nLPD et cookies : ce qu'un site de petite entreprise doit afficher en Suisse

Le RGPD s'applique-t-il en Suisse ?

Le RGPD est le règlement de l'Union européenne. Il ne s'applique pas tel quel en Suisse. Il vise pourtant une entreprise suisse qui propose ses biens ou services à des personnes dans l'Union, ou qui suit leur comportement en ligne (RGPD, art. 3 par. 2).

Pour un commerce romand qui sert une clientèle en Suisse, la loi qui compte est la nLPD.

RGPD, article 3

Ce que la nLPD demande à un site vitrine

> La loi fédérale sur la protection des données du 25 septembre 2020 s'applique depuis le 1er septembre 2023. On l'appelle aussi LPD révisée. Quand vous collectez des données, vous devez dire au moins :

• qui vous êtes, et comment vous joindre ;
• à quoi servent les données ;
• à qui vous les transmettez, ou à quelles catégories de destinataires.

Si les données partent à l'étranger, vous nommez le pays. Vous dites aussi sur quelle garantie repose le transfert (art. 19 al. 4).

Dire combien de temps vous gardez les données n'est pas dans l'art. 19. C'est une bonne pratique : vos visiteurs le demandent souvent.

Faut-il héberger en Suisse ?

La loi n'oblige pas à héberger en Suisse. Les données peuvent partir vers un pays que le Conseil fédéral juge adéquat, ou avec des garanties ; la déclaration nomme le pays.

Exemple : l'Allemagne figure dans la liste des pays adéquats. Les États-Unis aussi, mais seulement pour les entreprises certifiées selon le cadre Suisse-États-Unis (OPDo, annexe 1).

Que risque-t-on ?

La LPD prévoit des amendes jusqu'à 250'000 francs. Elles visent les personnes, pas l'entreprise, et seulement quand la faute est intentionnelle, le plus souvent sur plainte (art. 60 à 63).

L'entreprise ne paie à la place que pour une amende de 50'000 francs au plus, quand chercher le responsable serait disproportionné (art. 64).

Pour les cookies, la loi sur les télécommunications prévoit une amende de 5'000 francs au plus (art. 53).

LPD · OPDo

À côté du bouton d'un formulaire

Sous le bouton, quelques mots suffisent : à quoi servent les réponses, qui les reçoit, et un lien vers la déclaration complète. Pas besoin d'un long texte.

Notre texte, mot pour mot, sous le bouton de notre formulaire :

Vos réponses servent seulement à préparer notre appel et votre devis. Responsable : three four Sàrl (Kliq Studio). Pour consulter vos détails et vos droits : Confidentialité.

Ne demander que le nécessaire

Chaque champ doit servir. Voici nos sept champs, et pourquoi chacun.

Pas de date de naissance, pas d'adresse postale, pas de case de publicité.

Statistiques, cartes, polices : ce qui part ailleurs

Certains éléments d'une page envoient des données à une autre entreprise dès l'ouverture. Une carte intégrée, une vidéo intégrée, une police chargée chez un tiers, un outil de statistiques. Chacun reçoit au moins l'adresse IP du visiteur.

Pour chacun, posez trois questions. Qui reçoit les données ? Dans quel pays ? Votre déclaration le dit-elle ?

Cookies : faut-il une bannière ?

En Suisse, aucune loi n'impose une bannière de cookies. La loi sur les télécommunications (art. 45c) impose d'informer le visiteur, de dire à quoi servent les cookies et comment les refuser.

Le préposé fédéral (PFPDT) précise, dans son guide de 2025, qu'un consentement exprès devient nécessaire pour les usages à risque élevé, comme le profilage poussé.

Selon le guide du PFPDT, les cookies nécessaires au fonctionnement sont en principe admis. Par exemple : un panier, la saisie d'un formulaire, une connexion, la langue, la mémoire de votre choix sur les cookies. Pour les autres, le visiteur doit pouvoir refuser.

Même sans bannière, décrivez vos cookies dans votre déclaration.

Une bannière devient utile si vous suivez des visiteurs dans l'Union européenne, ou si vous utilisez de la publicité ciblée.

LTC, art. 45c · Guide du PFPDT sur les cookies

Notre déclaration, en exemple réel

Voici ce que notre formulaire fait de vos données. Chaque ligne est aussi sur notre page Confidentialité.

Supabase et Resend ne sont pas certifiées selon le cadre Suisse-États-Unis. Leurs transferts reposent sur les clauses types de protection des données. Notre déclaration le dit.

Notre site est hébergé par Vercel, une société des États-Unis. Nous ne disons pas que vos données restent en Suisse : ce serait faux.

Lire notre page Confidentialité

Un modèle de déclaration à copier

Qui est responsable : [nom inscrit au registre], [adresse], [e-mail]
Données collectées : [liste, par formulaire, e-mail, téléphone]
À quoi elles servent : [répondre à votre demande, préparer un devis]
Combien de temps nous les gardons : [durée pour chaque donnée]
À qui elles vont, et dans quel pays : [prestataire, pays, garantie du transfert]
Cookies : [aucun, ou la liste, leur but, comment les refuser]
Vos droits : [accès, rectification, effacement ; comment nous écrire]
Contact : [e-mail pour les questions de données]

Adaptez chaque ligne à ce que fait vraiment votre site. Une déclaration qui décrit un autre site ne vous protège pas.

Ce qu'on voit souvent, et qui ne va pas

• Une bannière française copiée. Elle suit le droit français et parle de règles qui ne sont pas les vôtres.
• « Conforme RGPD » sans déclaration. La mention ne remplace pas la page qui dit ce que vous faites des données.
• Une déclaration seulement en anglais. Vos clients lisent le français : écrivez-la en français.
• Une déclaration qui ne dit pas dans quel pays vont les données. La loi demande le pays quand elles sortent de Suisse.

Chaque site est livré avec sa déclaration de protection des données.

• Voir nos tarifs

Qui écrit ce guide, et comment

Ce guide est écrit par Jérôme, notre fondateur. Nous ne sommes pas juristes.

• Qui est derrière Kliq Studio

Méthode : les lois ont été lues sur Fedlex, le guide du PFPDT sur son site, le RGPD sur EUR-Lex, le 08.11.2026. Nous relisons ce guide tous les 6 mois, et à chaque nouvelle version de ces textes.

Nous vendons des sites internet : ce guide n'est pas neutre. Notre site sert d'exemple, avec ses limites.

Mentions légales d'un site en Suisse