Politique de confidentialité selon la nLPD, le guide pour le site d'une PME

Ce que la nLPD change pour le site d'une PME

La nouvelle loi fédérale sur la protection des données (nLPD, RS 235.1) concerne toute entreprise en Suisse qui traite des données de personnes physiques : clients, prospects, candidats, abonnés à une newsletter, visiteurs d'un site. Les données d'une société en tant que telle ne sont plus protégées, mais le nom et l'adresse e-mail d'une personne qui y travaille le sont.

Sur un site de PME, les données personnelles sont plus nombreuses qu'on ne le pense : le contenu d'un formulaire de contact ou de demande d'offre, une candidature spontanée, une inscription à la newsletter, les adresses IP que votre hébergeur consigne dans ses journaux, et tout ce que chargent des outils tiers comme les statistiques, les cartes, les vidéos ou le chat.

Le point qui vous concerne le plus est le devoir d'informer (art. 19 LPD). Quand vous collectez des données personnelles, vous devez en informer les personnes de manière adéquate. Au minimum : qui est responsable et comment le joindre, dans quel but les données sont traitées et, s'il y en a, à qui elles sont communiquées. Si des données partent à l'étranger, il faut nommer le pays. La loi ne prescrit pas de forme, mais l'usage est une page « Politique de confidentialité » avec un lien sur chaque page.

La loi prévoit des amendes pénales, sur plainte, pour certaines violations, dont un manquement au devoir d'informer. Cet article ne constitue pas un conseil juridique. Il se limite à la page du site, alors que la nLPD couvre aussi la sécurité et les sous-traitants. Le RGPD peut en outre s'appliquer si votre site s'adresse activement à des personnes dans l'UE, par exemple en livrant en France. Faites-vous alors conseiller.

Étape 1, l'inventaire en trente minutes

Avant d'écrire, il faut savoir ce que fait réellement le site. Une politique copiée d'un modèle qui annonce des statistiques que vous n'utilisez pas, ou qui oublie la carte que vous avez intégrée, est pire qu'un texte court et exact.

1. Les formulaires. Contact, demande d'offre, réservation, candidature, newsletter. Pour chacun : quels champs, où arrivent les messages, qui y a accès.
2. Les outils tiers. Statistiques, cartes, vidéos, polices de caractères, chat, réservation, paiement, boutons de réseaux sociaux. Pour chacun : qui le fournit, dans quel pays les données sont traitées, ce que la documentation du fournisseur indique.
3. L'hébergement et l'e-mail. Chez qui est le site, dans quel pays, et quelles personnes ou agences y ont accès.
4. Les journaux du serveur. Votre hébergeur consigne en général l'adresse IP, la date et les pages consultées. Demandez-lui pendant combien de temps.
5. Les cookies. Voir le guide sur la bannière de cookies en Suisse.
6. Les durées de conservation. Combien de temps gardez-vous une demande d'offre restée sans suite, une candidature non retenue ?

Si une réponse manque, posez la question à l'agence qui a construit le site ou à l'hébergeur. Ils doivent pouvoir répondre.

Étape 2, la structure de la page

Neuf rubriques suffisent à la plupart des PME :

1. Responsable du traitement. Nom ou raison de commerce, adresse, adresse e-mail pour les questions de protection des données.
2. Données traitées et buts. Par situation : visite du site, formulaire, newsletter, candidature, commande.
3. Destinataires et prestataires. Hébergeur, outils, agence, prestataire de paiement.
4. Communication à l'étranger. Le nom des pays concernés et, le cas échéant, les garanties.
5. Durée de conservation. Combien de temps, ou selon quel critère.
6. Sécurité. Mesures générales, sans détails qui aideraient un attaquant.
7. Vos droits. Accès, rectification, effacement, opposition, remise des données, et comment les faire valoir. Mentionnez aussi la possibilité de s'adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT).
8. Cookies et outils de mesure. Ce qui est utilisé et comment refuser.
9. Date de la dernière mise à jour.

Étape 3, écrire simplement et mettre la page en ligne

Écrivez comme vous parleriez à un client : phrases courtes, mots simples. Voici un exemple pour un formulaire de contact, à adapter à votre situation réelle : « Lorsque vous nous écrivez par le formulaire de contact, nous traitons votre nom, votre adresse e-mail et votre message pour répondre à votre demande. Nous les conservons le temps nécessaire au traitement de la demande, puis nous les supprimons, sauf si la loi nous oblige à les garder. »

Un autre, pour les journaux du serveur : « Lorsque vous consultez notre site, notre hébergeur enregistre des informations techniques (adresse IP, date et heure, pages consultées) pour assurer le fonctionnement et la sécurité du site. »

Si vous n'utilisez pas de statistiques, dites-le ou omettez la rubrique, mais n'écrivez jamais ce qui est faux. Placez le lien dans le pied de page de chaque page et près de chaque formulaire, avec une phrase du type « Nous traitons vos données selon notre politique de confidentialité ». Gardez-la séparée des mentions légales.

La garder à jour

La politique vieillit dès que le site change. Relisez-la chaque fois que vous ajoutez un formulaire ou un outil, changez d'hébergeur, lancez une newsletter ou qu'un prestataire modifie ses conditions. Sans changement, une relecture par an suffit à repérer ce qui a bougé sans qu'on y pense. Notez la date de mise à jour en bas de page.

Prévoir la page dès la conception du site

Une politique juste se prépare quand le site est construit, pas la veille de la mise en ligne. Les autres sujets figurent dans la vue d'ensemble des conseils.

Questions fréquentes

Qui doit avoir une politique de confidentialité ?

Toute entreprise dont le site traite des données personnelles, ce qui est le cas de presque tous les sites : un formulaire de contact, une newsletter ou les journaux de l'hébergeur suffisent.

Un générateur de texte suffit-il ?

Il peut servir de point de départ, à condition de relire chaque phrase contre ce que fait réellement votre site. Un texte qui décrit des outils que vous n'utilisez pas, ou qui en oublie, ne remplit pas son rôle.

Faut-il demander le consentement des visiteurs ?

La nLPD repose surtout sur l'information et sur le respect de principes comme la transparence, la finalité et la proportionnalité. Un consentement explicite n'est exigé que dans des cas précis, par exemple pour certaines données sensibles. Pour l'envoi de newsletters, l'accord préalable du destinataire est en principe nécessaire, avec une désinscription simple.

Mon site s'adresse aussi à des clients en France ou en Allemagne, que faire ?

Le RGPD peut alors s'appliquer en plus de la nLPD, avec des exigences supplémentaires. Dans ce cas, demandez conseil à un juriste ou à votre association professionnelle avant de publier la page.