Rendre son site conforme à la protection des données : nLPD et RGPD pour les PME

Depuis que la loi révisée sur la protection des données (nLPD) est entrée en vigueur, la même question surgit chez de nombreuses PME : dois-je maintenant changer quelque chose sur mon site web ? La réponse courte est le plus souvent oui, mais heureusement, ce n'est pas sorcier. Dans la grande majorité des cas, il s'agit de quelques éléments concrets et gérables. Dans cet article, je vous explique sans jargon juridique ce que la nLPD signifie pour votre site web et comment le mettre en règle étape par étape.

D'abord, pour que ce soit clair : je suis développeur web, pas avocat. Ce que vous lisez ici est une expérience pratique tirée de vrais projets de PME, pas un conseil juridique. Pour les cas délicats, vous devriez faire appel à un spécialiste, mais pour la plupart des petits sites d'entreprise, le bon sens et une bonne checklist suffisent.

nLPD et RGPD, qu'est-ce qui s'applique au juste à vous ?

Deux termes circulent, et cela sème la confusion. La nLPD est la loi suisse sur la protection des données, en vigueur depuis septembre 2023. Le RGPD est son pendant européen. La bonne nouvelle : les deux se ressemblent beaucoup. Qui respecte la nLPD est le plus souvent aussi proche du RGPD.

Et avez-vous, en tant que PME suisse, réellement besoin du RGPD ? Dès que vous vous adressez régulièrement à des clients dans l'UE ou que vous les servez, par exemple avec une boutique en ligne qui livre en Allemagne, oui. Si votre site vise uniquement la Suisse, c'est la nLPD qui prime. En pratique, j'intègre les deux d'emblée dès le début, parce que l'effort est minime et que vous êtes ainsi du bon côté.

La déclaration de protection des données : votre document le plus important

La pièce maîtresse est la déclaration de protection des données. Elle n'est pas optionnelle, mais obligatoire, et ce, bien repérable dans le pied de page, liée sur chaque page. Vous y expliquez dans un langage compréhensible quelles données vous collectez et à quelle fin.

Une déclaration de protection des données solide répond typiquement à :

• Qui est responsable ? Nom, entreprise et une adresse de contact.
• Quelles données sont collectées ? Par exemple via le formulaire de contact, les cookies ou les journaux du serveur.
• Dans quel but et pour combien de temps ? La finalité et la durée de conservation des données.
• Quels services entrent en jeu ? Google Analytics, polices de caractères, cartes, outils de newsletter.
• Quels droits ont les visiteurs ? Accès, rectification et suppression de leurs données.

Vous n'avez pas à la formuler vous-même. Il existe des générateurs sérieux, et j'aide mes clients à mettre en place une déclaration adaptée, qui correspond aux services réellement utilisés. L'essentiel est seulement qu'elle soit honnête. Une déclaration de protection des données qui liste des services que vous n'utilisez pas, ou à l'inverse qui en tait certains, est pire que pas de déclaration du tout.

Les cookies et la bannière : moins, c'est plus

Les bannières de cookies sont ce à quoi la plupart pensent en premier, et ce qui est le plus souvent mal fait. Le cœur du sujet : vous ne pouvez placer des cookies de suivi, par exemple de Google Analytics, qu'après que le visiteur a donné son consentement. Une bannière qui active déjà tout au chargement ne vous sert à rien.

Mon conseil aux PME : gardez cela léger. Beaucoup de petits sites d'entreprise n'ont pas du tout besoin d'une bannière envahissante si l'on renonce au suivi inutile. Les cookies techniquement nécessaires, par exemple pour un formulaire de contact, ne posent pas de problème. Ce n'est que lorsque des services de statistiques ou de marketing s'ajoutent qu'il faut le consentement. Souvent, la solution la plus simple est de travailler en économisant les données, plutôt que de mesurer chaque clic.

Formulaire de contact et services externes

Le formulaire de contact est, sur presque tout site de PME, le canal de données central. Voici deux choses souvent négligées :

• Chiffrement : votre site doit fonctionner en HTTPS pour que les saisies soient transmises en toute sécurité. C'est aujourd'hui la norme, mais vérifiez-le.
• Services externes : Google Fonts, cartes intégrées ou vidéos chargent souvent des données depuis des serveurs tiers. Ici, il est utile d'intégrer les polices localement et de ne charger les cartes qu'au clic.

Ces détails n'attirent pas l'attention des visiteurs, mais ils font la différence entre un site qui « fonctionne à peu près » et un site construit proprement. Comment un site techniquement propre devient aussi plus rapide, vous le lirez dans d'autres articles.

Votre courte checklist

Si vous ne retenez que trois choses, alors celles-ci :

• Une déclaration de protection des données honnête et bien liée dans le pied de page.
• Le suivi seulement après consentement, ou y renoncer complètement.
• HTTPS actif et services externes utilisés en connaissance de cause.

Cela couvre l'essentiel pour la grande majorité des petits sites d'entreprise. Il ne s'agit pas d'être parfait, mais responsable, et vos visiteurs le remarquent.

Mieux vaut partir proprement que rectifier plus tard

La protection des données a des allures de bureaucratie, mais c'est au fond une question de décence : vous traitez avec soin les données de vos clients. Qui y pense dès le départ s'épargne des rustines ultérieures et paraît par la même occasion plus digne de confiance. Un site qui dit ouvertement ce qu'il fait des données crée de la confiance, et la confiance fait vendre.

Si vous n'êtes pas sûr que votre site respecte la nLPD, je jette volontiers un œil sans engagement. Contactez-moi simplement via le formulaire de contact, et nous parcourons les points ensemble. Vous trouverez d'autres conseils autour d'un bon site de PME dans d'autres articles.