LPD révisée : ce que votre site web doit respecter

⚠ Cet article présente les principes généraux de la LPD révisée. Il ne constitue pas un conseil juridique. Les obligations exactes dépendent de votre activité et des données que vous traitez : référez-vous aux publications du Préposé fédéral à la protection des données et à la transparence, et consultez un juriste pour les situations complexes.

Depuis quand et pour qui

La loi fédérale révisée sur la protection des données est en vigueur depuis le 1er septembre 2023. Elle s'applique aux traitements de données de personnes physiques effectués par des personnes privées et des organes fédéraux. Un site professionnel qui collecte ne serait-ce qu'une adresse e-mail via un formulaire est concerné.

Si vous ciblez également des personnes établies dans l'Union européenne, le RGPD peut s'appliquer en parallèle. Les deux régimes se ressemblent sur les principes mais diffèrent sur plusieurs points pratiques, dont les sanctions.

Les obligations concrètes pour un site

Informer de manière transparente

Les personnes dont vous collectez les données doivent savoir qui traite ces données, pour quelle finalité, à qui elles sont éventuellement transmises, et si elles sont transférées à l'étranger. C'est le rôle de la politique de confidentialité, qui doit être accessible, lisible et à jour — pas un texte générique copié ailleurs.

Traiter les cookies avec discernement

Les cookies strictement nécessaires au fonctionnement du site ne requièrent pas de consentement. Les cookies de mesure d'audience et surtout de publicité ciblée relèvent d'une logique différente et impliquent, selon leur nature, une information et un choix réels de l'utilisateur. Un bandeau qui ne laisse aucune possibilité de refuser ne remplit pas cette fonction.

💡 La solution la plus simple reste de ne pas installer de pisteurs dont vous n'avez pas l'usage. Beaucoup de sites déploient des outils publicitaires dont ils n'exploitent jamais les données, et héritent des obligations sans le bénéfice.

Permettre l'exercice des droits

Toute personne peut demander l'accès à ses données, leur rectification ou leur suppression. Vous devez être en mesure de répondre. Concrètement : savoir où sont stockées les données collectées, pouvoir les extraire, et disposer d'une adresse de contact réellement relevée.

Sécuriser les données

La sécurité doit être adaptée au risque : chiffrement des échanges (HTTPS), accès protégés, mots de passe robustes, double authentification sur les comptes d'administration, sauvegardes testées. Une violation de sécurité entraînant un risque élevé pour les personnes concernées doit être annoncée au Préposé fédéral.

Ce qui est souvent mal compris

Checklist minimale

1. Politique de confidentialité rédigée à partir de vos traitements réels et accessible depuis toutes les pages
2. Mentions légales identifiant l'éditeur du site
3. HTTPS actif sur l'ensemble du site
4. Formulaires limités aux données réellement nécessaires
5. Information claire si des données partent à l'étranger
6. Adresse de contact fonctionnelle pour les demandes d'accès ou de suppression
7. Sauvegardes en place et restauration testée
8. Pisteurs non utilisés désinstallés

Lancer un site conforme dès le départ