Ce qui a changé avec la nLPD
La loi révisée sur la protection des données est entrée en vigueur le 1er septembre 2023. Elle ne protège plus que les données des personnes physiques et exige davantage de transparence : quiconque collecte des données personnelles doit en informer activement les personnes concernées.
Les données personnelles sont toutes les informations qui se rapportent à une personne identifiée ou identifiable. Cela comprend le nom et l’adresse e-mail saisis dans un formulaire de contact, mais aussi, selon les circonstances, les adresses IP transmises lors du chargement d’une page.
Quand une déclaration de protection des données est nécessaire
Une déclaration de protection des données est nécessaire dès que votre site traite des données personnelles. C’est le cas de presque tous les sites d’entreprise : formulaire de contact, inscription à la newsletter, mesure d’audience, compte client ou boutique.
Elle doit être facile à trouver, en général par un lien dans le pied de page de chaque page. Proposez-la dans chacune des langues dans lesquelles votre site s’adresse à vos clients.
Ce qu’elle doit contenir
Elle indique au minimum qui est responsable du traitement, avec le nom de l’entreprise et ses coordonnées, à quelles fins vous traitez des données et à quels destinataires ou catégories de destinataires vous les transmettez, par exemple l’hébergeur, le service de newsletter ou le prestataire de paiement.
Si des données sont communiquées à l’étranger, indiquez les pays concernés et, s’ils n’offrent pas une protection adéquate, les garanties sur lesquelles vous vous fondez. Expliquez aussi les droits des personnes concernées, en particulier le droit d’accès, de rectification et d’effacement, et la manière de les exercer.
Amendes et responsabilité
En cas de violation intentionnelle de certaines obligations, par exemple l’obligation d’informer ou de renseigner, la nLPD prévoit des amendes allant jusqu’à CHF 250’000. Contrairement à l’UE, ces amendes visent en premier lieu les personnes responsables au sein de l’entreprise, et non l’entreprise elle-même.
Si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour les personnes concernées, vous devez en outre l’annoncer dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT).
Liste de contrôle pour votre site
Formulaires : ne demandez que les données dont vous avez vraiment besoin et transmettez-les de manière chiffrée, via HTTPS. Outils d’analyse : vérifiez quelles données sont collectées, si les adresses IP sont tronquées et où le fournisseur stocke les données.
Contenus intégrés : Google Maps, les vidéos YouTube et les polices chargées depuis un serveur externe, comme Google Fonts, transmettent des données à des tiers dès l’ouverture de la page. Vous pouvez héberger les polices sur votre propre serveur et ne charger les cartes et les vidéos qu’après un clic.
Hébergement et contrats : vérifiez dans quel pays sont stockés votre site et les données de vos formulaires. Avec les prestataires qui traitent des données pour votre compte, par exemple l’hébergeur, le service de newsletter ou le fournisseur du CRM, réglez la sous-traitance par contrat.
Questions fréquentes
La nLPD s’applique-t-elle aussi aux petits sites?
Oui, la loi ne prévoit pas de taille minimale. Dès que votre site traite des données personnelles, par exemple via un formulaire de contact, le devoir d’informer s’applique. Les allègements pour les PME concernent surtout la documentation interne.
Ma PME doit-elle tenir un registre des activités de traitement?
Les entreprises de moins de 250 collaborateurs en sont en principe dispensées. L’exception ne s’applique pas si vous traitez des données sensibles à grande échelle ou si vous effectuez un profilage à risque élevé. Un registre simple aide néanmoins à garder une vue d’ensemble.
Ai-je besoin d’un conseiller à la protection des données?
Pour une entreprise privée, la nomination d’un conseiller à la protection des données est facultative. Il peut être interne ou externe et vous aide pour les questions et les formations. Pour beaucoup de PME, il suffit qu’une personne de l’entreprise soit chargée du sujet.