nLPD : ce que la loi impose à votre site internet

Depuis le 1er septembre 2023, la nouvelle loi sur la protection des données (nLPD) s'applique à toutes les entreprises qui traitent des données personnelles en Suisse. Un site internet en traite presque toujours : un formulaire de contact ou un outil de statistiques suffit. Voici ce que la loi demande concrètement, point par point.

Cet article donne des repères pratiques. Il ne remplace pas l'avis d'un juriste pour votre situation particulière.

Une politique de confidentialité complète

C'est le cœur du devoir d'informer (article 19 nLPD). Votre déclaration doit au minimum indiquer :

• qui est responsable des données, avec ses coordonnées ;
• pourquoi vous collectez chaque donnée : répondre à une demande, envoyer une newsletter, mesurer l'audience ;
• à qui vous la transmettez, au moins par catégories : hébergeur, outil d'e-mailing, prestataire de paiement ;
• dans quels pays elle part si elle quitte la Suisse, et avec quelles garanties.

Le portail PME de la Confédération demande d'y faire figurer aussi les droits des personnes, un interlocuteur et les mesures de sécurité. Chacun peut en effet demander gratuitement l'accès à ses données, en règle générale sous 30 jours (article 25).

Des mentions légales claires

Les mentions légales relèvent d'une autre loi, la loi contre la concurrence déloyale (article 3 LCD) : quiconque vend des produits ou des services en ligne doit indiquer clairement son identité et son adresse de contact, e-mail compris. Le portail PME du SECO précise qu'un simple formulaire de contact ne suffit pas.

Pour une boutique, la même loi demande d'expliquer les étapes de la commande, de permettre de corriger les erreurs de saisie et de confirmer la commande immédiatement par e-mail.

Cookies et outils de mesure

La nLPD ne nomme pas les cookies. La loi sur les télécommunications (article 45c LTC) impose d'informer les visiteurs des cookies utilisés, de leur but et de la façon de les refuser. Dans son guide mis à jour en octobre 2025, le Préposé fédéral précise que la nLPD s'y ajoute dès qu'un cookie traite des données personnelles : le refus des cookies non essentiels doit rester possible en quelques clics, et un consentement exprès devient nécessaire pour les usages les plus intrusifs, comme le profilage à risque élevé auquel peut mener le suivi publicitaire d'un site à l'autre.

Si votre site vise aussi des visiteurs de l'Union européenne, avec des prix en euros par exemple, le RGPD entre en jeu (article 3), et avec lui la règle européenne du consentement préalable, tirée de la directive « vie privée et communications électroniques » : aucun cookie de mesure ou de publicité avant que le visiteur ait accepté. Dans le doute, visez ce niveau, avec un bandeau qui permet d'accepter, de refuser et de choisir par catégorie.

Des formulaires réduits au nécessaire

• Ne demandez que ce dont vous avez besoin. Un numéro de téléphone obligatoire pour une simple question n'est pas justifié.
• Indiquez à quoi servent les données, près du bouton d'envoi, avec un lien vers la politique de confidentialité.
• Pour une newsletter, recueillez un accord explicite : la LCD interdit les envois publicitaires de masse sans consentement préalable, sauf exceptions encadrées pour vos propres clients.
• Supprimez ce dont vous n'avez plus besoin. La nLPD demande de détruire ou d'anonymiser les données une fois leur but atteint (article 6), sauf obligation de conservation, comme les pièces comptables, gardées dix ans (article 958f du Code des obligations).

Hébergement et données à l'étranger

Un site hébergé en Suisse, chez Infomaniak par exemple, ne crée pas de transfert à l'étranger pour l'hébergement lui-même. Chaque outil situé ailleurs doit en revanche être déclaré avec son pays : statistiques, newsletter, fenêtre de discussion, polices ou vidéos chargées depuis un serveur étranger.

Les transferts vers l'Union européenne, l'EEE et le Royaume-Uni sont libres. Vers les États-Unis, ils ne sont admis sans autre garantie que vers des entreprises certifiées Swiss-US Data Privacy Framework, depuis le 15 septembre 2024.

Sécurité et fuites de données

La loi exige des mesures de sécurité adaptées au risque (article 8) : site à jour, connexion chiffrée, accès protégés, sauvegardes. Si une fuite présente un risque élevé pour les personnes concernées, elle doit être annoncée au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais (article 24).

Ce que vous risquez

La nLPD prévoit une amende pouvant aller jusqu'à CHF 250'000. Particularité suisse : elle vise d'abord la personne physique responsable, et non l'entreprise, notamment en cas de violation intentionnelle du devoir d'informer, et sur plainte (article 60).

Au-delà de l'amende, un site négligé abîme la confiance. Une politique de confidentialité claire montre au contraire que vous prenez les données de vos clients au sérieux.

La liste de contrôle

• Politique de confidentialité à jour, avec chaque outil utilisé et son pays
• Mentions légales : raison de commerce, adresse postale, e-mail
• Bandeau cookies : refus en quelques clics, consentement préalable si vous visez l'Union européenne ou utilisez un suivi publicitaire d'un site à l'autre
• Formulaires limités au nécessaire, avec leur finalité
• Site à jour, connexion HTTPS, sauvegardes régulières
• Marche à suivre prête en cas de fuite de données

Tous nos sites sont livrés avec ces bases : mentions légales, politique de confidentialité, gestion des cookies et hébergement en Suisse. Pour un site existant, notre check sécurité fait le point sur la partie technique, dès CHF 490520 €$610.

Pour faire le point sur votre site actuel, envoyez-nous son adresse : nous vous indiquons ce qui manque et ce que coûte la mise en conformité.