nLPD et site web : mettre son site en conformité en Suisse

Dans cet article

• Que doit contenir un site web pour être conforme à la nLPD ?
• nLPD, « RGPD suisse » ou RGPD : laquelle s'applique à votre site ?
• Cookies et traceurs : ce que dit vraiment le PFPDT
• Votre déclaration de protection des données doit décrire votre site réel
• Services tiers et transferts à l'étranger : là où partent les données
• Formulaires et newsletter : deux régimes différents
• Qui risque quoi, concrètement ?
• Auditer son site en sept étapes
• Vos questions fréquentes sur la mise en conformité nLPD d'un site web
• Un site conforme, c'est un site qui dit vrai sur lui-même

Vous avez installé un bandeau cookies. Votre prestataire vous a dit que c'était réglé. Trois semaines plus tard, vous ajoutez un outil de prise de rendez-vous, une carte Google et une vidéo. Le bandeau n'a pas bougé. Personne n'a relu la déclaration de protection des données. Le site a changé, ses engagements non.

Ce scénario est courant chez les dirigeants de TPE et PME romandes. La nLPD, entrée en vigueur le 1er septembre 2023, ne se résume pas à une case à cocher. Elle demande que ce que votre site annonce corresponde à ce qu'il fait. Notre thèse : ce n'est pas le bandeau qui rend un site conforme. C'est l'accord entre ce qu'il fait et ce qu'il déclare.

Ce guide s'appuie sur les textes de l'autorité fédérale, pas sur les raccourcis des vendeurs de bandeaux. Vous saurez quoi vérifier, où la loi laisse le choix et où elle exige un accord explicite. Si vous exercez une profession réglementée, notre article sur les règles propres aux cabinets suisses complète celui-ci. Commençons par le contenu minimal d'un site en règle.

Un doute sur votre site actuel ? Faites le point avec Jérémy Mermod lors d'un rendez-vous découverte offert.

L'essentiel

Que doit contenir un site web pour être conforme à la nLPD ?

Un site conforme à la nLPD informe ses visiteurs de ce qu'il collecte. Il limite les cookies non essentiels et permet de les refuser. Il encadre les services tiers qu'il intègre et protège les données reçues. Chaque brique doit correspondre à ce que le site fait réellement.

Quatre briques, pas une seule

La loi concerne tout site qui collecte des données personnelles. Un simple formulaire de contact suffit. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est l'autorité de surveillance. Il présente la déclaration comme la traduction concrète du devoir d'informer de l'article 19 de la loi sur la protection des données (LPD). Sans elle, le visiteur ne peut ni décider librement, ni faire valoir ses droits.

Ce que la loi ne prescrit pas

Ni la LPD ni son ordonnance n'imposent de forme à l'information. Le PFPDT le rappelle dans son guide sur les cookies. Déclaration, pictogramme ou note sur le site : tout est admis si l'information est active, claire et facile d'accès. Aucun libellé de bandeau n'est prescrit.

Le registre des activités de traitement suit la même logique de proportion. Selon le PFPDT, les entreprises de moins de 250 collaborateurs en sont dispensées si leur traitement présente un risque limité d'atteinte à la personnalité (art. 12 al. 5 LPD, art. 24 de l'ordonnance sur la protection des données). À vérifier au cas par cas : le profilage publicitaire peut sortir de ce cadre, comme nous le verrons avec les cookies.

nLPD ou RGPD

nLPD, « RGPD suisse » ou RGPD : laquelle s'applique à votre site ?

L'expression « RGPD suisse » circule beaucoup. Elle induit en erreur. Il n'existe pas de RGPD suisse. Il existe une loi suisse, la nLPD, et un règlement européen, le RGPD. Les deux peuvent s'appliquer au même site.

Quand le RGPD concerne-t-il un site suisse ?

Le RGPD s'applique hors de l'Union européenne dans deux cas qui touchent les sites web (article 3, paragraphe 2). Le premier est l'offre de biens ou de services à des personnes situées dans l'UE. Le second est le suivi de leur comportement dans l'UE. L'Union suisse des arts et métiers (USAM) donne une règle simple à ses membres. Ouvrir un site suisse depuis l'UE n'est pas, en soi, un indice d'intention de s'adresser à ce marché.

Le site genevois qui parle aussi à la France voisine

Imaginons une TPE genevoise qui livre en France. Elle affiche des offres libellées dans la monnaie de l'UE et cible la région d'Annemasse dans ses publicités. Ces signaux ressemblent à une offre adressée à des résidents de l'UE. L'USAM cite elle-même les offres libellées dans cette monnaie parmi les indices qui font basculer une entreprise suisse dans le champ du RGPD.

Le cas est fréquent à Genève, où la clientèle transfrontalière est naturelle. Si votre site relève des deux régimes, notre lecture est simple : le plus strict commande votre bandeau. Côté suisse, l'approche du PFPDT repose d'abord sur l'information et le droit de s'opposer.

Être conforme au RGPD ne suffit pas pour la nLPD

Beaucoup de pages affirment qu'un site conforme au RGPD l'est presque automatiquement à la nLPD. C'est une approximation. Le PFPDT relève un écart : la LPD demande aussi d'indiquer l'État destinataire des données et les garanties prévues quand elles quittent la Suisse. Une déclaration copiée d'un modèle européen peut donc manquer ce point.

Les cookies

Cookies et traceurs : ce que dit vraiment le PFPDT

Le PFPDT a publié en janvier 2025 un guide sur les cookies et technologies similaires, adapté le 6 octobre 2025. C'est le document de référence. Il contredit deux idées reçues : celle du consentement préalable obligatoire pour tout cookie, et celle du simple bandeau d'information sans choix.

Trois niveaux de risque, pas deux

La Suisse ne raisonne pas en « cookies acceptés ou refusés ». Selon l'annexe A du guide, chaque usage reçoit une note de risque. Elle tient compte du lien avec une personne, de la nécessité technique, de l'attente des visiteurs, du profilage et du caractère sensible des données. Trois zones en découlent.

• De 0 à 1, risque faible : cookies nécessaires. Le visiteur accepte l'ensemble de l'offre ou y renonce, sans choix détaillé.
• De 1 à 2,5, risque moyen : cookies fonctionnels et profilage « normal ». L'opt-out est obligatoire : le cookie peut être actif, mais le visiteur doit pouvoir s'y opposer facilement.
• Au-dessus de 2,5, risque élevé : usages qualifiés. L'opt-in est obligatoire : le visiteur doit agir activement avant le dépôt.

Le guide précise qu'aucune règle ne rend le consentement obligatoire pour tout cookie non essentiel. Le consentement n'est qu'un des motifs qui justifient une atteinte à la personnalité. Dans la pratique, les responsables n'en demandent que lorsque le simple droit d'opposition ne suffit plus.

Les cookies essentiels : aucun choix à proposer

Un cookie est essentiel quand le site ne fonctionnerait pas sans lui. Le PFPDT en donne une liste d'exemples :

• le panier d'achat d'une boutique en ligne ;
• la mémorisation d'une saisie en cours dans un formulaire ;
• la connexion à une zone protégée ;
• le choix de la langue ;
• l'enregistrement du choix de cookies lui-même ;
• la répartition de la charge entre serveurs ;
• la protection contre les tentatives de connexion répétées ;
• le captcha qui distingue un humain d'un robot.

Ces cookies ne doivent pas contenir d'identifiant unique inutile. Pour la langue, une valeur du type « language: fr » suffit. Si votre outil de langue ou votre captcha dépose un identifiant personnel, il sort de la catégorie.

La mesure d'audience : possible, sous conditions

Le PFPDT admet l'analyse des visites si trois conditions sont réunies. Les données sont rendues anonymes dès que la finalité le permet, c'est-à-dire en général immédiatement sur un site web. Les résultats sont publiés sans que personne soit identifiable. Un outil externe reste possible à condition que son fournisseur traite les données pour votre compte, pas pour ses propres buts.

Le guide ajoute un garde-fou. L'intérêt à analyser vos flux de visiteurs ne justifie pas l'analyse de données personnelles si une analyse de données anonymes suffit. La question à poser à votre prestataire est donc concrète : que fait son outil des données, et pour qui ?

Publicité ciblée et pixels : la zone qui exige un accord actif

Un suivi publicitaire par profilage « normal », pour vos propres offres, relève du droit d'opposition. Le seuil change quand le suivi s'étend sur plusieurs sites, alimente des enchères publicitaires ou combine de nombreuses sources de données. Le guide parle alors de profilage à risque élevé et exige un consentement exprès. Tant que vous ne pouvez pas exclure ce seuil, il invite à partir du principe que le risque est élevé.

Notre lecture : un pixel de régie publicitaire, comme ceux qui alimentent vos campagnes Google Ads, se situe dans cette zone grise. La prudence consiste à le déclencher seulement après un clic actif. À valider avec votre conseil juridique selon vos outils exacts.

La barre monte encore si votre site touche à des données sensibles. Le guide qualifie d'atteinte d'intensité élevée l'usage de cookies non essentiels dans le contexte de données sensibles, comme la santé. Pour un site de thérapeute ou de coach, un pixel publicitaire ne se pose donc pas à la légère.

Ce que cela donne pour une TPE genevoise

Prenons le cas d'une menuiserie genevoise avec un site vitrine. Elle utilise un cookie de langue, un outil de statistiques, une carte intégrée et un pixel publicitaire. Le cookie de langue n'appelle aucun choix. Les statistiques sont défendables si elles sont anonymisées. La carte et le pixel sont des services tiers qui doivent attendre l'accord du visiteur. Son bandeau n'est pas un « tout accepter » : il propose de refuser et de paramétrer par finalité.

Les pièges du bandeau

Le guide est précis sur la forme, et c'est là que beaucoup de sites échouent.

• Un seul gros bouton « tout accepter ».Une boîte de dialogue qui ne laisse que « tout » ou rien ne reflète pas une volonté claire. Les présentations trompeuses, appelées dark patterns, peuvent annuler le consentement.
• Un refus plus compliqué que l'acceptation.La révocation doit rester simple et accessible à tout moment, sans obstacle administratif.
• Un libellé vague.Une formule comme « à des fins de marketing » ne constitue pas un consentement spécifique.
• Des cookies déjà actifs derrière le bandeau.Tant que le visiteur n'a pas pu prendre connaissance du traitement, le site doit se limiter au minimum nécessaire. Le PFPDT recommande une solution en deux clics pour les plugins sociaux et les pixels de suivi.

L'enjeu n'est pas anodin. L'article 45c de la loi sur les télécommunications impose d'informer sur les cookies et sur la possibilité de les refuser. Selon une note du guide, sa violation est punie d'une amende de CHF 5'000 au plus, par intention ou par négligence.

Vous hésitez sur le niveau de risque de vos outils ? Décrivez votre site en quelques lignes, nous vous dirons ce qu'il faut regarder en premier.

La déclaration

Votre déclaration de protection des données doit décrire votre site réel

La déclaration est la pièce que le visiteur lit, et celle que l'autorité demande en premier. Le PFPDT est net : elle doit correspondre aux traitements réellement effectués. Il déconseille les formules du type « dans certaines circonstances, nous sommes susceptibles de traiter vos données ». Un texte vague n'informe personne.

Ce qu'elle doit contenir

D'après la page du PFPDT consacrée à la déclaration, le visiteur doit trouver au minimum :

• qui est responsable du traitement des données ;
• quelles données personnelles sont collectées, et à quelles fins ;
• combien de temps elles sont conservées, et quelles options le visiteur a sur ses données ;
• quelles données sont transmises à des tiers, et pourquoi ;
• quels services tiers sont intégrés au site, et comment s'opposer à la transmission ;
• à qui s'adresser pour exercer ses droits ;
• à quelles lois le traitement est soumis.

Si des données quittent la Suisse, le devoir d'informer vise aussi l'État destinataire et les garanties prévues. Le PFPDT recommande une approche par paliers. Un premier niveau en mots-clés renvoie vers les passages détaillés, puis vient une version complète pour les spécialistes.

Pourquoi un modèle copié est un risque

Prenons le cas d'un indépendant qui a recopié la politique d'un site français. Elle cite la CNIL, ne mentionne aucun contact en Suisse et décrit un outil de statistiques qu'il n'utilise plus. Elle ignore en revanche son outil de rendez-vous en ligne. Le texte semble sérieux. Il est faux ou incomplet sur quatre points.

Le défaut d'information est l'un des quatre comportements que le PFPDT cite parmi les infractions de la LPD (art. 60). Seule la violation intentionnelle est punissable au pénal. Ce n'est pas une raison de laisser l'écart en place : une fois connu, le corriger relève de la simple prudence.

Plusieurs langues, une déclaration par langue

Le PFPDT précise que, pour un site plurilingue, la déclaration doit exister dans chacune des langues. Un site français et allemand avec une déclaration française seulement est incomplet. Si vous préparez une version bilingue, notre article sur le site multilingue en Suisse aide à choisir les langues.

Les services tiers

Services tiers et transferts à l'étranger : là où partent les données

La plupart des données qui quittent un site ne passent pas par votre serveur. Elles partent du navigateur du visiteur vers des tiers que votre site appelle. C'est le point aveugle de beaucoup de TPE et PME.

Inventoriez ce que votre site charge

Le PFPDT cite les services tiers à recenser : outils d'analyse, plugins sociaux, cartes, informations météorologiques, cours de bourse. Ajoutez-y les vidéos, le chat et la prise de rendez-vous. Chaque service qui s'affiche sur votre page peut recevoir une partie des données du visiteur.

Le guide ajoute un point que peu de sites mesurent. Un tiers peut collecter des données pour ses propres buts, par exemple via une vidéo ou un plugin social. La responsabilité est alors en principe partagée avec vous. Elle ne s'arrête pas là où commencent les conditions d'utilisation du tiers. Renseignez-vous sur ce qu'il fait des données.

Sous-traitant ou tiers autonome ?

Un prestataire qui traite des données pour votre compte est un sous-traitant. L'article 9 LPD demande un contrat ou une base légale. Un prestataire qui exploite les données pour lui-même est un tiers, et la responsabilité devient partagée. Cette distinction commande ce que vous devez signer et ce que vous devez écrire dans la déclaration.

Les États-Unis ne sont plus un angle mort juridique

Le 14 août 2024, le Conseil fédéral a reconnu que les entreprises américaines certifiées au Swiss-U.S. Data Privacy Framework offrent un niveau de protection adéquat. La modification de l'ordonnance est en vigueur depuis le 15 septembre 2024. Le transfert vers une entreprise certifiée peut se faire sans garanties supplémentaires.

La condition tient en un mot : certifiée. Chaque prestataire américain doit figurer sur la liste publique du Data Privacy Framework (dataprivacyframework.gov), et sa certification se renouvelle chaque année. Vérifiez-le outil par outil, puis indiquez le pays de destination dans votre déclaration.

Les formulaires

Formulaires et newsletter : deux régimes différents

Le formulaire de contact : collectez moins

Le PFPDT donne une consigne simple aux responsables : ne collecter que les données nécessaires, et les supprimer dès qu'elles ne servent plus. Chaque champ superflu ajoute une donnée à justifier et une friction pour le visiteur. Ici, conformité et conversion vont dans le même sens. Notre article sur les raisons d'un site qui ne convertit pas le montre aussi.

Un détail technique qui expose vos données

Situation fréquente chez une TPE vaudoise : le formulaire envoie ses champs dans l'URL, par la méthode GET. La page de remerciement recopie alors l'adresse e-mail dans son propre lien. Cette adresse se retrouve dans les journaux du serveur et chez les outils de mesure qui lisent l'URL. Passez les formulaires en méthode POST et cherchez une arobase dans vos adresses de pages de remerciement.

La newsletter relève d'une autre règle

L'envoi de publicité par e-mail obéit à deux textes qui s'additionnent. La nLPD s'applique aux adresses collectées. La loi fédérale contre la concurrence déloyale encadre l'envoi de masse, avec un principe d'accord préalable explicite, l'opt-in.

Le PFPDT donne des détails utiles pour un site. L'accord passe par une case dédiée qui n'est pas précochée, et l'acceptation des conditions générales ne suffit pas. Une exception existe pour les clients qui ont acheté un produit ou un service, pour des offres similaires. La seule création d'un compte en ligne ne la déclenche pas. Chaque message doit nommer l'expéditeur et proposer un désabonnement simple et gratuit.

Ce que nous observons régulièrement : une case de newsletter précochée dans le formulaire de contact. Elle ne demande aucun geste actif du visiteur. Décochez-la, et laissez le choix à la personne.

Le PFPDT propose aussi une alternative aux traceurs dans les newsletters : des paramètres UTM ajoutés à la main aux liens. Vous voyez dans votre outil d'analyse combien de lecteurs sont arrivés sur une page, sans pixel invisible.

Les sanctions

Qui risque quoi, concrètement ?

Le montant maximal fait les titres, et il est souvent mal compris. Le PFPDT le décrit précisément. La LPD érige quatre infractions, aux articles 60 à 63. Elles sont toutes intentionnelles : la violation par négligence n'est pas punie au pénal au titre de la LPD.

Des personnes physiques, pas l'entreprise par défaut

Les infractions visent en premier lieu des personnes physiques. Au sein d'une entreprise, les personnes qui exercent une fonction de direction peuvent être condamnées. L'amende maximale est de CHF 250'000. Si l'amende envisagée ne dépasse pas CHF 50'000 et que l'enquête soit disproportionnée, l'entreprise peut être condamnée à la place. Les procureurs cantonaux poursuivent ces infractions, pas le PFPDT.

Ce qui peut vraiment vous coûter

Le risque le plus concret n'est pas forcément l'amende. Le PFPDT peut ordonner des mesures administratives pour faire respecter la loi (art. 51 LPD). Pour un site, cela peut toucher un outil de mesure ou un service tiers dont dépendent vos campagnes ou vos prises de rendez-vous.

Dans son rapport 2025/2026, publié le 30 juin 2026, l'autorité indique avoir reçu plus de 2'000 annonces de violations potentielles sur l'année. Elle est intervenue à 156 reprises auprès de responsables du traitement, a mené 22 examens préliminaires et 9 enquêtes. Le Tribunal administratif fédéral a rendu le 6 octobre 2025 son premier arrêt définitif (A-2941/2024) et a confirmé la pratique décisionnelle du préposé.

Ces chiffres couvrent tous les secteurs, publics comme privés. Ils montrent une autorité active, sans dire que les TPE sont ciblées. Ce guide donne un cadre technique et éditorial, pas un avis de droit : votre situation exacte se valide avec votre conseil juridique.

L'audit

Auditer son site en sept étapes

Une revue de base se fait sans outil payant, avec les outils de développement de votre navigateur. Comptez une demi-journée pour un site vitrine. Voici l'ordre que nous suivons.

1. Ouvrez le site en navigation privéeGardez l'onglet « Réseau » des outils de développement ouvert, sans cliquer sur le bandeau. Notez chaque domaine tiers contacté.
2. Classez chaque outilEssentiel, statistiques, publicité, ou intégration comme une carte, une vidéo ou une prise de rendez-vous.
3. Placez-le dans l'un des trois niveaux du PFPDTNécessaire, opposition possible, ou accord actif requis.
4. Comparez avec la déclarationChaque outil détecté doit y figurer, avec son but et le pays de destination des données.
5. Testez le refusRefusez, rechargez la page et vérifiez que les domaines publicitaires ne sont plus appelés. Acceptez ensuite, puis révoquez votre accord et vérifiez que les appels s'arrêtent.
6. Passez les formulaires en revueChamps utiles, méthode d'envoi, personnes qui reçoivent les messages, case de newsletter non précochée.
7. Datez la revueNotez qui valide les changements et relisez à chaque ajout d'outil.

Ce que nous observons régulièrement, c'est un bandeau qui affiche « refuser » alors que la balise publicitaire continue de se charger. Cet écart entre ce que le visiteur croit décider et ce qui se passe est le vrai défaut. Il pèse plus que l'absence d'un bandeau.

Si vous voulez un regard technique extérieur, Digispark travaille avec A-Track, partenaire spécialisé en mesure et conformité des données. Son site annonce un audit flash gratuit en 48 h. L'interprétation juridique, elle, reste celle de votre conseil.

Vos questions

Vos questions fréquentes sur la mise en conformité nLPD d'un site web

En résumé

Un site conforme, c'est un site qui dit vrai sur lui-même

La nLPD ne vous demande pas un décor. Elle demande que votre site informe, limite, encadre et protège, et que ce qu'il annonce soit exact. Le bandeau est un outil au service de cette exactitude. Il ne la remplace pas.

Pour la plupart des TPE et PME, trois gestes changent la situation. Inventorier ce que le site charge. Relire la déclaration face à cet inventaire. Tester le refus. Si votre site doit être repris ou recréé, cette discipline s'intègre dès la création de votre site web, quand elle coûte le moins.

Prêt à vérifier votre site ? Réservez votre rendez-vous découverte offert et repartez avec les premiers points à corriger.

Sources

• PFPDT, guide relatif aux traitements de données au moyen de cookies et de technologies similaires
• PFPDT, déclaration de protection des données sur Internet
• PFPDT, la nouvelle LPD du point de vue du PFPDT
• PFPDT, dispositions pénales de la LPD
• PFPDT, droit d'accès
• PFPDT, enquêtes concernant des violations des prescriptions de protection des données
• PFPDT, publicité et marketing
• PFPDT, communiqué sur le 33e rapport d'activités
• Conseil fédéral, communiqué sur le Swiss-U.S. Data Privacy Framework
• Règlement (UE) 2016/679 (RGPD), texte officiel
• Union suisse des arts et métiers, aide-mémoire sur le RGPD (2018, copie archivée)
• Fedlex, loi fédérale sur la protection des données (LPD)