Rendre son site conforme à la nLPD : la checklist pour les PME

Une déclaration de confidentialité complète

Dès que votre site collecte des données, vous devez informer les personnes concernées. La déclaration doit indiquer au minimum :

• qui est responsable et comment le contacter ;
• quelles données sont collectées et pourquoi ;
• à qui elles sont transmises, et si elles partent à l'étranger, dans quels pays ;
• combien de temps elles sont conservées et comment exercer ses droits.

Formulaires : ne demander que l'utile

Un formulaire de contact n'a besoin que d'un nom, d'une adresse e-mail et d'un message. Chaque champ supplémentaire doit être facultatif ou justifié. C'est le principe de protection des données dès la conception et par défaut : collecter le moins possible, par défaut.

Cookies, statistiques et services tiers

En Suisse, la nLPD n'impose pas une bannière de consentement pour chaque cookie, mais elle impose la transparence. Chaque outil de statistiques, police d'écriture, carte ou vidéo intégrée depuis un service tiers peut transmettre l'adresse IP du visiteur. Listez-les dans la déclaration, ou mieux : servez polices et images depuis votre propre serveur et renoncez aux traceurs publicitaires.

Hébergement et transferts à l'étranger

Héberger le site et les données en Suisse simplifie tout : pas de transfert à l'étranger à justifier. Si un prestataire traite des données hors de Suisse, vérifiez que le pays figure sur la liste des États jugés adéquats par le Conseil fédéral, ou que des garanties contractuelles existent.

Sécurité et violations de données

La loi exige une sécurité adaptée au risque : connexion chiffrée (HTTPS), mises à jour, sauvegardes, accès protégés. Si une fuite présente un risque élevé pour les personnes, elle doit être annoncée au Préposé fédéral à la protection des données (PFPDT) dans les meilleurs délais.

La checklist en bref

• Déclaration de confidentialité à jour et accessible depuis chaque page.
• Formulaires limités au nécessaire, avec un lien vers la déclaration.
• Services tiers listés, ou remplacés par des ressources hébergées chez vous.
• Hébergement en Suisse, ou transferts justifiés.
• HTTPS, mises à jour et sauvegardes régulières.
• Durées de conservation définies et respectées.

Ce guide est une aide pratique, pas un avis juridique. Pour un cas particulier, une relecture par un spécialiste reste conseillée.