LPD et RGPD : les vérifications pour votre site web
Pour revoir la protection des données d’un site, commencez par ses traitements réels : formulaire, newsletter, statistiques, publicité et outils externes. Le droit applicable ne dépend pas uniquement de la nationalité d’un visiteur. La LPD suisse et le RGPD européen ont des conditions et des obligations distinctes ; un outil ne garantit pas automatiquement leur respect.
1. Déterminer le cadre applicable
La LPD protège les données personnelles des personnes physiques. Elle s’applique aux faits qui produisent des effets en Suisse, même s’ils se passent à l’étranger. Elle ne se limite pas aux citoyens suisses. Consultez le texte de la LPD pour son champ d’application.
Le RGPD concerne notamment les traitements dans le cadre d’un établissement dans l’Union européenne. Il peut aussi viser une organisation hors UE lorsqu’elle offre des biens ou services à des personnes se trouvant dans l’Union ou suit leur comportement dans ce cadre. La simple accessibilité d’un site depuis l’Europe ne suffit pas. Les lignes directrices du CEPD expliquent ces critères. Plusieurs régimes peuvent s’appliquer à vos activités.
2. Recenser les données et les destinataires
Pour chaque fonction, notez les informations collectées, la finalité, les destinataires, les pays, les accès et la conservation. Incluez les outils chargés par le navigateur, le support, les sauvegardes et les échanges avec le CRM. Un hébergement en Suisse ne signifie pas que tous les prestataires ou accès y sont situés.
Supprimez les champs inutiles et limitez les accès par rôle. Fixez une durée de conservation adaptée et une procédure de suppression. Vérifiez les contrats des prestataires, les sous-traitants ultérieurs et les garanties de transfert. Une adresse de serveur ne suffit pas à établir la conformité.
3. Informer et choisir le mécanisme adapté
La déclaration de protection des données doit décrire vos pratiques réelles et rester accessible. Le PFPDT précise le devoir d’informer. Un texte copié d’un autre site risque d’annoncer des outils, des finalités ou des droits qui ne correspondent pas à votre activité.
Le RGPD prévoit plusieurs bases légales ; le consentement n’est pas requis pour tout traitement. Sous la LPD, les règles diffèrent et le consentement n’est pas non plus une condition universelle. Lorsqu’il est nécessaire, vérifiez sa validité et sa portée. Pour les cookies et technologies similaires, examinez les finalités et les règles applicables, notamment avec les ressources du PFPDT. Ne considérez pas tous les traceurs comme nécessaires.
4. Vérifier le comportement technique
Examinez ce qui se charge avant et après les choix du visiteur. Vérifiez le refus, l’acceptation, la modification des préférences et le retrait lorsque le traitement repose sur le consentement. Une bannière visible ne prouve pas que les scripts respectent ses choix.
Choisissez les paramètres de suivi et de conservation selon vos besoins et obligations. L’auto-hébergement, la suppression d’une adresse IP ou une plateforme de consentement ne rendent pas un traitement automatiquement conforme. Vérifiez aussi les formulaires, les exports, les journaux et les accès administrateurs.
5. Préparer les demandes et les incidents
Attribuez un responsable aux demandes d’accès, de correction et aux autres droits applicables. Vérifiez l’identité de façon proportionnée et les délais du régime concerné. Les conditions et exceptions ne sont pas identiques pour tous les droits dans les deux lois.
En cas de violation, documentez l’incident et évaluez les notifications. La LPD prévoit une annonce au PFPDT dans les meilleurs délais lorsque le risque élevé prévu par la loi est probable. Le RGPD prévoit notamment un délai de 72 heures pour l’autorité compétente, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. Ne transposez pas automatiquement ce délai à toute situation suisse.
Une revue concrète pour 2027
Exemple fictif : une PME examine un formulaire de demande et une inscription à sa newsletter. Elle retire un champ inutile, vérifie les destinataires et contrôle les scripts selon les préférences. Le responsable met à jour la déclaration et prépare la procédure d’incident. Cet exercice réduit des écarts identifiés sans constituer une certification juridique.
Pour 2027, attribuez les mises à jour à un responsable et déclenchez une revue lors d’un changement d’outil, de finalité ou de marché. Conservez les décisions et les preuves pertinentes. Reliez cette revue à votre choix d’hébergement.