Mise en conformité nLPD de votre site internet
Savoir ce que votre site fait des données de vos visiteurs
Inventaire des scripts et des données collectées, bannière reliée au blocage réel des traceurs, politique de confidentialité, mentions et formulaires. Pour les indépendants, cabinets et PME de Suisse romande.
La loi fédérale révisée sur la protection des données est entrée en vigueur le 1er septembre 2023. Elle demande une chose assez simple à formuler : les personnes qui visitent votre site doivent savoir quelles données sont collectées, pourquoi, par qui puis pendant combien de temps.
Dans les faits, presque personne ne sait ce que son propre site collecte. Un outil de statistiques installé il y a trois ans. Une police de caractères appelée depuis un serveur américain à chaque chargement. Une carte, une vidéo, un module de réservation, un formulaire dont les messages atterrissent dans une boîte hébergée on ne sait où. Ces éléments arrivent un par un, sans que personne tienne la liste.
Mon travail commence par établir cette liste, puis se poursuit par les décisions qui en découlent. J'ai conduit plusieurs mandats de ce type pour des thérapeutes et des cabinets de Suisse romande, dont les patients confient des informations sensibles. L'article conformité nLPD d'un site internet détaille le cadre légal. Cette page décrit la prestation.
Ce que comprend la mise en conformité
Inventaire
- Liste des scripts chargés par vos pages
- Traceurs déposés avant tout consentement
- Données recueillies par chaque formulaire
- Prestataires destinataires et pays concernés
Bannière et traceurs
- Bannière lisible, sans piège de formulation
- Refus aussi accessible que l'acceptation
- Blocage effectif tant que rien n'est accepté
- Choix modifiable à tout moment
Politique de confidentialité
- Rédigée à partir de l'inventaire réel
- Finalités et durées de conservation
- Droits des personnes et manière de les exercer
- Français lisible plutôt que gabarit traduit
Formulaires
- Champs réduits à ce qui est nécessaire
- Information au moment de la saisie
- Destination et conservation des messages
- Cases précochées retirées
Hébergement et transferts
- Où sont stockées les données du site
- Polices et scripts servis depuis vos serveurs
- Sauvegardes et durée de rétention
- Chiffrement des échanges vérifié
Mentions et remise
- Mentions légales complètes
- Point de contact pour les demandes
- Compte rendu de ce qui a été modifié
- Liste des points restant de votre ressort
Le cas des thérapeutes et des cabinets
Plusieurs des mandats que j'ai menés concernaient des thérapeutes et des cabinets de Suisse romande. Le sujet y est plus sensible qu'ailleurs. Un message envoyé par un formulaire peut contenir un motif de consultation. Une prise de rendez-vous en ligne révèle par son existence même qu'une personne consulte. Ces informations touchent à la santé, donc au cercle le plus protégé de la loi.
Les questions qui reviennent sont concrètes. Où arrive le message du formulaire. Combien de temps il reste dans la boîte. Qui d'autre y a accès. Ce que l'outil de prise de rendez-vous conserve. Si les statistiques permettent de relier une visite à une personne identifiable. Ces réponses tiennent en une page une fois qu'on les a cherchées. Elles rassurent autant les patients que le praticien.
Il en va de même pour les fiduciaires, les études d'avocats et les cabinets de conseil, où le contenu des demandes est confidentiel par nature. La démarche est la même, seule la nature des données change.
Comment ça se passe
Inventaire technique
Je charge vos pages et je relève tout ce qu'elles appellent : scripts, traceurs, polices, contenus intégrés, destinations des formulaires. Vous recevez la liste, souvent plus longue que prévu.
Vos réponses
Quelques questions auxquelles vous seul pouvez répondre : qui accède aux messages reçus, combien de temps vous les gardez, quels outils vous utilisez pour votre agenda et votre facturation.
Décisions et arbitrages
Certains éléments se suppriment sans regret, d'autres se remplacent par un équivalent plus sobre, d'autres se conservent en les déclarant. Vous tranchez, je vous donne l'effet de chaque option.
Mise en oeuvre
Bannière reliée au blocage réel, polices servies depuis votre hébergement, formulaires ajustés, documents rédigés puis publiés aux bons endroits du site.
Contrôle et remise
Je recharge le site en refusant tout et je vérifie que plus rien ne part. Vous recevez le compte rendu, les documents en version modifiable puis la liste de ce qui reste de votre ressort.
Ce que ça coûte
Le travail est facturé à CHF 100.- de l'heure. Un site vitrine avec un formulaire de contact et un outil de statistiques se traite en quelques heures, inventaire, rédaction et contrôle final compris. C'est le cas le plus fréquent chez les indépendants et les petits cabinets.
Au-delà, le montant dépend de ce que le site fait réellement. Une prise de rendez-vous en ligne, un espace client, une boutique ou plusieurs outils connectés allongent l'inventaire et les décisions à prendre. Dans ces cas je propose un forfait après l'inventaire, quand le périmètre est connu. Annoncer un montant avant d'avoir vu ce que le site charge serait un chiffre sorti de nulle part.
Si votre site est déjà en maintenance chez moi, l'inventaire est plus rapide parce que je connais déjà le socle. Et si une refonte est de toute façon prévue, autant traiter la conformité pendant la construction du nouveau site plutôt qu'après.
Ce que je ne fais pas
- Le conseil juridique, qui relève d'un juriste ou d'un avocat
- La certification de votre conformité, qui n'existe pas sous cette forme
- Le registre complet des traitements de toute votre entreprise
- La conformité de vos outils internes, agenda, dossiers patients, comptabilité
- Le collage d'une politique de confidentialité type sans inventaire préalable
Le dernier point est celui qui compte le plus. Un document générique décrit un site imaginaire. S'il annonce des traitements que vous ne faites pas ou s'il oublie ceux que vous faites, il ne protège personne et il se retourne contre vous le jour où quelqu'un pose la question.
Questions fréquentes
La nLPD s'applique-t-elle à un site vitrine sans boutique ?
Oui, dès que le site collecte des données personnelles. Un formulaire de contact en collecte. Un outil de statistiques en collecte. Une carte intégrée ou une vidéo hébergée ailleurs en transmettent au passage. La taille de l'entreprise ne change rien à l'obligation d'informer les personnes de ce qui est fait de leurs données.
Suis-je concerné aussi par le RGPD européen ?
Souvent oui, en plus de la nLPD, si vous vous adressez à des personnes situées dans l'Union européenne ou si vous en avez comme clientes. Beaucoup de cabinets romands sont dans ce cas sans y avoir pensé. Le travail se recoupe largement : l'inventaire, la bannière, la politique de confidentialité et le contrôle des traceurs servent les deux textes. Je le signale quand la situation le demande.
Une bannière de cookies suffit-elle ?
Non. Une bannière posée seule est même le cas le plus courant que je rencontre. Elle affiche un choix mais les traceurs se chargent quand même avant que la personne ait répondu. Le travail utile consiste à relier la bannière au chargement réel des scripts, pour qu'un refus soit suivi d'effet. Sans cela, la bannière rassure le propriétaire du site sans protéger personne.
Combien de temps prend une mise en conformité ?
Pour un site vitrine avec un formulaire et un outil de statistiques, cela se compte en quelques heures réparties sur une à deux semaines, le temps de vous poser les questions auxquelles vous seul pouvez répondre. Un site avec réservation en ligne, espace client ou boutique demande davantage, parce que la liste des données collectées et des prestataires impliqués est plus longue.
Combien ça coûte ?
Le travail est facturé à CHF 100.- de l'heure. Un site vitrine standard se règle en quelques heures, donc l'ordre de grandeur reste modeste. Pour un site plus complexe, je propose un forfait après l'inventaire, quand le périmètre est connu. Je ne donne pas de prix avant d'avoir vu ce que le site charge : ce serait un chiffre inventé.
Êtes-vous juriste ?
Non. C'est une distinction qui compte. Je suis le prestataire technique : j'inventorie ce que votre site fait des données, je bloque ce qui doit l'être, je rédige les documents d'information à partir de cet inventaire réel puis je vous remets le tout. Pour une validation juridique, un registre des activités de traitement complet ou une question de responsabilité, l'avis d'un juriste reste nécessaire et je le dis quand le cas s'y prête.
Commençons par l'inventaire
Donnez-moi l'adresse de votre site. Je regarde ce qu'il charge et ce qu'il collecte, puis je vous écris ce que je vois et le temps qu'il faudrait pour le mettre en ordre. Ce premier regard ne coûte rien.
Faire l'inventaire de mon siteVotre site et la nLPD
L'adresse de votre site suffit. Je vous réponds sous 24h avec ce que je vois côté données.
Vous préférez parler de vive voix ?
Zone d'intervention
J'accompagne les entreprises de Suisse romande dans leur transformation digitale
En présentiel
Canton de Vaud
Rencontres en personne, visites sur site, formations en entreprise
Villes
À distance
Suisse romande
Consultations vidéo, support à distance, livraison de projets digitaux
Cantons
Villes