Droit
nLPD pour les sites web : ce que les PME doivent vraiment mettre en œuvre
Depuis septembre 2023, la loi révisée sur la protection des données s'applique. Ce qui est obligatoire pour votre site, ce qui fait seulement bien – et la liste de contrôle pour le prochain rendez-vous.
Depuis le 1er septembre 2023, la loi révisée sur la protection des données s'applique. En conseil, nous entendons depuis presque chaque semaine la même question : « Il nous faut maintenant aussi un bandeau cookies ? » La réponse est plus courte que beaucoup ne l'attendent – et le vrai travail se trouve ailleurs.
Ce que la nLPD exige d'un site web
La loi fédérale révisée sur la protection des données pose trois exigences : transparence, limitation des finalités et sécurité. Traduit pour un site web : vous dites de façon compréhensible quelles données personnelles vous collectez, à quoi vous les utilisez et à qui elles sont transmises. Contrairement au RGPD européen, la nLPD n'exige pas de consentement préalable pour une mesure d'audience ordinaire, mais une information claire. Mais qui s'adresse à une clientèle dans l'UE tombe en plus sous le RGPD – et c'est alors le régime plus strict qui s'applique.
Bandeau cookies : ce qui est vraiment nécessaire en Suisse
Un bandeau n'est pas prescrit de façon générale en Suisse. Vous avez besoin d'un vrai consentement là où des données partent vers des tiers à des fins publicitaires – pixels de remarketing, suivi des conversions des réseaux publicitaires ou services intégrés qui constituent des profils. Pour les cookies techniques comme panier, connexion ou choix de langue, aucun accord n'est nécessaire. L'important : si vous utilisez un bandeau, « Refuser » doit être aussi facile d'accès qu'« Accepter », et les scripts ne peuvent charger qu'après l'accord. Un bandeau qui ne bloque rien est de la décoration et crée plutôt une responsabilité qu'une protection.
Analytics, polices et cartes
Trois classiques de notre pratique d'audit :
- Analytics doit figurer dans la déclaration de protection des données, avec mention du transfert vers les États-Unis.
- Les Google Fonts chargées depuis le serveur de Google transmettent l'adresse IP de chaque visiteur. Intégrer les polices localement prend une demi-heure et accélère en plus la page.
- Une carte intégrée envoie immédiatement des données à Google. Mieux vaut un aperçu avec clic pour charger. Il en va de même pour les vidéos intégrées.
Formulaires de contact et newsletter
Pour le formulaire : ne collecter que ce dont vous avez vraiment besoin. Chaque champ obligatoire supplémentaire réduit le taux de conclusion et augmente l'obligation de justification. Une mention sous le bouton d'envoi, indiquant où vont les données et combien de temps elles restent, suffit. Pour la newsletter, nous recommandons le double opt-in : e-mail de confirmation, horodatage consigné, lien de désabonnement dans chaque envoi. Ce n'est pas seulement propre au regard de la protection des données, cela protège aussi des réclamations selon la loi contre la concurrence déloyale.
Qui est responsable
Le responsable est toujours l'entreprise – ni l'agence ni l'hébergeur. Qui traite des données pour votre compte, donc hébergement, outil de newsletter, système de boutique ou comptabilité, va dans une liste avec finalité, type de données et lieu du serveur. À partir de 250 collaborateurs, un registre des traitements est obligatoire ; nous le conseillons aussi à tous les autres, parce que la vue d'ensemble fait gagner du temps à chaque demande.
Liste de contrôle pour le prochain rendez-vous site web
- Déclaration de protection des données actuelle, compréhensible et accessible depuis chaque page
- Liste de tous les services intégrés avec lieu du serveur
- Polices en local, cartes et vidéos seulement au clic
- Bandeau seulement s'il bloque vraiment – avec un « Refuser » équivalent
- Champs de formulaire réduits au nécessaire, délais de suppression fixés
- Contrats de sous-traitance avec l'hébergeur et les outils
Conclusion
La nLPD n'est pas une menace, mais une invitation à l'ordre. Qui sait quels services tournent sur son propre site a fait la plus grande partie. Nous parcourons cette liste avec la clientèle de Soleure et de Berne en un rendez-vous et consignons ce qui reste et ce qui disparaît.
Autres articles
Actualités
Quand plus personne ne cherche sur Google : la visibilité dans les réponses de l'IA
ChatGPT, Perplexity et Google AI répondent aux questions au lieu de montrer des liens. Qui veut être cité doit écrire autrement.
Le temps de chargement, c'est du chiffre d'affaires : ce que signifient vraiment les Core Web Vitals
Depuis 2020, Google mesure la vitesse et la stabilité de chargement d'une page. Les trois valeurs s'expliquent simplement – et s'améliorent le plus souvent à peu de frais.
Recherche locale : pourquoi le profil Google apporte souvent plus que le site web
Pour les entreprises avec un local commercial, la fiche d'établissement Google est l'entrée la plus importante sur le web. Et la plus négligée.