nLPD et site internet : ce que votre site doit faire
Depuis le 1er septembre 2023, la loi fédérale révisée sur la protection des données (nLPD) s’applique à toutes les entreprises suisses. Votre site internet collecte presque toujours des données personnelles : formulaire de contact, statistiques, cookies, prise de rendez-vous. Voici, point par point, ce qu’il doit prévoir.
Mis à jour le · 7 min de lecture
Pourquoi votre site est concerné
Une donnée personnelle est toute information qui se rapporte à une personne identifiée ou identifiable : un nom, une adresse e-mail, un numéro de téléphone, mais aussi une adresse IP ou un identifiant de cookie. Un simple formulaire de contact ou un outil de statistiques suffit donc à faire entrer votre site dans le champ de la nLPD.
La loi révisée a notamment étendu le devoir d’informer : selon le portail PME de la Confédération, la collecte de toutes les données personnelles, et plus seulement des données sensibles, doit désormais donner lieu à une information préalable.
1. Une déclaration de protection des données à jour
C’est la pièce centrale. Accessible depuis chaque page (généralement dans le pied de page), elle explique aux visiteurs ce que vous faites de leurs données.
- Qui est responsable du traitement, avec vos coordonnées complètes.
- Quelles données sont collectées (formulaires, cookies, statistiques, newsletter) et dans quel but.
- À qui elles sont transmises : hébergeur, outil d’e-mailing, CRM, outil de statistiques.
- Si des données partent à l’étranger, dans quels pays, et sur quelle base.
- Combien de temps elles sont conservées.
- Comment exercer ses droits : accès, rectification, effacement.
2. Des cookies et traceurs proportionnés
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a publié un guide sur les cookies (version 1.1 d’octobre 2025). Il combine la nLPD et l’article 45c de la loi sur les télécommunications : vous devez informer les visiteurs sur les cookies et leurs finalités, et leur permettre de refuser les cookies non essentiels.
Le guide distingue trois niveaux. Les cookies essentiels au fonctionnement du site (panier, connexion, choix de la langue, mémorisation du choix de cookies) sont en principe admis. Les cookies fonctionnels et le profilage publicitaire ordinaire exigent au minimum une possibilité de refus (opt-out) clairement visible. Les usages plus risqués, comme le profilage à risque élevé ou le suivi sur plusieurs sites, exigent un consentement préalable (opt-in).
Le PFPDT recommande aussi que les traceurs non essentiels ne se déclenchent pas au chargement de la page, et qu’une bannière permette des choix séparés par finalité : un simple « tout accepter » ou « tout refuser » ne suffit pas à exprimer une volonté claire. Retirer son consentement doit être aussi simple que le donner.
3. Des statistiques anonymisées autant que possible
Mesurer l’audience de son site reste possible. Le guide du PFPDT admet l’analyse statistique si les données sont anonymisées dès que la finalité le permet, si les résultats ne permettent pas d’identifier les personnes, et si le prestataire tiers ne traite les données que pour votre compte.
En pratique : activez l’anonymisation des adresses IP, limitez la durée de conservation, désactivez les fonctions publicitaires de votre outil de statistiques si vous ne les utilisez pas, et mentionnez l’outil dans votre déclaration de protection des données.
4. Des formulaires qui ne demandent que le nécessaire
La nLPD consacre la protection des données dès la conception (privacy by design) et par défaut (privacy by default) : les réglages les plus protecteurs doivent être actifs sans action de l’utilisateur.
- Ne demandez que les champs utiles à la demande : un nom et un e-mail suffisent souvent.
- N’abonnez personne à une newsletter sans case à cocher volontairement.
- Indiquez près du bouton d’envoi à quoi servent les données, avec un lien vers la déclaration.
- Chiffrez le site (HTTPS) et protégez l’accès à l’administration.
5. Savoir où vont les données
Hébergement, e-mails, CRM, outils de formulaire : chaque prestataire traite des données pour vous. Dressez la liste de ces outils et du pays où ils stockent les données. La transmission vers un pays sans niveau de protection reconnu par le Conseil fédéral demande des garanties supplémentaires, par exemple des clauses contractuelles types.
Héberger le site en Suisse ou dans l’Union européenne simplifie les choses, mais ne règle pas tout : les outils tiers intégrés au site (vidéos, polices, cartes, réservation) peuvent eux aussi transférer des données.
6. Être prêt en cas de faille
Une violation de la sécurité des données (piratage du site, fuite des messages du formulaire) doit être annoncée rapidement au PFPDT lorsqu’elle entraîne vraisemblablement un risque élevé pour les personnes concernées. Gardez vos logiciels à jour, faites des sauvegardes et sachez qui contacter si cela arrive.
Et le registre des activités de traitement ?
La nLPD prévoit un registre des activités de traitement. Selon le portail PME de la Confédération, l’ordonnance prévoit une exemption pour les PME dont les traitements présentent un risque limité pour la personnalité des personnes concernées. Vérifiez votre situation si vous traitez des données sensibles à grande échelle ou faites du profilage à risque élevé.
Ce guide donne une information générale et ne constitue pas un avis juridique. Pour une situation particulière, consultez un juriste spécialisé en protection des données.