Droit
nLPD pour les sites web : ce que les PME doivent vraiment mettre en œuvre
Depuis septembre 2023, la loi révisée sur la protection des données s'applique. Ce qui est obligatoire pour ton site, ce qui fait seulement bien, et la liste de contrôle pour le prochain rendez-vous.
Depuis le 1er septembre 2023, la loi révisée sur la protection des données s'applique. En conseil, nous entendons depuis presque chaque semaine la même question : « Il nous faut maintenant aussi un bandeau cookies ? » La réponse est plus courte que beaucoup ne l'attendent, et le vrai travail se trouve ailleurs.
Ce que la nLPD exige d'un site web
La loi fédérale révisée sur la protection des données pose trois exigences : transparence, limitation des finalités et sécurité. Traduit pour un site web : tu dis de façon compréhensible quelles données personnelles tu collectes, à quoi tu les utilises et à qui elles sont transmises. Contrairement au RGPD européen, la nLPD n'exige pas de consentement préalable pour une mesure d'audience ordinaire, mais une information claire. Mais qui s'adresse à une clientèle dans l'UE tombe en plus sous le RGPD, et c'est alors le régime plus strict qui s'applique.
Bandeau cookies : ce qui est vraiment nécessaire en Suisse
Un bandeau n'est pas prescrit de façon générale en Suisse. Tu as besoin d'un vrai consentement là où des données partent vers des tiers à des fins publicitaires, pixels de remarketing, suivi des conversions des réseaux publicitaires ou services intégrés qui constituent des profils. Pour les cookies techniques comme panier, connexion ou choix de langue, aucun accord n'est nécessaire. L'important : si tu utilises un bandeau, « Refuser » doit être aussi facile d'accès qu'« Accepter », et les scripts ne peuvent charger qu'après l'accord. Un bandeau qui ne bloque rien est de la décoration et crée plutôt une responsabilité qu'une protection.
Analytics, polices et cartes
Trois classiques de notre pratique d'audit :
- Analytics doit figurer dans la déclaration de protection des données, avec mention du transfert vers les États-Unis.
- Les Google Fonts chargées depuis le serveur de Google transmettent l'adresse IP de chaque visiteur. Intégrer les polices localement prend une demi-heure et accélère en plus la page.
- Une carte intégrée envoie immédiatement des données à Google. Mieux vaut un aperçu avec clic pour charger. Il en va de même pour les vidéos intégrées.
Formulaires de contact et newsletter
Pour le formulaire : ne collecter que ce dont tu as vraiment besoin. Chaque champ obligatoire supplémentaire réduit le taux de conclusion et augmente l'obligation de justification. Une mention sous le bouton d'envoi, indiquant où vont les données et combien de temps elles restent, suffit. Pour la newsletter, nous recommandons le double opt-in : e-mail de confirmation, horodatage consigné, lien de désabonnement dans chaque envoi. Ce n'est pas seulement propre au regard de la protection des données, cela protège aussi des réclamations selon la loi contre la concurrence déloyale.
Qui est responsable
Le responsable est toujours l'entreprise, ni l'agence ni l'hébergeur. Qui traite des données pour ton compte, donc hébergement, outil de newsletter, système de boutique ou comptabilité, va dans une liste avec finalité, type de données et lieu du serveur. À partir de 250 collaborateurs, un registre des traitements est obligatoire ; nous le conseillons aussi à tous les autres, parce que la vue d'ensemble fait gagner du temps à chaque demande.
Liste de contrôle pour le prochain rendez-vous site web
- Déclaration de protection des données actuelle, compréhensible et accessible depuis chaque page
- Liste de tous les services intégrés avec lieu du serveur
- Polices en local, cartes et vidéos seulement au clic
- Bandeau seulement s'il bloque vraiment: avec un « Refuser » équivalent
- Champs de formulaire réduits au nécessaire, délais de suppression fixés
- Contrats de sous-traitance avec l'hébergeur et les outils
Conclusion
La nLPD n'est pas une menace, mais une invitation à l'ordre. Qui sait quels services tournent sur son propre site a fait la plus grande partie. Nous parcourons cette liste avec la clientèle de Soleure et de Berne en un rendez-vous et consignons ce qui reste et ce qui disparaît.
Pour aller plus loin : création de sites web et boutiques en ligne.
En personne
Philip Fiumi
Directeur
Des questions sur Webdesign ?
Écris-nous ou appelle-nous. Nous te conseillons sans engagement et te répondons dans un délai d’un jour ouvrable.
Autres articles
Actualités
Faire créer un site web à Soleure : comment ça se passe
Déroulement, durée, système et Google : ce qu'il faut clarifier avant de mandater une agence web, avec des exemples tirés de nos projets.
Référencement Google et visibilité dans l’IA : comment tes clients te trouvent en 2026
Recherche Google, Maps, aperçus IA et ChatGPT puisent aux mêmes sources. Pourquoi l’optimisation Google compte plus que jamais et ce qu’il faut en plus pour que les assistants IA te citent.
Quand plus personne ne cherche sur Google : la visibilité dans les réponses de l'IA
ChatGPT, Perplexity et Google AI répondent aux questions au lieu de montrer des liens. Qui veut être cité doit écrire autrement.