nLPD et site web : obligations d’une PME suisse
Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) est en vigueur. Si vous avez un site web avec un formulaire de contact, Google Analytics ou des pixels publicitaires, vous avez des obligations. Il faut informer les visiteurs sur les cookies non essentiels et leur permettre de les refuser, publier une politique de confidentialité accessible et ajouter une mention dans chaque formulaire.
Changements apportés par la nLPD
L’ancienne loi datait de 1992. La nLPD, adoptée en 2020 et en vigueur depuis 2023, exige une responsabilité documentée : vous devez pouvoir prouver votre conformité. Un registre des activités de traitement est requis pour les entreprises de 250 collaborateurs ou plus, et pour les plus petites qui traitent des données sensibles à grande échelle ou pratiquent un profilage à risque élevé. Elle s’inspire du RGPD : si vous proposez des biens ou des services à des personnes qui se trouvent dans l’UE, ou si vous suivez leur comportement en ligne, le RGPD peut s’appliquer en plus de la nLPD. Les sanctions sont renforcées, avec des amendes jusqu’à 250'000 CHF, prononcées en principe sur plainte contre les personnes physiques responsables, pour certains manquements intentionnels.
Éléments requis sur votre site
Une information sur les cookies non essentiels (analytics, publicité, réseaux sociaux) et une possibilité de les refuser, bien visible et accessible en quelques clics (art. 45c LTC). Une bannière de consentement devient nécessaire pour les données sensibles, le profilage à risque élevé ou un site qui vise aussi l’UE ; refuser doit alors être aussi facile qu’accepter.
Une politique de confidentialité accessible depuis chaque page, qui liste les données collectées, leur usage, leur durée de conservation et les tiers impliqués.
Une mention dans chaque formulaire de contact, qui indique ce qui est fait des données soumises.
Le cas Google Analytics
Google Analytics transfère des données vers les États-Unis. Depuis le 15 septembre 2024, ce transfert est admis vers les entreprises certifiées au Swiss-US Data Privacy Framework, dont Google LLC, mais Google reste soumise au CLOUD Act. Vos options : garder GA4 en informant les visiteurs, en documentant le transfert et en limitant la collecte (GA4 ne stocke pas les adresses IP), ou passer à un outil alternatif. Le détail des risques juridiques est expliqué dans notre guide GA4 et nLPD.
Des outils comme Matomo (hébergeable en Suisse), Plausible ou Fathom Analytics offrent une alternative sans cookies ; Matomo hébergé en Suisse évite en plus tout transfert hors Suisse. Chez Anorac, nous utilisons Umami, hébergé sur notre propre infrastructure en Suisse, conforme LPD et sans bannière de cookies nécessaire. Nous recommandons cette approche à nos clients.
Vérification de votre site
Ouvrez votre site sans être connecté et vérifiez quatre points. Les cookies non essentiels sont signalés, vous pouvez les refuser facilement, la politique de confidentialité est accessible et, si vous utilisez Google Analytics, un DPA est signé avec Google. Si l’un de ces points manque, votre site présente probablement un défaut de conformité.
Ces exigences relèvent de la souveraineté numérique. Nous intégrons la conformité nLPD dès la conception de votre site web et proposons un audit de votre situation. Discuter de votre projet
À lire aussi : Checklist nLPD : 10 points, Un site conforme nLPD dès le départ, Consentement : Cookiebot, OneTrust ou solution maison, La nouvelle loi nLPD
