Sites web : mises à jour et différences entre la nLPD suisse et le RGPD européen
Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) est en vigueur en Suisse. Elle remplace la loi de 1992 et apporte des changements importants concernant la protection des données personnelles et l’obligation de conformité, afin de garantir un niveau de sécurité proche de celui du RGPD de l’UE.
Selon cette nouvelle réglementation, tous les sites web qui traitent des données personnelles d’utilisateurs situés en Suisse doivent respecter des exigences essentielles sur l’utilisation des cookies, le consentement et le suivi en ligne.
Nous examinons en détail les nouveautés introduites par la nLPD, les différences entre la loi suisse et le RGPD européen, et la manière de mettre votre site web en conformité une fois pour toutes, sans devoir souscrire d’abonnement.
La nLPD en bref : de quoi s’agit-il ?
La loi sur la protection des données (nLPD) fixe les principes de base du traitement des données personnelles et renforce leur protection. L’un des objectifs principaux de la nouvelle loi est de s’aligner autant que possible sur le règlement général sur la protection des données (RGPD) de l’Union européenne, afin de garantir la libre circulation des données personnelles entre l’Espace économique européen (EEE) et la Suisse.
Pour les sites web en particulier, lorsque des données personnelles sensibles sont traitées, la nLPD exige d’obtenir le consentement libre, éclairé et volontaire des utilisateurs situés en Suisse, et de fournir une déclaration de confidentialité. La nLPD définit les données personnelles comme toute information concernant une personne identifiée ou identifiable, par exemple les adresses IP des visiteurs.
Parmi les données sensibles, la nLPD inclut les informations sur l’origine raciale, la santé, les convictions religieuses ou politiques, les données génétiques et biométriques, la sécurité sociale et la vie sexuelle de tous les utilisateurs qui visitent un site web. Ces règles s’appliquent aux sites du secteur privé comme du secteur public, et à tout portail qui traite des données de personnes situées en Suisse, où qu’il se trouve dans le monde. Les contrevenants, c’est-à-dire tous les sites non conformes, s’exposent à de lourdes amendes pouvant atteindre CHF 250 000.
Les principaux changements apportés par la nouvelle loi
La nouvelle loi sur la protection des données (nLPD) apporte plusieurs modifications par rapport à l’ancienne loi. Parmi les plus importantes :
- Privacy by Design : des mesures techniques doivent être prises dès la phase de planification d’un projet web afin de garantir la sécurité des données ;
- Exigences de consentement renforcées : la nouvelle loi accorde plus d’attention à l’information des personnes concernées sur la collecte et l’utilisation de leurs données personnelles. Les entreprises doivent indiquer explicitement sur leur site web le type de données collectées, les finalités et d’autres éléments, ainsi que les droits des utilisateurs et la manière de les exercer.
- Exercice facilité des droits des personnes concernées : les utilisateurs doivent pouvoir accéder à leurs droits et les exercer plus rapidement, en demandant simplement aux entreprises des informations sur l’utilisation de leurs données personnelles.
Sur quels points faut-il intervenir pour rendre un site web ou un e-commerce conforme à la nLPD et au RGPD ?
Il est clair que tous les sites web et boutiques en ligne qui gèrent des informations personnelles d’utilisateurs suisses doivent se conformer aux nouvelles règles.
Concrètement, quelles mesures faut-il prendre pour être en conformité ?
Il faut intégrer une bannière de cookies conforme : elle doit contenir des informations claires sur les paramètres de cookies de votre site web et sur vos pratiques de traitement des données personnelles. Comme le RGPD de l’UE, la nLPD suisse exige que le consentement de l’utilisateur aux cookies soit spécifique, c’est-à-dire demandé pour chaque type de finalité poursuivie. Une bannière de consentement correcte ne doit pas comporter de cases précochées, donc de cookies activés par défaut. Elle ne doit pas pousser ni contraindre les utilisateurs à consentir, et ne doit pas interpréter comme un consentement le fait de faire défiler la page ou de continuer à naviguer sur le domaine. Si un visiteur refuse un cookie soumis à consentement, l’accès au site web ne peut pas lui être refusé.
Il est important de mettre à disposition des utilisateurs une politique de confidentialité et une politique de cookies, qui doivent contenir des informations sur l’identité et les coordonnées du responsable du traitement (l’entreprise elle-même ou des tiers), sur les finalités des cookies qui seront déposés et/ou lus, et sur les destinataires ou catégories de destinataires des données.
Quelles sont les principales différences entre la nLPD et le RGPD ?
La nLPD suisse et le RGPD européen présentent quelques différences importantes. La nLPD est plus sévère sur certains points et moins exigeante sur d’autres, alors que le RGPD est globalement plus strict.
L’une des principales différences est que, contrairement au RGPD, la nLPD sanctionne aussi les personnes physiques et pas seulement les entreprises. De plus, contrairement au RGPD, la nLPD n’exige pas de justification pour le traitement des données personnelles.
Une autre différence concerne le champ d’application. Selon la loi suisse, la nLPD couvre tous les traitements de données, manuels comme automatisés, alors que le RGPD ne s’applique qu’au traitement manuel des données.
Par ailleurs, alors que le RGPD exige la désignation d’un responsable du traitement des données, la nLPD suisse le recommande sans le rendre obligatoire. La loi suisse met plutôt l’accent sur l’implication des collaborateurs dans la gestion des données : toutes les personnes qui entrent en contact avec les données doivent être informées de leur nature, de leur finalité et de la manière dont elles seront traitées.
Pour respecter les lois sur la protection des données, il est essentiel que chacun ait pleinement conscience des risques, des obligations et des droits liés à la protection des données.
Les principales différences entre les deux réglementations
| nLPD | RGPD | |
| Obligations d’information | Les informations exigées dans la politique de confidentialité sont moins nombreuses que dans la réglementation européenne. Il faut impérativement indiquer la liste des pays avec lesquels les données personnelles seront partagées. | Les dispositions et les exigences minimales sur les informations à inclure dans la politique de confidentialité sont détaillées à l’article 13. |
| Partage des données | Le Conseil fédéral suisse évalue si les partenaires avec lesquels les données sont partagées sont adéquats. Les clauses contractuelles types de l’Union européenne ou d’autres règles d’entreprise contraignantes sont prises en compte. | La Commission européenne évalue l’adéquation des partenaires avec lesquels les données sont partagées, en tenant compte des clauses contractuelles types ou d’autres règles d’entreprise contraignantes. |
| Sanctions | Jusqu’à 250 000 francs suisses à l’encontre du responsable ou jusqu’à 50 000 francs suisses à l’encontre de l’entreprise. | Pour une première violation ou une violation moins grave, le montant à payer s’élève à 2 % du chiffre d’affaires annuel total ou à 10 millions d’euros. |
| Notification d’une violation de données | Obligatoire « dans les meilleurs délais » | Obligatoire « dans les 72 heures » |
| Conseiller à la protection des données | Recommandé | Obligatoire |
| Registres des activités de traitement | Il faut inclure une liste des pays dans lesquels les données sont communiquées. | L’art. 30 du RGPD règle toutes les informations qui doivent figurer dans la politique de confidentialité. |
| Analyses d’impact relatives à la protection des données | En cas de risque élevé, il est possible de s’adresser au conseiller à la protection des données plutôt qu’au Préposé fédéral à la protection des données et à la transparence (PFPDT). | En cas de risque élevé, il faut consulter l’autorité de contrôle compétente. |
Pourquoi est-il essentiel de mettre son site web en conformité avec la nouvelle nLPD ?
Il est indispensable de s’adapter à la nouvelle loi, car c’est la seule façon pour un site web d’entreprise de garantir un traitement sûr et responsable des données.
Aujourd’hui, la transparence et la confiance représentent un avantage concurrentiel pour les entreprises. Ne pas se conformer et ne pas assurer une protection adéquate pourrait nuire gravement à la réputation de la marque. Une autre raison à ne pas sous-estimer est la nécessité de rester compétitif face à l’Union européenne. C’est la seule façon de pouvoir transférer des données au niveau international et de continuer à faire des affaires sur le marché européen.
Votre site web est-il conforme à la nouvelle loi ?
Ce que easy4you peut faire pour votre PME
easy4you accompagne les PME suisses de façon pratique et concrète dans leur passage au numérique et dans le respect des règles sur la protection des données. Nous pouvons notamment vous aider avec :
Audit de la situation actuelle
Nous analysons votre site web et vos processus numériques pour vérifier :
- quelles données vous collectez et comment elles sont utilisées
- si les cookies et les formulaires de contact sont conformes à la loi
- comment les consentements des utilisateurs sont gérés
Vous savez ainsi où vous en êtes et ce qui manque pour être en conformité.
Mise en place des mesures exigées par la nLPD et le RGPD
Sur la base de l’audit, easy4you s’occupe de :
- mettre à jour la déclaration de confidentialité pour qu’elle soit cohérente avec la nLPD et le RGPD
- configurer les bannières de cookies de manière conforme
- gérer le traitement des consentements de manière sûre et traçable
Aide pour la protection technique des données
Nous vous aidons à :
- mettre en place l’authentification multifacteur (MFA)
- configurer des sauvegardes régulières des données
- sécuriser les formulaires, les bases de données et les accès d’administration
Les risques de violation et de sanction diminuent ainsi fortement.
Formation des équipes et des collaborateurs
easy4you accompagne les PME suisses de façon pratique et concrète dans leur passage au numérique et dans le respect des règles sur la protection des données. Nous pouvons notamment vous aider a
Suivi et mises à jour en continu
Les règles évoluent, et easy4you propose un suivi continu : nous mettons à jour les paramètres quand les règles ou les bonnes pratiques changent, et nous vous aidons, vous et votre entreprise, à rester toujours en règle.
En bref, avec easy4you, vous ne vous contentez pas de « vous mettre en règle une fois » : vous construisez un système de protection des données solide, durable et évolutif.
Conclusion
La protection des données fait partie de votre présence en ligne autant que de la réputation de votre entreprise. Qu’il s’agisse de collecter des adresses e-mail pour une newsletter, de gérer des formulaires de contact, de suivre l’activité sur le site au moyen de cookies ou de conserver des données clients, chaque aspect demande une gestion transparente, sûre et conforme à la nLPD et, le cas échéant, au RGPD.
Se mettre en conformité permet de respecter la loi et de donner aux visiteurs et aux clients des garanties sur la manière dont vous traitez leurs données.
L’intégration correcte d’une politique de confidentialité, d’une bannière de cookies et de systèmes techniques sûrs fait partie d’une stratégie numérique moderne. Et si la nLPD et le RGPD diffèrent dans leurs exigences et leurs sanctions, une base de conformité commune permet de gérer la protection des données de façon cohérente et professionnelle.
Si vous n’êtes pas sûr que votre site web soit entièrement conforme, ou si vous voulez simplifier la gestion des données en l’alignant sur des bonnes pratiques claires et à jour, faisons ensemble une vérification gratuite.
