La nouvelle loi fédérale sur la protection des données s’applique à toute entreprise suisse qui collecte des données personnelles, et un site internet en collecte presque toujours : un formulaire de contact, une newsletter, un compte client, des statistiques de visite. Voici ce que cela change concrètement pour votre site.
Transparence et consentement
Vous devez dire clairement quelles données vous collectez, pourquoi, et ce que vous en faites. Cela se traduit sur un site par trois éléments : une politique de confidentialité lisible et à jour, une bannière de consentement pour les traceurs qui ne sont pas strictement nécessaires, et une mention explicite à côté de chaque formulaire.
Un consentement pré-coché ou obtenu par lassitude n’est pas un consentement.
La bannière doit permettre de refuser aussi facilement que d’accepter, et les statistiques de visite ne doivent pas se déclencher avant le choix du visiteur.
Le droit à l’effacement
Toute personne peut demander la suppression de ses données. Cela suppose deux choses souvent oubliées : savoir où elles se trouvent, et pouvoir les supprimer réellement. Sur un site WordPress, les données d’un formulaire sont fréquemment stockées à trois endroits en même temps, dans la base de données du site, dans votre messagerie et chez le prestataire de newsletter. Une demande d’effacement doit couvrir les trois.
Une responsabilité accrue
Vous devez mettre en place des mesures de sécurité proportionnées : chiffrement des échanges, accès protégés, mises à jour appliquées, sauvegardes. En cas de violation de données, l’annonce au préposé fédéral et aux personnes concernées est obligatoire dans les meilleurs délais.
Concrètement, un site laissé sans mise à jour pendant un an avec un formulaire de contact actif est un risque juridique autant que technique. C’est l’un des arguments les plus solides en faveur d’un contrat de maintenance de site web.
Une liste de contrôle en huit points
- Certificat de sécurité valide sur l’ensemble du site.
- Politique de confidentialité à jour, accessible depuis toutes les pages.
- Bannière de consentement avec un refus aussi simple que l’acceptation.
- Aucun traceur non essentiel déclenché avant le choix du visiteur.
- Mention claire à côté de chaque formulaire, sur la finalité et la durée de conservation.
- Registre des traitements tenu à jour, y compris pour les sous-traitants.
- Procédure connue en cas de demande d’accès ou d’effacement.
- Sauvegardes et mises à jour effectives.
Le point souvent oublié : l’hébergement
Le lieu de stockage compte, mais la nationalité juridique de l’hébergeur compte davantage. Nous détaillons ce point dans notre article sur le cloud souverain suisse. Les sites que nous réalisons sont hébergés sur notre infrastructure en Suisse.
Questions fréquentes
Une petite entreprise est-elle concernée ?
Oui. La loi ne fixe pas de seuil de taille. Les obligations sont proportionnées au risque, mais elles existent dès le premier formulaire.
Un modèle de politique de confidentialité suffit-il ?
C’est un point de départ, à condition de l’adapter à ce que vous faites réellement. Un texte générique qui mentionne des outils que vous n’utilisez pas est contre-productif.
Cet article donne des repères pratiques et ne remplace pas un avis juridique.
Écrit par Audrey, responsable web chez YETY. Déjà 10 ans d’expérience dans la création et la gestion de sites web pour les entreprises valaisannes.