Conformité nLPD d'un site suisse : ce qu'il faut vraiment faire

La nouvelle loi fédérale sur la protection des données est entrée en vigueur le 1er septembre 2023. Depuis, tout site web exploité depuis la Suisse doit s'y conformer, y compris le site vitrine d'un indépendant qui ne collecte "rien" d'autre qu'un formulaire de contact.

Beaucoup de PME romandes ont réglé la question en installant une bannière de cookies et sont passées à autre chose. C'est le minimum visible, et c'est loin d'être suffisant.

Cet article détaille ce qu'il faut réellement faire sur un site suisse, dans quel ordre, et ce qui relève du bon sens plutôt que du juridique. Il ne remplace pas l'avis d'un juriste : il décrit ce qui se règle techniquement.

Ce que la nLPD change concrètement pour un site

La nLPD s'inspire du RGPD européen sans en être une copie. Trois différences comptent pour un exploitant de site.

Le consentement n'est pas exigé partout. Contrairement au RGPD, la nLPD fonctionne largement sur le principe de l'opposition : vous devez informer et permettre de refuser, pas nécessairement demander l'autorisation avant. En pratique, si vous utilisez des outils américains ou visez aussi des visiteurs européens, vous retombez sur les exigences du RGPD, d'où la prudence de beaucoup de prestataires.

L'information doit être compréhensible. Une politique de confidentialité recopiée d'un générateur, remplie de termes juridiques génériques et de mentions de lois étrangères, ne remplit pas l'obligation. Elle doit décrire ce que votre site fait réellement.

Les transferts à l'étranger doivent être signalés. Si vos formulaires partent chez un prestataire américain, si votre site est hébergé hors de Suisse, si vous utilisez un outil d'analyse d'audience étranger, cela doit être indiqué.

Les six points à traiter sur un site vitrine

Voici ce que je vérifie systématiquement lors d'une mise en conformité.

La politique de confidentialité. Elle doit lister les données réellement collectées, la finalité de chaque collecte, la durée de conservation, les destinataires et les droits du visiteur. Le point le plus souvent bâclé : les destinataires, c'est-à-dire tous les outils tiers qui reçoivent des données.

La bannière de cookies, si elle est nécessaire. Un site sans mesure d'audience ni intégration tierce n'a pas forcément besoin de bannière. À l'inverse, un site qui charge des polices depuis un serveur étranger, une carte, une vidéo ou un outil d'analyse en a besoin. Et surtout, ces éléments ne doivent pas se charger avant le choix du visiteur.

Le blocage effectif avant consentement. C'est le point le plus fréquemment raté. Beaucoup de bannières s'affichent pendant que les scripts se sont déjà exécutés. La bannière donne alors une impression de conformité sans rien changer techniquement.

Le formulaire de contact. Il doit indiquer à quoi servent les données saisies et où elles aboutissent. Si les messages partent vers un service tiers, cela se mentionne.

L'hébergement et les transferts. Savoir où sont physiquement vos données. Un hébergement suisse simplifie considérablement le discours, en particulier pour les cabinets médicaux, les fiduciaires et les études.

Les mentions légales. Identité de l'exploitant, coordonnées de contact, et un moyen d'exercer ses droits. C'est simple, c'est souvent absent.

Ce qu'une extension fait, et ce qu'elle ne fait pas

Sur WordPress, plusieurs extensions gèrent la bannière, le blocage des scripts et la génération d'une politique de confidentialité. Bien configurées, elles couvrent une bonne partie du travail technique.

Ce qu'elles ne font pas : décider ce que votre site collecte réellement. Une extension ne sait pas que votre formulaire de rendez-vous alimente un agenda externe, que votre newsletter part chez un prestataire étranger, ou que votre thème charge des polices depuis un serveur américain. Ces éléments doivent être identifiés à la main, puis déclarés.

C'est la raison pour laquelle une installation d'extension sans audit préalable produit un site qui paraît conforme. La bannière est là, la politique existe, et les scripts continuent de se charger avant tout consentement.

L'ordre dans lequel s'y prendre

Inventorier d'abord. Quels outils tiers sont chargés par le site ? La console développeur du navigateur, onglet réseau, donne la réponse en quelques minutes : chaque domaine externe appelé est un destinataire potentiel de données.

Supprimer ce qui ne sert pas. C'est l'étape que tout le monde saute et qui rapporte le plus. Un outil d'analyse installé il y a trois ans et jamais consulté, une police externe qu'on peut héberger localement, un widget de réseau social que personne ne clique : chaque suppression simplifie la conformité et accélère le site.

Bloquer ce qui reste. Les outils réellement utiles sont conditionnés au consentement.

Documenter ensuite. La politique de confidentialité s'écrit à la fin, une fois qu'on sait ce que le site fait vraiment. L'écrire en premier revient à décrire une situation imaginaire.

Le cas des sites qui traitent des données sensibles

Pour un cabinet médical, une fiduciaire, une étude d'avocats ou un thérapeute, l'exigence monte d'un cran. Les données de santé, financières ou juridiques appartiennent aux catégories sensibles, et leur traitement suppose des précautions renforcées.

Deux conséquences pratiques. D'abord, un formulaire de contact ne doit jamais servir à transmettre ce type d'information. Il faut le dire explicitement à côté du champ message. Ensuite, la question de l'hébergement cesse d'être théorique : héberger en Suisse simplifie considérablement la relation avec des clients eux-mêmes soumis au secret professionnel.

C'est également valable pour tout logiciel métier que vous feriez développer : la localisation des données se décide au moment de la conception, pas après.

Une conformité qui vieillit

La mise en conformité n'est pas un état permanent. Chaque nouvelle intégration (un outil de réservation, un chat, une newsletter, un pixel publicitaire) ajoute un destinataire qu'il faut déclarer et conditionner au consentement.

Un point annuel suffit généralement : rejouer l'inventaire des domaines appelés, comparer avec la politique publiée, corriger les écarts. C'est un travail court, à condition d'être fait régulièrement. C'est aussi ce qui distingue un site réellement conforme d'un site qui l'a été un jour.

Ce contrôle s'intègre naturellement dans un forfait de maintenance, au même titre que les mises à jour et les sauvegardes.

Conclusion

La conformité nLPD d'un site vitrine n'est pas un chantier considérable. C'est un inventaire honnête de ce que votre site fait, un nettoyage de ce qui ne sert plus, un blocage de ce qui reste, et une documentation fidèle.

Ce qui coûte cher, c'est de traiter le sujet à l'envers : installer une bannière, générer une politique automatique, et considérer la question réglée alors que rien n'a changé techniquement.

Si vous voulez savoir où en est votre site, écrivez-moi : un coup d'œil à l'inventaire des scripts chargés donne déjà une bonne indication.

FAQ

La nLPD s'applique-t-elle à un simple site vitrine ?

Oui. Dès qu'un site collecte des données personnelles (et un formulaire de contact, une adresse IP dans les journaux du serveur ou un outil de mesure d'audience en collectent), la loi s'applique. L'ampleur des obligations varie selon ce que vous faites des données, mais l'exemption pure n'existe pas pour un site professionnel exploité depuis la Suisse.

Faut-il obligatoirement une bannière de cookies en Suisse ?

Pas systématiquement. Un site qui n'utilise ni mesure d'audience, ni ressource externe, ni intégration tierce peut s'en passer. Dès qu'un élément externe se charge (police distante, carte, vidéo, outil d'analyse), la bannière devient nécessaire, et surtout ces éléments ne doivent pas se charger avant le choix du visiteur.

Quelle est la différence entre la nLPD et le RGPD ?

La nLPD fonctionne davantage sur le principe de l'opposition que sur celui du consentement préalable, et ses sanctions visent les personnes responsables plutôt que l'entreprise. En pratique, si vous utilisez des outils américains ou si des visiteurs européens consultent votre site, vous devez composer avec les deux textes, ce qui conduit la plupart des prestataires à appliquer le standard le plus strict.

Une extension WordPress suffit-elle à être conforme ?

Elle couvre le travail technique (bannière, blocage des scripts, génération d'un texte de base), mais elle ne sait pas ce que votre site collecte réellement. Elle ignore que votre formulaire alimente un agenda externe ou que votre thème charge des polices depuis un serveur étranger. Sans inventaire préalable, le résultat est un site qui paraît conforme sans l'être.

Combien de temps prend une mise en conformité ?

Pour un site vitrine standard, quelques heures : inventaire des scripts chargés, suppression des outils inutiles, configuration du blocage, rédaction de la politique et des mentions légales. Les sites avec de nombreuses intégrations ou traitant des données sensibles demandent davantage, l'essentiel du temps passant dans l'inventaire plutôt que dans la mise en œuvre.

Faut-il refaire la démarche chaque année ?

Un contrôle annuel est raisonnable. Chaque nouvelle intégration ajoute un destinataire de données qu'il faut déclarer et conditionner au consentement. Rejouer l'inventaire des domaines appelés et le comparer à la politique publiée prend peu de temps si c'est fait régulièrement, beaucoup plus si l'on attend trois ans.