Politique de confidentialité d’un site suisse : ce que la loi exige vraiment

Prenons la vitrine d’un menuisier, à Thoune. Une page d’accueil, quelques photos de chantiers, un formulaire « Demander un devis » et un outil qui compte les visites. Rien de commercial au sens d’une boutique. Pourtant, dès qu’un visiteur tape son nom et son adresse électronique dans le formulaire, le menuisier collecte des données personnelles. Et l’outil de statistiques en collecte aussi, ne serait-ce que des adresses IP.

La plupart des sites répondent à cette situation par une page copiée ailleurs, souvent rédigée pour le droit français, longue de plusieurs écrans et fausse sur la moitié des points. Ce n’est pas ce que demande la loi suisse.

Ce que dit la loi suisse

La loi fédérale sur la protection des données, la LPD, est entrée en vigueur dans sa version révisée le 1er septembre 2023.¹ Elle ne parle nulle part de « politique de confidentialité ». Elle impose un devoir d’informer : le responsable du traitement, c’est-à-dire celui qui décide pourquoi et comment les données sont traitées, informe la personne concernée « de manière adéquate » de la collecte de données personnelles.² La forme est libre. Une page dédiée est la solution la plus commode pour un site, mais une mention claire sous le formulaire peut aussi remplir le devoir pour ce formulaire.

Le contenu, lui, n’est pas libre. L’alinéa 2 de l’article 19 fixe un minimum que le responsable doit communiquer lors de la collecte :³

1. lettre a : son identité et ses coordonnées ;
2. lettre b : la finalité du traitement ;
3. lettre c : le cas échéant, les destinataires ou les catégories de destinataires auxquels les données sont transmises.

Trois points, donc. Si les données ne sont pas collectées auprès de la personne elle-même, il faut ajouter les catégories de données traitées, et l’information est due au plus tard un mois après l’obtention.⁴ Si les données partent à l’étranger, il faut nommer l’État, nous y revenons plus bas.

La liste de l’article 19 ne mentionne ni la durée de conservation ni la base juridique du traitement. Le droit européen les exige, le minimum suisse non. La durée de conservation réapparaît cependant dans la réponse à une demande d’accès, et c’est une bonne raison de la fixer dès maintenant.

Le cas typique : un formulaire et des statistiques

Revenons au menuisier. Pour son formulaire, les trois lettres de l’article 19 se remplissent en une phrase chacune. L’identité : son nom, l’adresse de l’atelier, une adresse électronique. La finalité : répondre à la demande et, le cas échéant, établir un devis. Les destinataires : la messagerie est confiée à un prestataire, et c’est lui qui reçoit techniquement le message. Le qualifier correctement (sous-traitant, au sens de la loi) n’est pas difficile, et nous l’avons expliqué dans l’article sur qui est responsable et qui est sous-traitant.

Pour l’outil de mesure d’audience, l’exercice est le même, avec deux questions de plus. Qui fournit l’outil, et où sont les données ? Si le fournisseur est établi hors de Suisse, il faut le dire. S’il dépose des cookies, une autre règle s’ajoute, celle de la loi sur les télécommunications, qui ne relève pas de la LPD. Nous l’avons traitée à part dans l’article Bandeau cookies en Suisse : on ne la répète pas ici.

Une créatrice qui vend des bijoux en ligne aura quelques rubriques de plus (la commande, le paiement, la livraison), mais le principe ne change pas. Chaque usage des données reçoit sa finalité et ses destinataires.

Quand l’information n’est pas due

L’article 20 prévoit des exceptions. Le responsable est délié du devoir d’informer si la personne dispose déjà des informations, si le traitement est prévu par la loi, s’il est lui-même tenu par un secret légal, ou si les conditions applicables aux médias sont remplies.⁵ En cas de collecte indirecte, l’information tombe aussi lorsqu’elle est impossible ou demande des efforts disproportionnés. Enfin, l’alinéa 3 permet de restreindre ou de différer l’information pour protéger des intérêts prépondérants.

Pour un site, la première exception est la seule qui serve vraiment. Elle ne dispense pas d’écrire : elle dispense de répéter. Le visiteur qui a lu la page de confidentialité « dispose déjà » des informations, à condition qu’elle existe et soit facile à trouver.

Les données qui partent à l’étranger

C’est le point que les modèles copiés oublient le plus souvent. Lorsque des données sont communiquées à l’étranger, l’information doit indiquer le nom de l’État et, le cas échéant, les garanties prévues ou l’exception invoquée.⁶

La communication est libre vers un État dont le Conseil fédéral a constaté qu’il assure un niveau de protection adéquat.⁷ La liste figure à l’annexe 1 de l’ordonnance sur la protection des données (OPDo) : elle comprend notamment les États de l’Union européenne et de l’Espace économique européen, le Royaume-Uni et le Canada.⁸ Les États-Unis y figurent depuis le 15 septembre 2024, mais avec une réserve qui change tout : l’adéquation ne vaut que pour les organisations certifiées selon le cadre de protection des données entre la Suisse et les États-Unis (Swiss-US Data Privacy Framework, DPF).⁹ Un fournisseur américain non certifié ne bénéficie pas de la liste. Il faut alors des garanties, par exemple des clauses types reconnues par le Préposé fédéral.¹⁰

Pour l’outil de statistiques, cela donne une vérification simple : où le fournisseur traite-t-il les données, et, s’il est américain, figure-t-il sur la liste des organisations certifiées ? La réponse va dans la politique, avec le nom du pays. Le mécanisme d’ensemble est décrit dans l’article sur le double régime suisse et européen.

Le droit d’accès, l’autre face de l’information

Tout visiteur peut demander au responsable s’il traite des données le concernant. La réponse contient au minimum l’identité du responsable, les données traitées, la finalité, la durée de conservation ou les critères qui la fixent, l’origine des données, l’existence d’une décision automatisée et les destinataires, y compris les informations sur l’étranger.¹¹ Elle est en principe gratuite et fournie en règle générale dans les 30 jours.¹²

D’où le conseil donné plus haut. Un exploitant qui a déjà écrit dans sa politique combien de temps il garde les messages du formulaire n’aura rien à chercher le jour où quelqu’un pose la question. La politique sert aussi à indiquer à qui adresser cette demande, et par quel moyen.

Ce que risque l’exploitant en Suisse

Les sanctions de la LPD sont pénales. L’article 60 punit d’une amende de 250 000 francs au plus les personnes privées qui, intentionnellement, omettent d’informer ou fournissent des informations inexactes ou incomplètes.¹³ Trois conditions se cumulent. Il faut une plainte. Il faut l’intention : la négligence n’est pas punissable. Et la peine vise la personne physique responsable, pas l’entreprise.

L’entreprise n’entre en scène que par l’article 64, alinéa 2.¹⁴ Lorsque l’amende envisagée ne dépasse pas 50 000 francs et que l’enquête exigerait, pour établir qui est punissable, des mesures disproportionnées, l’autorité peut renoncer à les poursuivre et condamner l’entreprise à leur place. Les 50 000 francs ne sont donc pas une amende propre aux entreprises. C’est le seuil en dessous duquel cette substitution est permise. Au-delà, la poursuite reste dirigée contre la personne. Ce sont les cantons qui poursuivent et jugent.¹⁵

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) n’inflige pas d’amende. Il ouvre des enquêtes, d’office ou sur dénonciation, et peut ordonner des mesures, dont celle d’informer les personnes concernées conformément à l’article 19.¹⁶ Celui qui ignore intentionnellement une telle décision, rendue sous menace de la peine, s’expose alors à une amende pénale.¹⁷

	Suisse (LPD)	Union européenne (RGPD)
Obligation	Informer, contenu minimal de l’art. 19 al. 2	Informer, contenu des art. 13 et 14
Qui est puni	La personne physique responsable, sur plainte, si intentionnel	Le responsable du traitement (l’entreprise)
Plafond	250 000 CHF (art. 60)	20 M€ ou 4 % du chiffre d’affaires mondial, le plus élevé (art. 83 par. 5)
Autorité	Cantons ; le PFPDT ordonne sans amender	Autorités de contrôle (en France, la Commission nationale de l’informatique et des libertés, CNIL)

Et si vos clients sont en France ou en Allemagne ?

Le règlement général sur la protection des données, le RGPD, s’applique à un responsable établi hors de l’Union lorsque le traitement est lié à l’offre de biens ou de services à des personnes qui s’y trouvent, qu’un paiement soit exigé ou non, ou au suivi de leur comportement dans l’Union.¹⁸ Le menuisier de Thoune qui travaille pour des clients bernois n’est pas concerné. La créatrice qui livre à Lyon et à Fribourg-en-Brisgau l’est probablement.

Le contenu de l’information est alors plus long. L’article 13 exige, lors de la collecte auprès de la personne, l’identité et les coordonnées du responsable et de son représentant, les coordonnées du délégué à la protection des données s’il y en a un, les finalités et la base juridique, les intérêts légitimes invoqués le cas échéant, les destinataires, et les transferts hors de l’Union.¹⁹ Il y ajoute la durée de conservation, les droits de la personne, le droit de retirer son consentement, le droit de réclamation auprès d’une autorité, le caractère obligatoire ou non de la fourniture des données, et l’existence d’une décision automatisée. L’article 14 règle le cas des données obtenues d’un tiers. L’article 12 exige une information concise, compréhensible, formulée en termes clairs et simples.

Un responsable suisse soumis au RGPD par ce canal doit en outre désigner par écrit un représentant dans l’Union, sauf traitement occasionnel, peu risqué et sans données sensibles à grande échelle.²⁰

Les plafonds sont connus, mais souvent mal cités. Une information défaillante relève de l’article 83, paragraphe 5 : 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. L’absence de représentant relève du paragraphe 4 : 10 millions ou 2 %.²¹ En France, la CNIL dispose aussi d’une procédure simplifiée, plafonnée à 20 000 euros (100 000 euros au-delà de 50 millions de chiffre d’affaires mondial).²²

Un plan de politique, rubrique par rubrique

Le plan qui suit couvre les deux régimes. Les rubriques tirées du seul RGPD peuvent rester dans la page d’un site suisse : elles ne gênent pas, et elles évitent de tenir deux versions.

1. Qui nous sommes. Nom, adresse, adresse électronique. LPD art. 19 al. 2 let. a ; RGPD art. 13 par. 1 let. a. Le représentant dans l’Union, s’il y en a un, se nomme ici.
2. Ce que le site enregistre sans que vous fassiez rien. Journaux du serveur, statistiques, avec leur but. LPD let. b ; RGPD par. 1 let. c.
3. Ce que nous recevons si vous nous écrivez, commandez ou payez. Une rubrique par usage, chacune avec sa finalité. LPD let. b ; RGPD par. 1 let. c, et la base juridique pour l’Union.
4. À qui les données sont transmises. Hébergeur, messagerie, prestataire de paiement, outil de statistiques : nommés ou par catégories. LPD let. c ; RGPD par. 1 let. e.
5. Dans quels pays. Nom de l’État, et garanties si l’État n’est pas sur la liste ou si le fournisseur américain n’est pas certifié. LPD art. 19 al. 4 et 16 ; RGPD par. 1 let. f.
6. Combien de temps nous gardons quoi. Une durée ou un critère par rubrique. Exigé par le RGPD (par. 2 let. a), utile en Suisse pour répondre au droit d’accès (LPD art. 25 al. 2 let. d).
7. Cookies. Ceux que le site dépose, et comment les refuser. Renvoi aux règles décrites dans l’article sur le bandeau.
8. Vos droits, et comment les exercer. Accès, rectification, effacement ; une adresse et un délai. LPD art. 25 et 32 ; RGPD par. 2 let. b et c.
9. À qui vous adresser en cas de désaccord. En Suisse, le PFPDT peut être saisi d’une dénonciation (LPD art. 49) ; pour l’Union, le droit de réclamation auprès d’une autorité de contrôle (RGPD par. 2 let. d).
10. Date de la dernière mise à jour.

La page de confidentialité de ce site suit cette logique en version courte. Comme le site ne dépose aucun cookie et n’utilise aucun outil de statistiques, plusieurs rubriques tiennent en une phrase. C’est l’effet d’un site sobre : la politique raccourcit avec lui.

Pour l’impressum, qui répond à d’autres règles, voir l’article sur les mentions légales. Pour la vue d’ensemble des quatre documents, voir l’article pilier de la série.

Que faire lundi matin

Faites la liste de ce que votre site collecte. Formulaires, inscriptions, commandes, statistiques, vidéos et polices chargées depuis un tiers. Pour chaque élément, notez le but, le prestataire et le pays où il traite les données. Si un prestataire est américain, vérifiez s’il figure sur la liste des organisations certifiées DPF. Fixez une durée de conservation pour les messages reçus. Puis relisez votre page actuelle avec cette liste à côté : toute ligne de la liste qui n’apparaît pas dans la page est à ajouter, toute ligne de la page qui ne correspond à rien est à retirer.

Si votre site vise des clients dans l’Union, ajoutez les rubriques propres au RGPD et posez-vous la question du représentant. Les dossiers sur le droit suisse et sur le droit européen détaillent le reste. Si vous préférez qu’on dresse cette liste avec vous, écrivez-nous.

Notes

1. Loi fédérale sur la protection des données (RS 235.1), art. 74. ↩

2. Loi fédérale sur la protection des données (RS 235.1), art. 19, al. 1. ↩

3. Loi fédérale sur la protection des données (RS 235.1), art. 19, al. 2, let. a à c. ↩

4. Loi fédérale sur la protection des données (RS 235.1), art. 19, al. 3 et 5. ↩

5. Loi fédérale sur la protection des données (RS 235.1), art. 20, al. 1 à 3. ↩

6. Loi fédérale sur la protection des données (RS 235.1), art. 19, al. 4, renvoyant aux art. 16, al. 2, et 17. ↩

7. Loi fédérale sur la protection des données (RS 235.1), art. 16, al. 1. ↩

8. Ordonnance sur la protection des données (RS 235.11), art. 8, al. 1, et annexe 1. ↩

9. Ordonnance sur la protection des données (RS 235.11), annexe 1, entrée « États-Unis », dans la teneur de l’ordonnance du 14 août 2024, en vigueur depuis le 15 septembre 2024 (RO 2024 435). ↩

10. Loi fédérale sur la protection des données (RS 235.1), art. 16, al. 2, let. d. ↩

11. Loi fédérale sur la protection des données (RS 235.1), art. 25, al. 2, let. a à g. ↩

12. Loi fédérale sur la protection des données (RS 235.1), art. 25, al. 6 et 7. ↩

13. Loi fédérale sur la protection des données (RS 235.1), art. 60, al. 1, let. a et b. ↩

14. Loi fédérale sur la protection des données (RS 235.1), art. 64, al. 2. ↩

15. Loi fédérale sur la protection des données (RS 235.1), art. 65, al. 1. ↩

16. Loi fédérale sur la protection des données (RS 235.1), art. 49 et 51, al. 3, let. c. ↩

17. Loi fédérale sur la protection des données (RS 235.1), art. 63. ↩

18. Règlement (UE) 2016/679, art. 3, par. 2, let. a et b. ↩

19. Règlement (UE) 2016/679, art. 13, par. 1 et 2 ; art. 14 ; art. 12, par. 1. ↩

20. Règlement (UE) 2016/679, art. 27, par. 1 et 2. ↩

21. Règlement (UE) 2016/679, art. 83, par. 4, let. a, et par. 5, let. b. ↩

22. Loi n° 78-17 du 6 janvier 1978, art. 22-1, reproduction publiée par la CNIL (page du 15 novembre 2024), qui renvoie à Légifrance comme seul texte faisant foi. ↩