La conformité à la nLPD découle de choix faits avant le lancement d’un site : où les données sont hébergées, quels outils tiers sont intégrés, comment les formulaires sont conçus. Corriger ces choix après la mise en ligne coûte plus cher qu’une bonne conception initiale.
Les décisions décrites ici valent pour trois situations : un nouveau site, une reconstruction technique complète ou un changement d’hébergeur.
Le blog détaille la loi, la liste des points à vérifier, le cas de Google Analytics et le fonctionnement général de la nLPD pour un site web. Cet article y ajoute la logique de conception.
Conformité dès la conception
Quand un site est en production depuis deux ans avec Google Analytics, des formulaires sans finalité déclarée et des données hébergées sur des serveurs américains, le chemin vers la conformité est long. Il passe par un audit technique, la refonte des intégrations, la migration des données et la mise à jour contractuelle avec chaque sous-traitant.
Sur une feuille blanche, chaque choix d’architecture a un coût marginal proche de zéro. Choisir Umami plutôt que Google Analytics, un hébergeur suisse plutôt qu’AWS ou un formulaire à finalité claire plutôt qu’un formulaire vague ne rallonge pas le projet.
La nLPD (loi fédérale sur la protection des données, en vigueur depuis le 1er septembre 2023) fixe des principes : vos traitements doivent être licites, transparents et proportionnés. Elle ne prescrit aucune technologie, donc les décisions de conception déterminent la conformité.
Hébergement des données
Un site hébergé sur AWS (États-Unis), Google Cloud ou Azure implique potentiellement un transfert de données hors de Suisse. La nLPD encadre ces transferts : le pays destinataire doit offrir un niveau de protection adéquat, ou des garanties contractuelles doivent être en place.
D’expérience, beaucoup de PME suisses ne savent pas où leurs données sont stockées. Le contrat avec l’hébergeur le précise rarement, et les sous-processeurs (CDN, bases de données, sauvegardes) ajoutent des niveaux supplémentaires.
Le critère le plus simple est un hébergeur dont les serveurs sont physiquement en Suisse, soumis au droit suisse, sans sous-traitants hors Suisse par défaut. Infomaniak (Genève) répond à ce critère. Nous l’utilisons pour nos projets parce que la question des transferts transfrontaliers ne se pose pas.
Notre page sur la souveraineté numérique détaille ce que cela change pour vos données. L’article cloud souverain suisse pour les PME compare les options du marché.
Mesure d’audience sans traceurs tiers
Google Analytics est l’outil de mesure d’audience le plus utilisé en Suisse. Il transfère des données vers les États-Unis : depuis septembre 2024, ce transfert est couvert par le Swiss-US Data Privacy Framework, auquel Google est certifié, mais il reste soumis au CLOUD Act.
Le PFPDT (Préposé fédéral à la protection des données et à la transparence) a publié des orientations sur ce sujet. Notre article Google Analytics et la nLPD résume la position des autorités et les alternatives.
À la conception, choisissez un outil d’analyse sans cookies, hébergé en Suisse ou sur votre propre infrastructure. Umami et Matomo remplissent ces critères. Ils mesurent les visites, les sources de trafic et les conversions sans déposer de cookies de traçage, ce qui vous dispense de bannière de consentement pour cette partie du site.
Notre article analytics sans cookies en Suisse compare ces outils et détaille leur intégration.
Conception des formulaires
Chaque formulaire collecte des données personnelles. La nLPD exige que cette collecte soit justifiée par une finalité claire, proportionnée (pas plus de données que nécessaire) et transparente pour la personne concernée.
Questions à poser avant de créer un champ :
| Question | Ce qu’elle évite |
|---|---|
| Pourquoi collectez-vous cette donnée ? | Collecte sans finalité, non conforme |
| En avez-vous réellement besoin ? | Sur-collecte (champ téléphone obligatoire quand il ne sert pas) |
| Combien de temps la conservez-vous ? | Stockage indéfini, non conforme |
| Qui y a accès en dehors de votre équipe ? | Transfert non déclaré vers un CRM, une newsletter tiers |
| Faut-il un consentement explicite ici ? | Traitement sans motif justificatif |
Pour un formulaire de contact, la nLPD n’exige pas de base légale au sens du RGPD : le traitement est licite s’il respecte les principes, notamment une finalité reconnaissable et la proportionnalité. Le consentement devient nécessaire pour les traitements qui dépassent la finalité première, par exemple ajouter le contact à une liste de newsletter sans lien direct avec sa demande initiale (art. 3, al. 1, let. o LCD). Si votre site vise aussi l’UE, le RGPD exige une base légale, le plus souvent l’intérêt légitime ou l’exécution d’un contrat.
Pour les cas complexes (données sensibles, profilage, marketing automatisé), consultez le PFPDT ou un juriste spécialisé. Nous ne fournissons pas de conseil juridique définitif.
Bannière cookies : quand elle est requise
La bannière de consentement n’est pas obligatoire pour tous les sites. Elle n’est requise que si vous déposez des cookies non essentiels ou des traceurs tiers (Google Analytics, Meta Pixel, outils de chat, etc.).
Un site conçu sans traceur tiers, avec un outil d’analytics sans cookies, peut se passer de bannière, ce qui simplifie l’expérience utilisateur.
Si votre site intègre des outils qui déposent des cookies non essentiels, vous devez informer les visiteurs et leur offrir une possibilité de refus bien visible (art. 45c LTC) : une bannière est le moyen le plus courant. Un consentement est requis pour un site qui vise aussi l’UE, et un consentement exprès pour les données sensibles ou le profilage à risque élevé. Dans ces cas, la bannière doit présenter les choix de façon équilibrée, rendre le refus aussi facile que l’acceptation et ne contenir aucune case pré-cochée. Notre module Anorac Consent gère ces exigences. Notre comparatif Cookiebot, OneTrust ou solution maison détaille les options si vous devez en choisir une.
La liste des points à vérifier sur votre site se trouve dans notre article checklist nLPD en 10 points.
Politique de confidentialité
La nLPD impose une obligation d’information (art. 19 LPD) : les personnes dont vous collectez les données doivent connaître au moins votre identité et vos coordonnées, le but du traitement, les destinataires des données et, si elles partent à l’étranger, les pays concernés. Les données traitées et leur durée de conservation s’y ajoutent en pratique.
Cela se traduit par une politique de confidentialité accessible sur votre site (pied de page, formulaires), rédigée en termes compréhensibles et à jour.
Une politique de confidentialité couvre en pratique :
- Les catégories de données collectées (coordonnées, données de navigation, messages)
- La finalité de chaque traitement
- La durée de conservation
- Les sous-traitants et partenaires qui ont accès aux données, et leur pays s’il est hors Suisse
- Les droits des personnes (accès, rectification, suppression)
- Les coordonnées du responsable du traitement
Rédigez-la au moment de concevoir le site : les informations nécessaires sont disponibles à ce stade, puisque vous savez quels outils vous utiliserez et pourquoi.
Registre des traitements pour les PME
La nLPD introduit une obligation de tenir un registre des activités de traitement. Les entreprises qui emploient moins de 250 collaborateurs au 1er janvier en sont dispensées, sauf si elles traitent des données sensibles à grande échelle ou effectuent un profilage à risque élevé (art. 24 OPDo).
D’expérience, la plupart des PME suisses qui gèrent un site vitrine, un CRM et une newsletter traitent des données à risque faible. Un registre simplifié, même facultatif, aide à documenter votre conformité : un tableau qui liste chaque traitement (site web, CRM, comptabilité, RH), sa finalité, les catégories de données et les personnes qui y ont accès.
Le lancement d’un site est le moment de démarrer le registre : les traitements se documentent au fur et à mesure de leur création, sans reconstitution rétrospective.
Mesures de sécurité
La nLPD impose des mesures techniques et organisationnelles pour protéger les données personnelles. Pour un site web, le minimum au lancement comprend :
- HTTPS sur toutes les pages (certificat TLS valide, HSTS activé)
- Accès à l’administration protégé (authentification forte, pas de mot de passe générique)
- Sauvegardes régulières et testées
- Mise à jour des dépendances (CMS, plugins, bibliothèques)
- Journalisation des accès aux données sensibles
Ces mesures relèvent de la bonne pratique technique, et la nLPD leur donne une portée juridique.
Sous-traitants hors Suisse
Un site web repose rarement sur un seul prestataire, et chaque outil tiers (CRM, emailing, CDN, chat, paiement, vidéo hébergée) est un sous-traitant potentiel. Si cet outil traite des données personnelles de vos visiteurs ou clients depuis des serveurs hors Suisse, les règles de la nLPD sur la communication de données à l’étranger s’appliquent (art. 16 LPD).
Cas fréquents :
| Outil | Risque | Alternative souveraine |
|---|---|---|
| Mailchimp | Données hébergées aux États-Unis | Postal (auto-hébergé en Suisse) |
| Google Analytics | Transfert vers serveurs US | Umami, Matomo |
| Typeform | Formulaires hébergés hors Suisse | Formulaires intégrés sur votre site |
| AWS S3 | Stockage hors Suisse par défaut | S3 Infomaniak (Genève) |
| Intercom, Drift | Données de chat hors Suisse | Outil auto-hébergé |
Un outil tiers reste possible : il faut savoir où vont vos données, le documenter et vérifier que des garanties contractuelles sont en place lorsque le pays de destination n’offre pas un niveau de protection adéquat. Le même principe vaut pour les outils IA utilisés en interne : notre article utiliser l’IA sans exposer les données de vos clients détaille la question.
Points à valider avant la mise en ligne
- Hébergement en Suisse (serveurs physiquement en Suisse, sans sous-traitants hors Suisse par défaut)
- Outil d’analytics sans cookies, ou bannière conforme s’il en dépose
- Formulaires : finalité déclarée, champs limités au nécessaire, durée de conservation définie
- Bannière cookies si et seulement si des cookies non essentiels sont déposés
- Politique de confidentialité accessible, à jour, compréhensible
- Registre des traitements initié (même simplifié)
- HTTPS activé, accès admin sécurisé, sauvegardes en place
- Sous-traitants tiers identifiés, localisés et documentés
- Contrats de sous-traitance signés avec chaque prestataire qui traite des données personnelles
Pour chaque point, notre article checklist nLPD en 10 points donne le détail technique.
À lire aussi : Hébergement web en Suisse, Prix d’un site web en Suisse en 2026, L’IA générative et la communication
Questions fréquentes
La nLPD s’applique-t-elle à toutes les PME suisses, quelle que soit leur taille ?
Oui. La nLPD s’applique à toute personne physique ou morale qui traite des données personnelles dans le cadre d’une activité en Suisse, sans seuil de taille. Les obligations sont modulées selon le risque des traitements : une PME avec un site vitrine et un formulaire de contact est soumise à des obligations plus légères qu’une grande entreprise avec des traitements à risque élevé.
Mon site n’a qu’un formulaire de contact. Faut-il une politique de confidentialité ?
Oui. Dès que vous collectez des données personnelles (nom, adresse email, message), l’obligation d’information s’applique. Une politique de confidentialité courte et claire suffit dans ce cas. Elle doit être accessible depuis le formulaire ou le pied de page.
Google Analytics est gratuit. Peut-on continuer à l’utiliser si on accepte les conditions ?
Les conditions d’utilisation de Google ne suffisent pas à elles seules : il faut informer les visiteurs, documenter le transfert et limiter les données collectées. Notre article Google Analytics et la nLPD détaille la situation et les alternatives.
Faut-il un consentement pour chaque cookie déposé par le site ?
Pour les cookies non essentiels (analytics, marketing, réseaux sociaux), le droit suisse exige en principe une information et une possibilité de refus, pas un consentement (art. 45c LTC) ; le consentement est requis pour un site qui vise aussi l’UE, et un consentement exprès pour les données sensibles ou le profilage à risque élevé. Les cookies strictement nécessaires au fonctionnement du site (session, panier, sécurité) n’en ont pas besoin. Un site sans cookie non essentiel peut se passer de bannière.
Un hébergeur qui « respecte le RGPD » est-il conforme à la nLPD ?
Pas automatiquement. La nLPD est le droit suisse : elle s’applique aux situations qui ont des effets en Suisse et peut diverger du RGPD européen sur certains points. Les pays de l’UE et de l’EEE figurent sur la liste des États qui offrent un niveau de protection adéquat (annexe 1 OPDo) : un hébergement dans l’UE ne demande donc en principe pas de garanties supplémentaires, contrairement à un hébergement dans un pays absent de cette liste. Vérifiez la localisation physique des données et la politique de confidentialité de l’hébergeur.
Anorac Studio peut-il s’occuper de tout cela pour nous ?
Nous concevons les sites en intégrant les choix techniques qui limitent les risques : hébergement Infomaniak, analytics sans cookies, formulaires construits avec une finalité claire, bannière de consentement si nécessaire. La politique de confidentialité et le registre des traitements relèvent de votre responsabilité en tant que responsable du traitement. Pour les questions juridiques complexes, nous vous recommandons de consulter un juriste spécialisé en protection des données.
Vous lancez un nouveau site et souhaitez décider de ces points avant la conception ?
