nLPD et site internet : la déclaration de confidentialité d’un site vitrine suisse

Votre site vitrine a un formulaire de contact, peut-être des statistiques de visite ou une carte pour trouver votre atelier. Depuis l’entrée en vigueur de la nouvelle loi sur la protection des données, beaucoup de dirigeants de PME à Genève, à Fribourg ou à Sion se demandent ce que cela change pour leur site, et ce que doit dire la fameuse déclaration de confidentialité.

Je crée des sites internet pour de petites entreprises, dont des entreprises suisses, et la page de confidentialité fait partie de ce que je mets en place avec elles avant la mise en ligne. Ce guide dit ce que la loi demande à un site vitrine, où elle le dit, et comment se construit la déclaration rubrique par rubrique. Ce n’est pas un conseil juridique : pour un cas particulier, référez-vous au Préposé fédéral à la protection des données et à la transparence (PFPDT) ou à un juriste.

Ce que la loi demande, et à qui

La « nLPD », c’est la loi fédérale du 25 septembre 2020 sur la protection des données (LPD), numéro 235.1 du recueil systématique du droit fédéral. Elle est entrée en vigueur le 1er septembre 2023, avec son ordonnance d’application, l’ordonnance sur la protection des données (OPDo). Elle a remplacé la loi de 1992.

Elle protège les données des personnes physiques : le nom, l’adresse e-mail ou le numéro de téléphone d’un visiteur, d’un client, d’un employé. Elle s’applique aux personnes privées, donc à votre entreprise, quelle que soit sa taille. Et elle vaut pour tout ce qui déploie des effets en Suisse, même si cela se passe à l’étranger (article 3) : un site hébergé hors de Suisse ne vous en dispense pas.

Pour un site vitrine, l’obligation centrale tient en un article. L’article 19 impose au responsable du traitement, c’est-à-dire vous, d’informer la personne « de manière adéquate » quand vous collectez ses données. La déclaration de confidentialité est la forme que prend cette information sur un site.

Source officielle : la loi fédérale sur la protection des données (LPD), article 19, sur Fedlex

Ce que votre site collecte sans que vous y pensiez

Un site vitrine qui ne vend rien traite pourtant presque toujours des données personnelles :

• le formulaire de contact : nom, e-mail, téléphone, contenu du message, souvent envoyés dans une boîte mail gérée par un prestataire ;
• les statistiques de visite : selon l’outil, des cookies ou des informations sur l’appareil du visiteur ;
• les cookies posés par le site lui-même ou par des services intégrés ;
• une carte, une vidéo ou un bouton de réseau social intégré dans une page : le service qui les fournit reçoit des informations sur le visiteur dès l’affichage ;
• l’inscription à une lettre d’information, si vous en proposez une ;
• l’hébergement : le serveur qui affiche votre site enregistre souvent des informations techniques sur chaque visite.

Le travail commence donc par un inventaire : quels services tournent sur le site, qui les fournit, et où ils sont installés.

À lire aussi : le formulaire de contact d’un site internet

La déclaration de confidentialité, rubrique par rubrique

L’article 19 donne le minimum à communiquer. L’ordonnance (article 13 OPDo) ajoute que l’information doit être concise, transparente, compréhensible et facilement accessible. Autrement dit : des phrases simples. Voici les rubriques, dans l’ordre où je les vois le plus souvent.

1. Qui est responsable

L’identité et les coordonnées du responsable du traitement (article 19, alinéa 2, lettre a) : le nom de l’entreprise, son adresse, une adresse e-mail à laquelle écrire pour toute question sur les données.

2. Quelles données, et pour quoi faire

La finalité du traitement (lettre b), service par service. « Les données du formulaire servent uniquement à répondre à votre demande. » « Les statistiques servent à savoir quelles pages sont consultées. » La loi demande que les données soient collectées pour des finalités reconnaissables par la personne (article 6) : mon conseil, écrire une phrase concrète par service plutôt qu’une formule vague comme « améliorer nos services ».

3. À qui elles sont transmises

Le cas échéant, les destinataires ou les catégories de destinataires (lettre c) : votre hébergeur, le service de messagerie qui reçoit les messages du formulaire, l’outil de statistiques, le fournisseur de la carte intégrée.

4. Si elles partent à l’étranger

Quand des données sont communiquées à l’étranger, il faut indiquer le nom de l’État et, le cas échéant, les garanties prévues ou l’exception utilisée (article 19, alinéa 4). C’est la rubrique la plus souvent oubliée : je la détaille plus bas.

5. Durée de conservation et droits

La durée de conservation n’est pas dans la liste minimale de l’article 19, mais la loi veut que les données soient détruites ou anonymisées dès qu’elles ne sont plus nécessaires (article 6) : l’indiquer est simple et utile. Toute personne peut aussi demander si vous traitez des données la concernant (article 25) ; la réponse est en principe gratuite et donnée, en règle générale, dans les 30 jours. Indiquez à quelle adresse écrire.

Les prestataires à l’étranger

Votre hébergeur, votre outil de statistiques ou votre service de lettre d’information traitent des données pour votre compte : la loi parle de sous-traitance (article 9). Elle est permise si un contrat la prévoit, et vous restez tenu de vous assurer que le prestataire garantit la sécurité des données.

Si ce prestataire est installé hors de Suisse, l’article 16 s’ajoute. La communication est permise vers un État dont le Conseil fédéral a constaté qu’il assure un niveau de protection adéquat. La liste figure à l’annexe 1 de l’OPDo ; on y trouve par exemple la France, l’Allemagne et l’Italie. Vers un autre pays, il faut des garanties, par exemple des clauses types de protection des données reconnues par le PFPDT, ou l’une des exceptions de l’article 17. Cette liste évolue : vérifiez-la sur Fedlex.

Source officielle : l’ordonnance sur la protection des données (OPDo) et sa liste des États, sur Fedlex

À lire aussi : l’hébergement d’un site internet

Cookies et bandeau : la règle suisse

La règle sur les cookies ne vient pas de la LPD seule. Elle figure aussi dans la loi sur les télécommunications (LTC), à l’article 45c, en vigueur depuis 2007. Selon le guide du PFPDT sur les cookies (22 janvier 2025, adapté le 6 octobre 2025), l’exploitant d’un site doit informer les visiteurs de l’utilisation de cookies et de leurs objectifs, et leur indiquer qu’ils peuvent refuser, et de quelle manière.

Le guide distingue les cookies essentiels, sans lesquels le site ne fonctionnerait pas ou ne serait pas sûr, des autres. Pour les cookies non essentiels, l’exploitant doit soit justifier leur usage par un intérêt prépondérant, soit obtenir le consentement des visiteurs ; dans tous les cas, le visiteur doit pouvoir s’y opposer, de façon bien visible et en quelques clics, dès sa première visite. Le consentement doit être exprès quand il s’agit de données sensibles ou d’un profilage à risque élevé.

Pour les statistiques de visite, le guide admet un intérêt prépondérant si les données sont rendues anonymes dès que possible et si l’outil ne les traite que pour votre compte. La conclusion pratique : le PFPDT ne fait pas du bandeau une obligation en soi, mais l’information et la possibilité de refuser le sont.

Source officielle : le site du Préposé fédéral à la protection des données et à la transparence (PFPDT)

À lire aussi : les statistiques d’un site internet

Où placer la déclaration sur le site

La loi demande une information facilement accessible au moment de la collecte, pas un emplacement précis. L’usage : un lien « Protection des données » ou « Confidentialité » en pied de page, sur toutes les pages, et une phrase courte sous le formulaire de contact, avec un lien vers la déclaration.

La déclaration de confidentialité n’est pas l’impressum. L’impressum dit qui est l’entreprise et repose sur la loi contre la concurrence déloyale ; la déclaration dit ce que le site fait des données et repose sur la LPD. Les deux se lient en pied de page, mais restent deux pages distinctes.

L’autre page à prévoir : l’impressum d’un site internet suisse

La nLPD n’est pas le RGPD

Le RGPD est le règlement européen ; la LPD est la loi suisse. Elles se ressemblent, mais plusieurs différences comptent pour une petite entreprise :

• la LPD ne demande pas de recueillir un consentement pour chaque traitement : elle demande d’informer, de respecter des principes (bonne foi, proportionnalité, finalité, article 6) et d’assurer la sécurité des données (article 8) ; le consentement n’est exigé que dans certains cas ;
• les entreprises de moins de 250 collaborateurs sont dispensées de tenir un registre des activités de traitement, sauf traitement à grande échelle de données sensibles ou profilage à risque élevé (article 12 LPD et article 24 OPDo) ;
• une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé s’annonce au PFPDT « dans les meilleurs délais » (article 24), sans délai chiffré dans la loi.

Une entreprise suisse dont le site vise aussi des clients dans l’Union européenne peut relever également du RGPD. Dans ce cas, faites vérifier ce qui s’applique à votre situation, et ne recopiez pas une déclaration rédigée pour un site français sans l’adapter.

Le cas européen, en détail : le RGPD et le site internet d’une petite entreprise

Ce que l’on risque

L’article 60 de la LPD punit d’une amende de 250 000 francs au plus les personnes privées qui omettent intentionnellement d’informer la personne concernée comme le demande l’article 19, ou qui donnent intentionnellement des informations inexactes ou incomplètes. Trois points à retenir : il faut une plainte, il faut une intention, et l’amende vise en principe la personne responsable, pas l’entreprise en tant que telle.

Les erreurs que je rencontre le plus souvent

• Copier la déclaration d’un concurrent : elle décrit ses outils, pas les vôtres.
• Partir d’un modèle et ne jamais l’adapter : des rubriques sur une boutique ou une application que vous n’avez pas, et rien sur votre carte intégrée.
• Ajouter un outil après coup (statistiques, prise de rendez-vous, lettre d’information) sans mettre la déclaration à jour.
• Afficher un bandeau de cookies qui n’offre aucun moyen réel de refuser.

Comment je peux vous aider

Je crée des sites internet pour de petites entreprises et je travaille à distance pour des entreprises de France, de Suisse et de Belgique, du premier échange à la mise en ligne. Concrètement, je réalise :

• un site vitrine qui présente votre entreprise, vos services et vos coordonnées, adapté au téléphone
• une boutique en ligne, si vous voulez vendre vos produits directement
• une application ou un outil sur mesure, quand un tableur ou un logiciel standard ne suffit plus
• la refonte d’un site ancien ou difficile à modifier
• la maintenance du site dans la durée

Sur la protection des données, mon rôle est technique : je publie la déclaration de confidentialité que vous me fournissez, rédigée ou validée par vous ou par votre conseil, je place le lien en pied de page et sous le formulaire, et je vous dis quels services le site utilise. Je ne rédige pas de texte juridique.

Pour un site vitrine simple (présentation, services, contact), je propose un site vitrine clé en main à 100 €, payé une seule fois, adapté au téléphone et mis en ligne par mes soins 5 jours ouvrés après réception de vos textes et de vos photos ; le nom de domaine et l’hébergement restent à part. Le prix est en euros.

Vous pouvez d’abord regarder mes réalisations sur mon portfolio, puis m’écrire depuis le formulaire de contact. L’échange est gratuit, et pour un projet qui va au-delà, je vous envoie un devis détaillé sous 24 h, sans engagement.

L’offre à 100 € : le site vitrine clé en main

La preuve par l’exemple : voir mes réalisations

Un projet à Genève, à Fribourg ou ailleurs en Suisse ? Écrivez-moi, l’échange est gratuit

Pour prévoir le budget : le prix d’un site internet en Suisse romande

Questions fréquentes

En résumé

Depuis le 1er septembre 2023, la loi fédérale sur la protection des données demande à tout site qui collecte des données personnelles d’informer ses visiteurs : qui est responsable, pour quoi les données servent, à qui elles vont, et dans quel pays si elles quittent la Suisse. Faites l’inventaire des services de votre site, écrivez une déclaration courte et exacte, liez-la en pied de page et sous le formulaire, laissez refuser les cookies non essentiels, et mettez-la à jour à chaque nouvel outil. Pour un cas particulier, le PFPDT et un juriste restent les bonnes références.