Suisse
SuissenLPD et site web : déclaration de confidentialité, cookies et prestataires à l’étranger
Depuis le 1er septembre 2023, la loi fédérale sur la protection des données révisée s’applique aux sites des entreprises suisses. Ce qu’elle demande concrètement à un site vitrine ou à une boutique en ligne, et comment le mettre en œuvre.
À partir de 1'000 € le projet
La nLPD en bref
La loi fédérale du 25 septembre 2020 sur la protection des données (LPD), souvent appelée nLPD, est entrée en vigueur le 1er septembre 2023 avec son ordonnance d'application (OPDo). Elle remplace la loi de 1992 et rapproche le droit suisse du RGPD européen, sans le copier.
Elle s'applique aux situations qui déploient des effets en Suisse, même si elles se produisent à l'étranger (art. 3). L'autorité de surveillance est le Préposé fédéral à la protection des données et à la transparence (PFPDT). Pour un site d'entreprise, trois sujets reviennent toujours : la déclaration de confidentialité, les cookies et les prestataires situés hors de Suisse.
La déclaration de confidentialité
L'article 19 impose au responsable du traitement d'informer la personne concernée de manière adéquate de la collecte de ses données. Il doit lui communiquer au moins :
son identité et ses coordonnées ;
la finalité du traitement ;
le cas échéant, les destinataires ou catégories de destinataires auxquels les données sont transmises.
Sur un site, cette information prend la forme d'une déclaration de confidentialité accessible depuis chaque page. Elle doit décrire ce que le site fait réellement : formulaire de contact, prise de rendez-vous, mesure d'audience, lettre d'information, boutique, outils de paiement et de livraison.
L'erreur la plus fréquente est une déclaration copiée d'un modèle, qui cite des outils absents du site et oublie ceux qui y sont installés. Une déclaration juste commence donc par un inventaire technique : ce que charge chaque page, quels services tiers reçoivent des données, et où ils sont situés.
Les prestataires à l’étranger
Un site suisse s'appuie presque toujours sur des prestataires étrangers : hébergeur, outil de mesure d'audience, plateforme de boutique, prise de rendez-vous, envoi de courriels. Or l'article 19, alinéa 4, demande d'indiquer le nom de l'État auquel les données sont communiquées et, le cas échéant, les garanties prévues.
L'article 16 fixe le principe : les données peuvent être communiquées à l'étranger si le Conseil fédéral a constaté que l'État concerné offre une protection adéquate. La liste figure à l'annexe 1 de l'OPDo ; les États de l'Union européenne, dont la France, y figurent. Depuis le 15 septembre 2024, les entreprises américaines certifiées au Swiss-U.S. Data Privacy Framework bénéficient aussi de cette reconnaissance. Sinon, des garanties sont nécessaires, par exemple des clauses contractuelles types.
En pratique, la déclaration de confidentialité doit donc lister les prestataires, leur pays et la garantie applicable. C'est un travail de relevé plus que de rédaction.
Les cookies
Deux textes s'appliquent : l'article 45c de la loi sur les télécommunications (LTC) et la LPD. Le PFPDT les a précisés dans son guide sur les cookies et technologies similaires du 22 janvier 2025, mis à jour le 6 octobre 2025.
Selon ce guide, l'article 45c LTC oblige les exploitants de sites à informer les visiteurs de l'utilisation de cookies et de leurs finalités, et à leur indiquer qu'ils peuvent refuser le traitement et comment. Le PFPDT relève que ni la LPD ni l'article 45c LTC n'imposent de recueillir un consentement pour tous les cookies non essentiels : un droit d'opposition (opt-out) peut suffire. En revanche, un consentement exprès est requis pour les traitements qui portent une atteinte élevée à la personnalité, comme certains profilages publicitaires (art. 6, al. 7 LPD).
Deux conséquences concrètes :
une mesure d'audience sobre, sans profilage et dont les résultats ne permettent pas d'identifier les visiteurs, peut être justifiée par un intérêt privé prépondérant, à condition d'informer et de permettre le refus ;
dès que le site sert aussi des visiteurs de l'Union européenne, les règles européennes, plus strictes, imposent le consentement préalable : un bandeau de consentement bien conçu règle alors les deux cas.
Les sanctions
La nLPD vise les personnes physiques responsables, pas l'entreprise. Sur plainte, une amende de 250 000 francs au plus peut punir la personne privée qui omet intentionnellement d'informer la personne concernée ou fournit intentionnellement des informations inexactes (art. 60). Une communication de données à l'étranger en violation de la loi est punie de la même manière (art. 61). Ce sont des infractions intentionnelles : une déclaration tenue à jour et fidèle au site protège d'abord le dirigeant.
Ce que nous mettons en œuvre sur votre site
Notre rôle est technique : nous ne rendons pas d'avis juridique, et nous ne garantissons pas la conformité d'un site à la loi. Voici ce que nous faisons :
L'inventaire des outils et prestataires réellement chargés par le site, avec leur pays.
Si votre site utilise des traceurs, en option, un mécanisme de choix des cookies qui fonctionne vraiment : les traceurs non essentiels ne se chargent qu'après accord, ou restent refusables selon le réglage que vous avez retenu.
Une déclaration de confidentialité qui reflète ce relevé, à faire valider par vous ou votre conseil.
Quand c'est possible, des choix sobres : des statistiques de fréquentation qui n'identifient personne et ne déposent rien sur l'appareil des visiteurs, un hébergement sans coût et sans serveur à administrer, moins de services tiers.
Pour un site existant, l'audit de site vitrine couvre ces points ; pour un nouveau site, la création de site vitrine comprend les pages légales, et propose en option les statistiques sans cookie ou les traceurs avec leur mécanisme de choix et une politique réécrite en conséquence. Notre article sur cookies, consentement et mesure d'audience complète le sujet. Pour en parler : contact.
Questions fréquentes
Mon site suisse a-t-il besoin d’une déclaration de confidentialité ?
Dès qu’il collecte des données personnelles (formulaire, rendez-vous, mesure d’audience, boutique), l’article 19 de la LPD impose d’informer les visiteurs. Une déclaration de confidentialité accessible depuis chaque page est la forme habituelle.
Faut-il un bandeau de cookies en Suisse ?
Le droit suisse exige d’informer et de permettre le refus des cookies non essentiels ; le consentement exprès vise les traitements les plus intrusifs. Si le site s’adresse aussi à l’Union européenne, le consentement préalable s’impose de toute façon.
Puis-je utiliser un hébergeur ou des outils américains ?
Oui, à condition de l’indiquer dans la déclaration de confidentialité, avec le pays et la garantie applicable : certification au Swiss-U.S. Data Privacy Framework ou clauses contractuelles types.
Sources
Loi fédérale sur la protection des données (LPD), RS 235.1, Fedlex
Ordonnance sur la protection des données (OPDo), RS 235.11, Fedlex
Textes consultés le 27 septembre 2026. Cette page décrit un cadre général ; elle ne constitue pas un conseil juridique.