cités.

Hébergeur et autres prestataires : la sous-traitance

Votre hébergeur, votre service de newsletter ou votre CRM traitent des données personnelles sur votre mandat. Selon l’art. 9 LPD, c’est admis si un contrat ou la loi le prévoit, si le prestataire ne traite les données que comme vous pourriez le faire vous-même et si vous vous assurez qu’il garantit la sécurité des données. Il ne peut faire appel à d’autres sous-traitants qu’avec votre autorisation préalable. Ces règles figurent souvent dans les conditions générales ou dans un contrat de sous-traitance séparé.

En cas de communication de données à l’étranger, l’art. 16 LPD s’applique : sans autre mesure, elle est possible vers les États dont le Conseil fédéral a reconnu la protection des données comme adéquate. La liste figure à l’annexe 1 de l’OPDo et comprend notamment les États de l’UE et de l’EEE. Pour les autres États, il faut des garanties appropriées, le plus souvent des clauses contractuelles types reconnues par le PFPDT. Pour les États-Unis, le Conseil fédéral reconnaît depuis le 15 septembre 2024 les entreprises certifiées selon le Swiss-U.S. Data Privacy Framework. Dans la déclaration, citez les États et les garanties correspondantes.

Quand le RGPD s’applique aussi

Selon son art. 3 al. 2, le règlement général sur la protection des données de l’UE s’applique aussi aux entreprises suisses qui proposent de manière ciblée des biens ou des services à des personnes dans l’UE ou qui observent leur comportement, p. ex. avec un outil de suivi. Les livraisons dans l’UE, des prix en euros ou de la publicité visant des pays de l’UE sont des indices d’une offre ciblée. Au Liechtenstein, État de l’EEE, le RGPD s’applique directement.

Le RGPD exige davantage d’informations que la LPD, notamment la base juridique de chaque traitement, la durée de conservation, tous les droits des personnes concernées et le droit d’introduire une réclamation auprès d’une autorité de contrôle (art. 13 RGPD). Selon l’ampleur, un représentant dans l’UE peut aussi être nécessaire (art. 27 RGPD).

Conseil: De nombreuses PME rédigent une seule déclaration couvrant à la fois la LPD et le RGPD. Vous ne tenez ainsi qu’un document à jour et êtes prêt pour les visiteurs de l’UE.

Liste de contrôle pour votre site

1. Inventaire : quelles données personnelles collectez-vous et où ? Formulaires, boutique, newsletter, journaux, analyse, contenus intégrés, chat.
2. Recenser tous les services externes avec le siège du fournisseur et vérifier si l’État figure sur la liste de l’annexe 1 de l’OPDo ou quelles garanties existent.
3. Rédiger la déclaration avec les indications de l’art. 19 LPD, complétées par les droits, la conservation et le contact.
4. Placer le lien dans le pied de page de chaque page, dans toutes les langues du site.
5. Vérifier les cookies : permettre le refus, obtenir le consentement pour le suivi et pour les visiteurs de l’UE.
6. Vérifier les contrats de sous-traitance avec l’hébergeur et les prestataires.
7. HTTPS sur tout le site, formulaires compris.
8. Clarifier si vous devez tenir un registre des activités de traitement.
9. Définir les procédures pour les demandes d’accès, en règle générale à traiter dans les 30 jours (art. 18 OPDo), et pour les violations de la sécurité des données.
10. Revoir la déclaration chaque année et à chaque nouveau service, et mettre à jour la date de modification.

Les textes de loi se trouvent dans le recueil officiel sur fedlex.admin.ch (LPD : RS 235.1, OPDo : RS 235.11, LTC : RS 784.10). Le PFPDT propose indications, guides et le portail d’annonce des violations de la sécurité des données sur edoeb.admin.ch.

Chez HostOn, la sous-traitance des données que vous stockez dans votre hébergement web, vos boîtes e-mail et vos serveurs est réglée dans les conditions générales (ch. 14). Des certificats SSL gratuits pour tous les domaines sont inclus dans chaque offre d’hébergement web, dès Hébergement web Rigi à CHF 11.90 par mois TVA incluse, de sorte que les formulaires sont transmis chiffrés dès le départ.