nLPD et site internet : ce que la loi suisse exige vraiment de votre site
La nLPD, en une phrase
La nLPD — nouvelle loi fédérale sur la protection des données — est entrée en vigueur le 1er septembre 2023. Elle remplace l'ancienne loi de 1992 et rapproche la Suisse du standard européen (le RGPD), sans en être une copie. Son principe est simple : dès que vous traitez des données qui permettent d'identifier une personne, vous avez des obligations. Et un site internet, même modeste, traite presque toujours des données : nom et e-mail dans un formulaire, adresse IP dans les journaux du serveur, identifiants déposés par un outil de statistiques.
Bonne nouvelle : pour une PME romande, se mettre en conformité n'a rien d'insurmontable. La plupart des obligations se règlent au moment de la conception du site, une fois pour toutes.
Les obligations qui concernent directement votre site
Trois d'entre elles se voient (ou se ressentent) côté visiteur :
1 · Le devoir d'information. Vous devez indiquer, de manière compréhensible, qui collecte les données, dans quel but, et à qui elles peuvent être transmises. C'est le rôle d'une politique de confidentialité — une page à part entière, pas trois lignes en pied de page.
2 · La sécurité des données. La loi exige des mesures « appropriées ». Pour un site, cela commence par le HTTPS (le petit cadenas), des mots de passe solides côté administration, des mises à jour régulières et un formulaire qui envoie vos messages de façon chiffrée, sans les stocker n'importe où.
3 · La protection dès la conception. La nLPD introduit les principes de privacy by design et by default : on ne collecte que ce qui est nécessaire, et le réglage le plus protecteur est celui par défaut. En clair, un formulaire ne demande pas dix champs quand deux suffisent, et aucun traceur ne se déclenche avant l'accord du visiteur.
Registre des traitements : votre PME est-elle vraiment obligée ?
On lit souvent qu'il faut tenir un « registre des activités de traitement ». C'est vrai — mais la loi prévoit une exception qui concerne la grande majorité des PME romandes : les entreprises de moins de 250 collaborateurs en sont en principe dispensées, tant que leurs traitements ne présentent pas de risque élevé pour les personnes (par exemple un traitement massif de données sensibles).
Autrement dit : un artisan, un commerce, un cabinet ou une fiduciaire avec un site vitrine et un formulaire de contact n'a, dans la plupart des cas, pas de registre formel à produire. L'obligation d'informer et de sécuriser, elle, reste entière.
Cookies et suivi : le vrai régime suisse
C'est le point le plus mal compris. Contrairement à l'Union européenne et sa directive « ePrivacy », la Suisse n'impose pas de bandeau de consentement pour tous les cookies. Cela ne veut pas dire « tout est permis » :
• Dès que vous posez des traceurs de suivi ou publicitaires (statistiques comportementales, régies), l'information et, en pratique, le consentement deviennent nécessaires.
• Si votre site vise aussi des visiteurs européens, le RGPD s'applique à eux — et lui, exige le bandeau.
• Un cookie strictement fonctionnel (mémoriser la langue, sécuriser une session) est généralement exempté.
Notre parti pris chez WEBORIA est simple et défendable : par défaut, aucun traceur non essentiel. Un site vitrine n'a pas besoin de pister ses visiteurs pour bien fonctionner. Quand des statistiques sont utiles, on privilégie des outils respectueux et on l'explique dans une page cookies honnête. Le résultat : moins de bandeaux agressifs, moins de risque juridique, un site plus rapide.
Hébergement et transferts à l'étranger
La nLPD encadre l'envoi de données hors de Suisse : il n'est autorisé que vers des pays offrant une protection adéquate, ou moyennant des garanties (clauses contractuelles, par exemple). Or beaucoup d'outils web courants hébergent les données aux États-Unis, où des lois d'accès comme le CLOUD Act permettent aux autorités d'exiger des données détenues par des sociétés américaines.
La façon la plus nette d'éviter le sujet est de garder les données en Suisse. C'est le choix de WEBORIA : les sites que nous construisons sont hébergés chez un hébergeur suisse, hors de la portée directe de ces lois étrangères. Ce n'est pas une obligation absolue — des transferts encadrés restent légaux — mais c'est la voie la plus simple et la plus rassurante pour une PME, jusque dans les automatisations et l'IA, que nous concevons également en souveraineté suisse.
Les sanctions visent la personne, pas seulement l'entreprise
C'est la particularité suisse qui surprend le plus. La nLPD prévoit des amendes jusqu'à 250 000 CHF, mais elles sont prononcées contre la personne physique responsable — le dirigeant ou le responsable désigné — et non d'abord contre la société, comme le fait le RGPD européen. Les montants restent inférieurs à ceux de l'Europe, mais le fait qu'ils touchent une personne au portefeuille change la donne. La conformité d'un site n'est donc pas qu'une affaire de juriste : c'est une protection personnelle pour le dirigeant.
Checklist nLPD pour un site de PME romande
| Ce que la nLPD attend | Concrètement sur le site |
|---|---|
| Informer les visiteurs | Une page politique de confidentialité lisible, liée en pied de page |
| Sécuriser les données | HTTPS partout, formulaire chiffré, accès admin protégés |
| Minimiser la collecte | Formulaires courts, aucun champ inutile |
| Maîtriser les cookies | Aucun traceur non essentiel par défaut ; bandeau si suivi |
| Contrôler les transferts | Hébergement suisse, outils tiers choisis avec soin |
| Pouvoir répondre aux demandes d'accès | Un contact clair et un traitement des données traçable |
La bonne nouvelle, répétons-le : sur un site conformément conçu dès le départ, cette liste est déjà cochée le jour de la mise en ligne. C'est exactement ainsi que nous livrons les sites WEBORIA.
Cet article a une visée informative et ne remplace pas un conseil juridique adapté à votre situation. Pour les cas sensibles (données de santé, grands volumes), l'avis d'un spécialiste reste recommandé.
Questions fréquentes
La nLPD s'applique-t-elle vraiment à un simple site vitrine ?
Oui. Dès qu'un site traite des données personnelles — un formulaire de contact, une adresse e-mail, une adresse IP dans les logs, un outil de statistiques — la nLPD s'applique, même à un site vitrine d'une seule page. Ce qui varie selon la taille de l'entreprise, ce sont surtout les formalités internes, pas le principe.
Faut-il obligatoirement une politique de confidentialité sur un site suisse ?
En pratique, oui. La nLPD impose un devoir d'information : la personne dont vous collectez les données doit savoir qui les traite, pourquoi et à qui elles peuvent être transmises. Une page de politique de confidentialité claire est la façon standard de remplir cette obligation.
Mon site a-t-il besoin d'un bandeau de cookies comme en Europe ?
La Suisse n'a pas d'équivalent direct de la loi européenne ePrivacy qui impose le bandeau de consentement. Un bandeau reste néanmoins nécessaire dès que vous utilisez des cookies de suivi (statistiques, publicité) ou si vous visez aussi des visiteurs de l'Union européenne, où le RGPD s'applique. Le plus simple et le plus sûr reste souvent de ne poser aucun traceur non essentiel.
Quelles sanctions risque-t-on en cas de non-conformité ?
La nLPD prévoit des amendes pouvant aller jusqu'à 250 000 francs. Particularité suisse : ces amendes visent en premier lieu la personne physique responsable — le dirigeant ou le responsable désigné — et non uniquement l'entreprise. C'est une raison de plus de traiter le sujet sérieusement.
Un hébergement en Suisse suffit-il à être conforme ?
L'hébergement en Suisse simplifie beaucoup les choses, car les données ne quittent pas le pays et échappent aux lois d'accès étrangères. Mais il ne suffit pas à lui seul : la conformité dépend aussi de la politique de confidentialité, de la sécurité du site, de la gestion des accès et des outils tiers que vous utilisez.
Un site conforme dès le premier jour
Politique de confidentialité, sécurité, hébergement suisse : on intègre la conformité nLPD directement dans la conception. Réponse dans la journée, devis gratuit en CHF.