Site suisse avec des clients en Italie : LPD et RGPD, bannière cookies et domaine

Si un site tessinois vise aussi de manière ciblée une clientèle en Italie, le règlement général européen sur la protection des données (RGPD) s’applique en règle générale en plus de la loi suisse sur la protection des données (LPD). Concrètement, il vous faut une déclaration de protection des données valable pour les deux lois, une bannière cookies avec consentement préalable pour les outils non nécessaires et, selon les cas, un représentant dans l’UE. Cet article est une information générale et non un conseil juridique.

Quand un site suisse doit-il respecter le RGPD ?

Le RGPD s’applique aussi aux entreprises sans établissement dans l’UE si elles proposent des biens ou des services à des personnes se trouvant dans l’UE ou si elles suivent leur comportement, par exemple avec des outils de suivi et de la publicité ciblée (art. 3, par. 2 RGPD). Pour un site tessinois, la langue italienne ne suffit pas, car c’est la langue du canton. Comptent plutôt des indices comme ceux-ci :

• des prix aussi en euros ou des livraisons en Italie ;
• un domaine .it ou une section dédiée à l’Italie ;
• un numéro de téléphone ou une adresse de contact en Italie ;
• des campagnes publicitaires destinées à des internautes en Italie, par exemple en Lombardie ou au Piémont ;
• des références explicites à la clientèle italienne, comme « livraison à Milan en 48 heures ».

Un restaurant d’Ascona qui reçoit de temps en temps des réservations de vacanciers italiens n’est pas dans la même situation qu’un bureau de conseil de Chiasso qui recherche activement des clients à Côme et à Varèse. En cas de doute, mieux vaut configurer le site pour qu’il respecte les deux lois : les différences pratiques sont plus faibles qu’on ne le pense.

LPD et RGPD comparés : les différences qui comptent

En résumé : le RGPD est plus strict sur les cookies et les bases juridiques. Si vous respectez le RGPD, vous respectez dans la plupart des cas aussi la LPD, à condition que votre déclaration contienne aussi les indications exigées par le droit suisse, par exemple les pays vers lesquels des données sont communiquées.

Représentant dans l’UE : vraiment nécessaire ?

Qui relève du RGPD sans établissement dans l’UE doit en règle générale désigner par écrit un représentant dans l’UE (art. 27 RGPD). L’obligation ne s’applique pas si le traitement est occasionnel, ne porte pas à grande échelle sur des catégories particulières de données et n’est pas susceptible d’engendrer un risque pour les personnes concernées. Pour un petit site avec formulaire de contact, cette exception peut suffire ; pour une boutique en ligne qui vend régulièrement en Italie, avec comptes clients et newsletter, le plus souvent non. Des prestataires spécialisés proposent ce service de représentation.

Bannière cookies : une seule solution pour la Suisse et l’Italie

L’autorité italienne de protection des données (Garante) a fixé des règles précises dans ses lignes directrices sur les cookies du 10 juin 2021. Les plus importantes pour la bannière :

• les cookies techniques (session, panier, langue) ne nécessitent pas de consentement ;
• les statistiques qui identifient les utilisateurs, la publicité et les réseaux sociaux exigent un consentement préalable : le script ne démarre qu’après un clic sur « Accepter » ;
• le défilement de la page ne vaut pas consentement ;
• fermer la bannière avec la croix revient à garder les réglages par défaut, donc à refuser les cookies non nécessaires ;
• la bannière ne doit pas réapparaître avant six mois, sauf changement important ;
• le choix doit pouvoir être modifié à tout moment, par exemple via un lien en pied de page.

En Suisse, une information et une possibilité de refus suffisent en principe. Afficher deux bannières différentes selon la provenance des visiteurs est toutefois compliqué et peu fiable : la localisation par adresse IP se trompe souvent pour les frontaliers et sur les réseaux mobiles proches de la frontière. Le plus simple est une seule bannière avec consentement préalable pour tout le monde.

Conseil: Testez la bannière dans une fenêtre de navigation privée : dans l’onglet Réseau des outils de développement, aucune requête vers Google Analytics, Meta ou un service similaire ne doit apparaître avant le clic sur « Accepter ».

Une déclaration de protection des données pour les deux lois

Une seule déclaration, en italien et dans les autres langues du site, peut couvrir la LPD et le RGPD si elle contient :

1. le responsable du traitement avec adresse et contact et, s’il est désigné, le représentant dans l’UE ;
2. les données collectées, leurs finalités et, pour le RGPD, la base juridique ;
3. les destinataires et prestataires (hébergement, newsletter, paiements, statistiques) et les pays où ils se trouvent ;
4. la durée de conservation ou les critères pour la déterminer ;
5. les droits des personnes concernées (accès, rectification, effacement, opposition, portabilité) ;
6. le droit de recours auprès du PFPDT et, pour les personnes dans l’UE, auprès de l’autorité de contrôle compétente, en Italie le Garante.

Les transferts entre la Suisse et l’Italie ne nécessitent pas de garanties supplémentaires : l’UE reconnaît à la Suisse un niveau de protection adéquat, confirmé par la Commission européenne en janvier 2024, et la Suisse reconnaît la même chose aux États de l’UE. Pour les prestataires aux États-Unis, vérifiez s’ils sont certifiés selon le Data Privacy Framework.

Domaine .ch ou .it pour la clientèle en Italie ?

Pour une entreprise tessinoise, le .ch reste en général le domaine principal : il est connu, bon marché et n’a pas besoin d’explication. Un .it peut être utile si vous voulez aussi vous présenter comme fournisseur sur le marché italien, par exemple avec des prix en euros et une section dédiée.

• Qui peut enregistrer un .it : selon le registre italien (nic.it), les personnes majeures et les organisations ayant la nationalité, la résidence ou le siège dans l’Espace économique européen, au Vatican, à Saint-Marin, en Suisse ou au Royaume-Uni. Une entreprise tessinoise peut donc l’enregistrer ; vérifiez tout de même les conditions actuelles sur nic.it avant de commander.
• Un .it ne change pas les règles de protection des données, mais c’est un signe fort que vous visez le marché italien : dès lors, le RGPD s’applique presque à coup sûr.
• Pour les moteurs de recherche, vous pouvez utiliser un seul site avec des versions linguistiques signalées par hreflang, par exemple it-CH pour la Suisse et it-IT pour l’Italie, ou rediriger le .it vers la section italienne du site .ch.
• Chez HostOn, un .it coûte CHF 23.90 par an et un .ch CHF 14.90 par an, enregistrement et renouvellement au même prix (TVA incluse, état : octobre 2026).

Check-list pour votre site

1. Évaluer si le site vise activement une clientèle en Italie.
2. Bannière cookies avec consentement préalable et refus tout aussi simple.
3. Une seule déclaration pour la LPD et le RGPD, avec bases juridiques et pays des prestataires.
4. Représentant dans l’UE, si l’exception ne s’applique pas.
5. Contrats de sous-traitance avec l’hébergeur, l’outil de newsletter et l’outil de statistiques.
6. Procédure interne en cas de violation de données : qui annonce quoi, à qui et dans quel délai.
7. Certificat SSL sur toutes les pages et formulaires transmis uniquement via HTTPS.

Chez HostOn, vous gérez domaines .ch et .it, hébergement et boîtes e-mail dans le même espace client, et le certificat SSL est inclus gratuitement dans toutes les offres d’hébergement et renouvelé automatiquement.