Vous savez maintenant ce que dit la nLPD et en quoi elle diffère du RGPD. Reste la question la plus concrète : que faut-il changer sur votre site web, dans quel ordre, et avec quel niveau d’effort. Voici une checklist en 9 points, pensée pour une PME ou un indépendant suisse qui gère son site lui-même, sans service juridique dédié.
1. Faire l’inventaire des cookies et traceurs déposés sur le site
Avant de corriger quoi que ce soit, il faut savoir ce que le site dépose réellement. Ouvrez les outils de développement du navigateur (onglet Réseau ou Application/Cookies) sur votre page d’accueil, avant toute interaction avec une éventuelle bannière, et notez chaque cookie tiers : Google Analytics, un pixel publicitaire, une vidéo YouTube intégrée, un chat en ligne. La plupart des sites WordPress ou e-commerce en accumulent plus qu’on ne le pense.
Temps estimé : 30 minutes. Niveau : débutant.
2. Installer un bandeau de consentement qui bloque réellement les cookies
C’est l’étape la plus visible, et la plus souvent mal faite. Un bandeau qui s’affiche sans rien bloquer tant que la personne n’a pas répondu ne sert à rien juridiquement, même s’il donne l’impression d’être en règle. Le bandeau doit empêcher le chargement des cookies non essentiels tant que le visiteur n’a pas donné son accord, et conserver une preuve horodatée de ce choix.
Comme détaillé dans notre article sur la nLPD, la loi suisse seule laisse un peu de latitude via le modèle d’opt-out de l’article 45c LTC, mais dès que votre site reçoit du trafic européen ou utilise des outils publicitaires tiers, l’opt-in devient la norme prudente à appliquer partout. C’est exactement ce que fait Äso!, notre plugin WordPress suisse : bandeau qui bloque réellement les tags, configuration en quelques minutes, hébergement et support en Suisse. La version gratuite couvre déjà un domaine et jusqu’à 200 interactions par mois, largement suffisant pour tester sur un petit site.
Temps estimé : 1 à 2 heures pour la configuration initiale. Niveau : débutant à intermédiaire.
3. Mettre à jour la politique de confidentialité
Chaque personne dont vous collectez des données a le droit de savoir quoi, pourquoi, et combien de temps. La politique de confidentialité doit être rédigée dans un langage accessible, pas dans un jargon juridique copié d’un autre site, et couvrir au minimum : les catégories de données collectées, les finalités du traitement, les destinataires (y compris les sous-traitants comme votre hébergeur ou votre outil d’e-mailing), la durée de conservation, et les modalités d’exercice des droits.
Temps estimé : 2 à 4 heures si vous partez d’un modèle, une demi-journée si vous partez de zéro. Niveau : intermédiaire.
4. Vérifier chaque formulaire du site
Formulaire de contact, inscription à une newsletter, création de compte : chacun doit collecter le minimum nécessaire (principe de proportionnalité), informer la personne de l’usage qui sera fait de ses données au moment de la collecte, et ne pas pré-cocher de case de consentement pour un usage secondaire comme l’envoi d’offres commerciales. Un lien vers la politique de confidentialité à proximité du bouton d’envoi suffit généralement pour l’obligation d’information.
Temps estimé : 1 heure par formulaire. Niveau : débutant.
5. Vérifier si le registre des activités de traitement est obligatoire pour vous
La nLPD impose en principe un registre documentant quelles données vous traitez, pour quelles finalités, et avec quelles mesures de sécurité. Les entreprises dont le traitement présente un risque limité pour les personnes concernées bénéficient d’un allègement de cette obligation. Pour une PME qui se contente de collecter des coordonnées de contact et des données de navigation classiques, un registre simple sur un tableur suffit largement : il n’a pas besoin d’être un document juridique complexe, mais il doit exister et être tenu à jour.
Temps estimé : 2 à 3 heures pour la première version. Niveau : intermédiaire.
6. Passer en revue les outils tiers et sous-traitants du site
Hébergeur, outil d’analytics, plateforme d’e-mailing, CRM, chat en ligne : chacun de ces prestataires traite vos données pour votre compte. Vérifiez où ils hébergent les données (Suisse, UE, ou pays tiers sans garantie équivalente), s’ils proposent un contrat de sous-traitance conforme, et s’ils sont eux-mêmes engagés à respecter des standards de sécurité suffisants. Un hébergement suisse ou européen simplifie nettement cette étape par rapport à un outil hébergé aux États-Unis sans mécanisme de transfert encadré.
Temps estimé : 2 à 4 heures selon le nombre d’outils utilisés. Niveau : intermédiaire.
7. Préparer la procédure en cas de violation de données
Mieux vaut savoir quoi faire avant qu’un incident survienne que de l’improviser dans l’urgence. Identifiez qui, dans votre structure, doit être alerté en cas de fuite de données (même vous, si vous êtes indépendant), et gardez sous la main le lien vers le formulaire de notification en ligne du Préposé fédéral à la protection des données et à la transparence (PFPDT, edoeb.admin.ch). La loi impose une annonce « dans les meilleurs délais » lorsque le risque pour les personnes concernées est élevé, sans délai chiffré, mais agir vite reste la meilleure protection, autant pour les personnes concernées que pour votre propre responsabilité.
Temps estimé : 30 minutes pour documenter la procédure. Niveau : débutant.
8. Savoir répondre à une demande d’accès
N’importe quel visiteur ou client peut vous demander quelles données vous détenez sur lui. La nLPD fixe un délai de réponse de 30 jours, aligné sur le standard européen. Préparez à l’avance un modèle de réponse et sachez où retrouver rapidement les données d’une personne dans vos outils (formulaire, CRM, newsletter), pour ne pas partir de zéro le jour où la demande arrive. Les autres droits à connaître : rectification, effacement, limitation du traitement, et portabilité des données lorsque le traitement est automatisé.
Temps estimé : 1 heure pour préparer le processus. Niveau : intermédiaire.
9. Vérifier si le RGPD s’applique aussi à vous
Si votre site vend à des clients dans l’Union européenne, cible explicitement une clientèle européenne, ou suit le comportement de visiteurs européens via des cookies analytiques ou publicitaires, le RGPD s’applique en plus de la nLPD. Dans ce cas, appliquez systématiquement le régime le plus strict des deux (l’opt-in pour les cookies, notamment), et vérifiez si vous devez désigner un représentant dans l’UE au titre de l’article 27 du RGPD. Notre article nLPD vs RGPD, quelles différences pour un site web suisse ? détaille ce point avec un tableau comparatif complet.
Temps estimé : 1 heure pour l’évaluation initiale. Niveau : intermédiaire.
Combien de temps pour tout mettre en place ?
Pour un site simple (vitrine, quelques formulaires, un outil d’analytics), comptez une à deux journées de travail réparties sur les 9 points, bandeau de consentement inclus. Pour un site plus complexe avec e-commerce, CRM et plusieurs outils tiers, prévoyez plutôt une semaine étalée sur deux à trois semaines calendaires, pour laisser le temps de traiter la question des sous-traitants et de fiabiliser le registre des traitements.
Résumé de la checklist
- 1. Inventaire des cookies et traceurs du site
- 2. Bandeau de consentement qui bloque réellement les cookies
- 3. Politique de confidentialité à jour et en langage clair
- 4. Formulaires vérifiés (information, pas de case pré-cochée)
- 5. Registre des activités de traitement, si applicable
- 6. Revue des outils tiers et sous-traitants
- 7. Procédure en cas de violation de données préparée
- 8. Processus de réponse aux demandes d’accès prêt (délai : 30 jours)
- 9. Évaluation de l’applicabilité du RGPD en complément
Foire aux questions
Par où commencer une mise en conformité nLPD quand on n'a pas de service juridique ?
Par l’inventaire des cookies et l’installation d’un bandeau de consentement qui bloque réellement les traceurs non essentiels : c’est l’action la plus visible, la plus rapide à mettre en place, et celle qui couvre la partie la plus consultée du site par les visiteurs.
Un indépendant ou une petite structure doit-il tenir un registre des traitements ?
La nLPD prévoit un allègement pour les structures dont le traitement présente un risque limité pour les personnes concernées. Dans la pratique, un registre simple sur tableur reste recommandé même dans ce cas, car il sert aussi de preuve de bonne foi en cas de contrôle.
Combien de temps pour mettre un site simple en conformité ?
Comptez une à deux journées de travail pour un site vitrine classique avec quelques formulaires et un outil d’analytics, bandeau de consentement inclus.
Quel délai pour répondre à une demande d'accès d'un client ou visiteur ?
30 jours, un délai désormais aligné sur le standard européen du RGPD.
Un bandeau de cookies gratuit suffit-il pour être en conformité ?
Ça dépend de ce qu’il fait réellement, pas de son prix. Un bandeau qui bloque effectivement les cookies non essentiels jusqu’au choix du visiteur et qui conserve une preuve du consentement peut suffire, même en version gratuite, pour un site avec un volume d’interactions limité. Ce qui ne suffit jamais, c’est un bandeau purement cosmétique qui laisse les cookies se charger avant toute réponse.
Sources officielles citées
- Confédération suisse, kmu.admin.ch : Nouvelle loi sur la protection des données (nLPD)
- EDÖB, Préposé fédéral à la protection des données et à la transparence
- Graduate Institute Geneva, LibGuides : Les droits des personnes concernées
- Graduate Institute Geneva, LibGuides : Les grands principes de la protection des données en Suisse