Checklist nLPD pour votre site web
La nLPD est en vigueur depuis le 1er septembre 2023 et s’applique à tous les sites qui collectent des données, quelle que soit leur taille. Les 10 points de cette checklist se vérifient sans aide juridique externe. Pour une approche complète dès la conception, voir notre guide sur un site conforme nLPD dès le départ.
Transparence
1. Politique de confidentialité. Accessible depuis toutes les pages (idéalement en pied de page). Elle doit indiquer qui vous êtes, quelles données vous collectez, pourquoi, combien de temps vous les conservez, et avec quels tiers vous les partagez. Si votre dernière mise à jour date d’avant 2023, elle n’est probablement plus conforme.
2. Bannière de cookies. Nécessaire en pratique si vous utilisez Google Analytics, des pixels Meta ou tout autre outil de suivi non essentiel : le visiteur doit être informé et pouvoir refuser, de façon bien visible (art. 45c LTC). Une bannière qui ne propose que « Accepter », sans possibilité de refus, n’est pas conforme. Pour un site qui vise aussi l’UE, refuser doit être aussi facile qu’accepter. Pour choisir un outil de consentement, voir notre comparatif Cookiebot, OneTrust ou solution maison. Mesurer sans cookies dispense de bannière.
3. Formulaires de contact. Chaque formulaire doit indiquer à quoi servent les données collectées. Un lien vers la politique de confidentialité suffit, mais il doit être présent.
4. Mentions légales. Nom de l’entreprise, adresse et adresse e-mail doivent figurer sur votre site dès que vous y proposez des biens ou des services (art. 3, al. 1, let. s LCD). Cette disposition n’exige pas le numéro IDE, mais il est recommandé de l’ajouter.
Collecte et traitement des données
5. Finalité documentée. Contrairement au RGPD, la nLPD n’exige pas de base légale pour chaque traitement effectué par une entreprise : le traitement doit respecter les principes (finalité reconnaissable, proportionnalité, bonne foi). Un motif justificatif, comme le consentement (newsletter), le contrat (livraison) ou un intérêt prépondérant, n’est nécessaire qu’en cas d’atteinte à la personnalité (art. 30 et 31 LPD). Si votre site vise aussi l’UE, le RGPD exige une base légale. Notez la finalité et, le cas échéant, le motif dans un document simple.
6. Durées de conservation. Vous devez savoir combien de temps vous gardez chaque type de données et l’indiquer dans votre politique. Exemples courants : clients, durée du contrat plus 10 ans (raison comptable) ; prospects, 2 ans ; contacts newsletter, 3 ans.
7. Outils tiers et transferts hors Suisse. Listez les outils utilisés sur votre site (Google Analytics, HubSpot, Mailchimp, etc.) et vérifiez si les données partent hors Suisse. Un contrat de sous-traitance (DPA) est requis avec chaque prestataire qui traite des données pour votre compte, en Suisse comme à l’étranger (art. 9 LPD). Si les données partent dans un pays qui n’offre pas un niveau de protection adéquat (annexe 1 OPDo), il faut en plus des garanties comme des clauses contractuelles types (art. 16 LPD). Un hébergement suisse ou un cloud souverain suisse simplifie cette question.
Sécurité
8. HTTPS actif. Votre site doit être accessible uniquement en HTTPS (cadenas dans la barre d’adresse), car il collecte des données.
9. Accès aux données limité. Seules les personnes qui en ont besoin accèdent aux données clients. Un fichier Excel d’adresses e-mail ne doit pas être partagé dans un Drive public.
10. Procédure en cas de violation. Si vous subissez une fuite de données, vous l’annoncez au PFPDT dans les meilleurs délais lorsque le risque pour les personnes concernées est vraisemblablement élevé (art. 24 LPD). Préparer la procédure à l’avance évite d’improviser.
Score rapide
8 à 10 points : vous êtes en bonne posture. 5 à 7 points : des ajustements sont nécessaires, commencez par la politique de confidentialité et la bannière de cookies. Moins de 5 : votre site présente des risques, contactez un spécialiste ou votre agence web.
Nous intégrons ces exigences dès la conception de votre site web, selon notre approche de la souveraineté numérique, et nous réalisons des audits complets.
À lire aussi : nLPD et site web, Un site conforme nLPD dès le départ, La nouvelle loi nLPD, Consentement : Cookiebot, OneTrust ou solution maison
