Depuis le 1er septembre 2023, la Suisse applique sa nouvelle loi fédérale sur la protection des données — la nLPD. Et contrairement à ce que beaucoup de chefs d'entreprise pensent, elle ne concerne pas que les grandes sociétés ou les géants du web. Si votre PME a un site internet, un formulaire de contact ou une newsletter, vous êtes concerné.

Pas de panique : se mettre en règle n'est ni compliqué ni coûteux. Mais ignorer le sujet, en revanche, peut le devenir. Voici, en langage clair, ce qu'une PME romande doit savoir.

Petite précision honnête : chez Boloms eServices, nous sommes des spécialistes du digital, pas des juristes. Cet article vous donne les bons réflexes et les points à vérifier. Pour une analyse juridique de votre situation précise, le mieux reste de consulter un professionnel du droit ou de vous référer au Préposé fédéral à la protection des données (PFPDT).

nLPD, RGPD : suis-je vraiment concerné comme petite entreprise ?

Oui. La nLPD s'applique dès que vous traitez des « données personnelles » — c'est-à-dire toute information se rapportant à une personne identifiable. Un nom, une adresse email, un numéro de téléphone récupéré via un formulaire, l'adresse IP d'un visiteur : tout cela, ce sont des données personnelles.

Concrètement, presque tous les sites de PME traitent ce type de données, ne serait-ce que via leur formulaire de contact. La taille de l'entreprise n'exonère de rien. Ce qui change, c'est surtout le niveau d'obligation : une petite structure qui collecte peu de données aura des démarches plus légères qu'une entreprise qui gère des milliers de fiches clients sensibles.

Et si vous avez des clients dans l'Union européenne ? Le règlement européen, le RGPD, peut aussi s'appliquer à vous, en plus de la nLPD. Les deux textes sont proches dans l'esprit : transparence, respect de la personne, sécurité des données.

Les éléments qu'un site doit avoir

Voici les fondamentaux à vérifier sur votre site :

Une déclaration de protection des données. C'est le document central. Il explique, en termes compréhensibles, quelles données vous collectez, pourquoi, comment elles sont utilisées, combien de temps vous les conservez, et avec qui elles sont éventuellement partagées (outils de mesure, hébergeur, prestataires). Cette page doit être facilement accessible, généralement depuis le pied de page de votre site.

Des mentions de contact claires. Le visiteur doit savoir à qui s'adresser pour exercer ses droits — par exemple demander quelles données vous avez sur lui, ou demander leur suppression.

La transparence sur les outils tiers. Si vous utilisez un outil de statistiques, un module de réservation, une carte intégrée ou un chat, ces services peuvent collecter des données. Vous devez le mentionner.

Cookies et outils de mesure : ce qui change concrètement

C'est le point qui crée le plus de confusion. Sur ce terrain, la nLPD est plus souple que le RGPD européen : elle ne réclame pas systématiquement un consentement actif par clic pour chaque cookie. En revanche, elle impose la transparence. Le visiteur doit pouvoir savoir ce qui est collecté et avoir la possibilité de s'y opposer.

En pratique, ce qu'on recommande aux PME : afficher un bandeau d'information clair, expliquer dans la déclaration de protection des données quels outils de mesure sont utilisés, et permettre de refuser le suivi non essentiel. Si vous visez aussi une clientèle européenne, mieux vaut adopter le standard plus strict du RGPD, par sécurité.

Vos formulaires de contact : où vont les données de vos clients ?

C'est souvent l'angle mort. Quand un client remplit votre formulaire, où atterrissent ses informations ? Dans une boîte mail ? Sur un serveur ? Dans un outil hébergé à l'étranger ?

Trois bons réflexes :

• Ne demandez que le nécessaire. Inutile d'exiger une date de naissance ou une adresse postale si un nom et un email suffisent à recontacter la personne.
• Sécurisez la transmission. Votre site doit être en HTTPS (le petit cadenas). Sans cela, les données circulent en clair — un risque inutile et un mauvais signal pour Google comme pour vos clients.
• Sachez où sont stockées les données. Privilégier un hébergement et des outils basés en Suisse ou en Europe simplifie considérablement la conformité.

Se mettre en règle sans paniquer

La mise en conformité d'un site de PME se résume souvent à quelques actions concrètes : rédiger ou mettre à jour une déclaration de protection des données adaptée à votre activité, vérifier que le site est bien en HTTPS, clarifier le bandeau cookies, faire le tri dans les outils tiers, et s'assurer que les formulaires ne collectent que l'essentiel.

Rien d'insurmontable. Le vrai risque, ce n'est pas la complexité — c'est de remettre le sujet à plus tard jusqu'à ce qu'un client, ou une autorité, vous pose la question.

La protection des données, ce n'est pas qu'une contrainte légale : c'est un gage de sérieux. Un site transparent et bien configuré inspire confiance, et la confiance, c'est exactement ce qui fait qu'un visiteur devient client. Chez Boloms eServices, on intègre ces bonnes pratiques par défaut dans chaque site qu'on construit.