Site internet et nLPD : ce que doit faire une PME

Ce qui suit, ce sont des repères pratiques, pas un avis juridique. Pour un cas précis, demandez à un juriste ou consultez les informations du Préposé fédéral à la protection des données et à la transparence (PFPDT).

Quand on parle de protection des données à un patron de PME, on a souvent droit à un soupir. Encore une contrainte. Pourtant, pour un site internet ordinaire, la nLPD demande surtout une chose : dire honnêtement ce que vous faites des données de vos visiteurs. Rien d'insurmontable, à condition de savoir par où commencer.

La nLPD s'applique-t-elle au site de ma PME ?

Oui, très probablement. La loi fédérale sur la protection des données révisée, qu'on appelle nLPD, est en vigueur depuis le 1er septembre 2023. Elle s'applique à toute entreprise qui traite des données personnelles, quelle que soit sa taille. Et un site en traite dès qu'il a un formulaire de contact, une demande de devis, un outil de statistiques ou une carte intégrée. Autrement dit, presque tous les sites.

La déclaration de confidentialité : ce qu'elle doit contenir

C'est le cœur du sujet. Quand vous collectez des données personnelles, vous devez en informer les personnes concernées. Sur un site, cela passe par une déclaration de confidentialité, accessible depuis chaque page, en général par un lien en bas de page.

Elle dit qui est responsable, avec ses coordonnées. Elle explique pourquoi vous collectez ces données. Elle indique à qui vous les transmettez, par exemple votre hébergeur ou l'outil qui envoie vos e-mails. Et si elles partent à l'étranger, elle précise dans quel pays et avec quelles garanties.

Ce dernier point est celui qu'on oublie le plus. Beaucoup d'outils très courants stockent leurs données hors de Suisse. Une déclaration copiée sur un autre site ne correspondra donc presque jamais à vos outils à vous. C'est un défaut courant : un beau texte générique qui ne décrit pas ce qui se passe vraiment sur le site.

Formulaires : demandez le strict nécessaire

Pour répondre à une demande de contact, il vous faut un nom, un moyen de joindre la personne et son message. Pas sa date de naissance, pas son adresse complète. Moins vous collectez, moins vous avez à protéger et à expliquer. Si votre formulaire accepte des pièces jointes, par exemple des photos d'un tableau électrique ou d'une salle de bain à refaire, demandez-vous où elles sont stockées et combien de temps vous les gardez.

Google Analytics, cartes, vidéos : attention aux outils de tiers

Une carte interactive, une vidéo intégrée ou un outil de mesure d'audience peuvent transmettre des informations sur vos visiteurs à un autre prestataire, parfois à l'étranger. Chacun de ces outils doit apparaître dans votre déclaration. Notre avis : posez-vous la question pour chacun. Avez-vous vraiment besoin de statistiques détaillées pour un site de cinq pages ? Souvent, un outil plus léger, qui collecte peu, fait très bien l'affaire.

Faut-il une bannière de cookies en Suisse ?

C'est une question qu'on nous pose souvent. Le droit suisse ne prévoit pas d'obligation générale de consentement préalable aux cookies, contrairement au droit européen. Il exige en revanche une information transparente. Mais attention : si votre site vise aussi des personnes dans l'Union européenne, comme une clientèle de France voisine pour une entreprise genevoise, le RGPD peut s'appliquer, avec un consentement à recueillir pour les cookies non essentiels.

La solution la plus simple reste de ne pas utiliser de cookies publicitaires. Pas de bannière compliquée, pas de casse-tête.

Sécurité et fuite de données

Les données doivent être protégées par des mesures adaptées : connexion chiffrée en HTTPS, accès limités aux personnes qui en ont besoin, mises à jour régulières. Et si un incident survient, une violation de la sécurité qui entraîne vraisemblablement un risque élevé pour les personnes concernées, la loi impose de l'annoncer au PFPDT dans les meilleurs délais.

Quelles sanctions prévoit la nLPD ?

Les amendes peuvent aller jusqu'à CHF 250'000. Et voici une particularité suisse à connaître : elles visent en principe les personnes physiques responsables, pas l'entreprise, en cas de violation intentionnelle de certaines obligations, dont justement le devoir d'informer. Autrement dit, une déclaration de confidentialité juste vous protège aussi personnellement.

En résumé, pour le site d'une PME

Une déclaration de confidentialité accessible partout, qui décrit vos vrais outils. Des formulaires sobres. Le HTTPS sur tout le site. Des mentions légales avec l'identité et les coordonnées de l'entreprise. Et quelqu'un qui sait quoi faire si un problème survient. Ce n'est pas plus compliqué que ça.

Chez Numewoo, chaque site livré comprend une déclaration de confidentialité qui correspond aux outils réellement installés ; son contenu reste à valider par vous. On aborde aussi le sujet sous l'angle technique dans l'article sur la sécurité d'un site. Et pour connaître le prix de votre projet, l'estimation en ligne prend 3 minutes.