Une politique de confidentialité conforme au droit suisse doit révéler au minimum trois choses : qui est responsable des données et comment le contacter, à quelles fins les données sont traitées et à qui elles sont transmises. Si des données sont transférées à l'étranger, le pays de destination et les garanties de protection s'y ajoutent. Telle est l'exigence de l'art. 19 de la loi fédérale révisée sur la protection des données (LPD), en vigueur depuis le 1er septembre 2023. À cela s'ajoute tout ce dont les personnes concernées ont besoin pour exercer leurs droits. Vous trouverez ici les contenus obligatoires, ce qui s'y ajoute en pratique, comment structurer la déclaration et les points sur lesquels les entreprises établies en Allemagne ou dans l'UE doivent redoubler de vigilance.
En bref
- Obligations selon l'art. 19 LPD : identité et coordonnées du responsable, finalité du traitement, destinataires ou catégories de destinataires et, en cas de transfert à l'étranger, État de destination et garanties.
- La LPD s'applique également aux entreprises à l'étranger lorsque leur traitement produit des effets en Suisse, par exemple une boutique en ligne destinée à des clients suisses.
- Un modèle ne suffit que s'il reflète vos flux de données réels : outils d'analyse, hébergement cloud, CRM, fonctions d'IA.
- Toute personne qui informe de manière intentionnellement incomplète s'expose à une amende pouvant atteindre 250 000 CHF, et ce personnellement, pas seulement en tant que société.
- Une déclaration bien construite peut couvrir à la fois la LPD et le RGPD si les différences y sont consciencieusement intégrées.
Qui a besoin d'une politique de confidentialité selon la LPD
La LPD s'applique au traitement de données personnelles par des personnes privées et des organes fédéraux. Les données personnelles sont toutes les indications se rapportant à une personne physique identifiée ou identifiable, y compris une adresse e-mail professionnelle telle que prenom.nom@entreprise.ch. Les données des personnes morales ne sont plus protégées par la loi révisée.
Pour les lecteurs hors de Suisse, l'art. 3 LPD est décisif : la loi s'applique aux états de fait qui déploient leurs effets en Suisse, même s'ils sont initiés depuis l'étranger. Un détaillant en ligne munichois qui livre en Suisse, une agence viennoise avec des clients zurichois ou un fournisseur SaaS avec des utilisateurs suisses tombent donc régulièrement sous la LPD, en parallèle du RGPD.
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) retient que les entreprises doivent rédiger une politique de confidentialité compréhensible pour les utilisateurs et l'afficher sur leur site web. L'obligation d'informer ne vaut toutefois pas qu'en ligne : elle s'applique à toute collecte de données personnelles, y compris lors de candidatures, d'inscriptions à une newsletter, de comptes clients ou vis-à-vis du personnel.
Les contenus obligatoires selon l'art. 19 LPD
L'art. 19 LPD exige que la personne concernée reçoive toutes les informations dont elle a besoin pour faire valoir ses droits et pour garantir la transparence du traitement. La loi en fixe un catalogue minimal :
Si les données ne proviennent pas directement de la personne concernée, vous devez l'informer au plus tard un mois après leur réception (art. 19 al. 5 LPD). Si vous transmettez les données auparavant, c'est le moment de la communication qui compte. Les exceptions prévues à l'art. 20, par exemple lorsque l'information est impossible ou exige un effort disproportionné, sont étroites. Pour une entreprise ordinaire disposant des coordonnées de ses clients, elles s'appliquent rarement.
Contrairement au RGPD, la LPD n'exige pas que l'on indique une base légale pour chaque traitement. Qui relève aussi du RGPD la mentionne néanmoins, parce qu'elle y est obligatoire.
Ce qui s'y ajoute en pratique
Le catalogue minimal est bref. Puisque l'art. 19 exige toutes les informations dont les personnes concernées ont besoin pour exercer leurs droits, une déclaration solide va plus loin :
Catégories de données personnelles. Même en cas de collecte directe, un aperçu est utile : données de base, de communication, contractuelles, de paiement, techniques comme l'adresse IP. Les données sensibles au sens de l'art. 5 let. c LPD, par exemple les données de santé ou les convictions religieuses, doivent être clairement désignées.
Droits des personnes concernées. Accès (art. 25), remise et portabilité (art. 28), rectification, suppression et opposition. Indiquez la marche à suivre : à quelle adresse, sous quelle forme.
Durée de conservation. La LPD ne l'exige pas textuellement dans la déclaration, mais les données ne peuvent être conservées qu'aussi longtemps que la finalité l'exige. Une indication telle que « pièces comptables dix ans, dossiers de candidature jusqu'à la clôture de la procédure » crée de la confiance et satisfait du même coup au RGPD.
Cookies et traçage. Quels outils vous utilisez, à quelles fins, qui se trouve derrière et comment l'utilisateur peut s'y opposer. Le PFPDT a publié à ce sujet un aide-mémoire sur les cookies et technologies similaires, qui indique à quoi les utilisateurs doivent prêter attention et, par conséquent, ce que les exploitants de sites doivent expliquer.
Profilage et IA. Si vous analysez le comportement des utilisateurs, personnalisez des recommandations ou traitez des requêtes au moyen de services d'IA, cela doit figurer expressément dans la déclaration, avec le fournisseur et le lieu de stockage.
Représentation en Suisse. Les responsables privés ayant leur siège à l'étranger doivent, aux conditions de l'art. 14 LPD, désigner une représentation en Suisse, notamment lorsqu'ils proposent régulièrement et à grande échelle des biens ou services à des clients suisses. Le nom et l'adresse de cette représentation doivent être publiés ; la politique de confidentialité est l'endroit tout indiqué.
Déclarer correctement les transferts à l'étranger
C'est pour la plupart des entreprises le point le plus délicat. Un simple outil de newsletter américain, un espace de stockage dans le cloud ou une équipe d'assistance en Europe de l'Est constitue déjà une communication à l'étranger. L'art. 19 al. 4 LPD exige alors l'indication de l'État ou de l'organe international et, en l'absence de protection adéquate, des garanties selon l'art. 16 al. 2 ou de l'exception selon l'art. 17.
En pratique : les pays bénéficiant d'une décision d'adéquation du Conseil fédéral, dont les États de l'UE, peuvent être simplement nommés. Pour les autres États, indiquez si des clauses contractuelles types, des règles d'entreprise contraignantes ou une certification du destinataire s'appliquent. Nous expliquons le fonctionnement en détail dans notre article Transfert de données vers des États tiers selon le droit suisse. Pour les services américains, un coup d'œil au Swiss-US Data Privacy Framework est utile : si le fournisseur est certifié, cela simplifie considérablement les mentions.
Des formulations vagues telles que « les données peuvent être traitées dans le monde entier » ne suffisent pas. Elles ne remplissent pas la finalité de la loi, car la personne concernée n'en tire aucune information.
Structure : compréhensible plutôt qu'exhaustive et noyée
Une politique de confidentialité n'est pas un contrat réservé aux juristes. Une structure à plusieurs niveaux a fait ses preuves :
- Résumé en tête : en cinq à huit lignes, qui est responsable, quelles données sont traitées à quelles fins et comment prendre contact.
- Organisation par situations : visite du site, formulaire de contact, compte client, newsletter, candidature. Chaque lecteur retrouve ainsi son cas.
- Niveau de détail en dessous : services individuels, destinataires, pays, garanties, durées de conservation.
- Droits et contact à la fin : une marche claire pour l'accès et l'opposition.
Pour voir à quoi ressemble une telle structure dans une branche concrète, cet exemple de politique de confidentialité clairement articulée pour des agences immobilières est éclairant : l'organisation par situations clients se transpose bien à d'autres prestataires.
La langue compte aussi. Si votre offre s'adresse à des Suisses francophones ou italophones, à des anglophones ou à des clients d'Europe de l'Est, la déclaration doit exister dans leur langue. Une information que le destinataire ne comprend pas n'est pas une information adéquate.
LPD et RGPD dans une seule déclaration
De nombreuses entreprises de l'espace germanophone (D-A-CH) relèvent des deux régimes. Une déclaration commune est possible et courante dès lors qu'elle reflète les différences :
En pratique : la structure RGPD couvre beaucoup, mais la liste des pays pour les transferts, la mention du PFPDT et, le cas échéant, votre représentation en Suisse doivent être complétées. Pour les systèmes CRM dotés de fonctions de vente et de marketing en particulier, un inventaire précis est utile. Un bon aperçu de ce que le RGPD implique pour les données clients dans un CRM figure dans cet article ; les mêmes questions de finalité, d'accès et de lieu de stockage se posent sous la LPD. Les autres obligations issues de la révision sont résumées dans notre article sur la loi suisse révisée sur la protection des données.
Rédiger la déclaration étape par étape
- Recenser les flux de données. Listez chaque endroit où des données personnelles apparaissent : formulaires, boutique, cookies, e-mail, téléphone, comptabilité, RH.
- Associer services et destinataires. Pour chaque outil : fournisseur, finalité, catégories de données, lieu d'hébergement, base contractuelle.
- Vérifier le lien avec l'étranger. Pour chaque pays hors de Suisse : documenter l'adéquation ou la garantie.
- Évaluer les risques. En cas de risque élevé, par exemple un profilage étendu ou des données de santé, une analyse d'impact relative à la protection des données est nécessaire ; ses résultats précisent souvent aussi la déclaration.
- Rédiger le texte. Résumé, situations, détails, droits. Langue claire, pas de formules creuses.
- Comparer avec la technique. Un scan du site montre si seuls les services mentionnés se chargent effectivement.
- Prévoir la maintenance. Chaque nouvel outil, changement de fournisseur et nouvelle fonction d'IA déclenche une mise à jour. Indiquez la date de la dernière modification.
Les générateurs fournissent un texte de départ. Mais ils ignorent quel plugin votre webdesigner a ajouté a posteriori ou que votre service d'assistance traite les requêtes via un système de ticketing aux États-Unis. Ce sont ces lacunes qui comptent en cas de problème.
Les sanctions encourues en cas de manquement
Selon l'art. 60 LPD, les personnes privées sont punies, sur plainte, d'une amende pouvant atteindre 250 000 CHF lorsqu'elles violent intentionnellement l'obligation d'information prévue à l'art. 19 ou 21 ou qu'elles informent de manière fausse et incomplète. Seul l'acte intentionnel est punissable ; la poursuite relève des autorités pénales cantonales. L'amende frappe en principe la personne physique responsable, par exemple la directrice générale ou le collaborateur compétent, et non l'entreprise.
Le PFPDT lui-même n'inflige pas d'amendes, mais il peut mener des enquêtes et ordonner de manière contraignante qu'un traitement soit adapté ou cessé. Qu'une telle décision tienne devant les tribunaux ressort d'un arrêt du Tribunal administratif fédéral du 22 juin 2026 confirmant une décision du PFPDT contre une société de recouvrement.
Notre point de vue : la déclaration est un miroir de vos processus
Dans nos mandats, nous voyons rarement des entreprises totalement dépourvues de politique de confidentialité. Nous en voyons beaucoup dont la déclaration n'a rien à voir avec la réalité : des textes RGPD venus d'Allemagne sans mention des pays suisses, des modèles qui citent un outil désactivé depuis longtemps mais passent sous silence le nouveau CRM, ou des déclarations uniquement en allemand pour une clientèle majoritairement anglophone, ukrainophone ou russophone.
Dans les opérations transfrontalières, les risques se logent dans les détails : données circulant entre une société suisse et des partenaires dans l'UE ou en Europe de l'Est, contrats de sous-traitance en plusieurs langues, destinataires que plus personne n'a en tête. Comme nous examinons directement contrats et textes de protection des données en allemand, anglais, français, ukrainien et russe, aucune étape de traduction ne vient diluer le sens. Notre conseil : ne commencez pas par le texte, mais par la liste de vos flux de données. Si elle est complète, la déclaration s'écrit presque d'elle-même.
— Bitblade
Audit protection des données avec Sobiera Legal
Vous voulez savoir si votre politique de confidentialité résiste à la LPD révisée ou avez besoin d'une nouvelle version pour le marché suisse ? Avec notre audit selon la LPD révisée, nous examinons la déclaration, les flux de données et les contrats de sous-traitance et vous indiquons ce qui manque. Un premier entretien avec évaluation est disponible dès 150 CHF l'heure. Toutes les prestations et conditions figurent sous Forfaits et honoraires.
Signer électroniquement les contrats de protection des données : SEQ ou SEA ?
La politique de confidentialité va souvent de pair avec des contrats conclus avec des prestataires, comme les contrats de sous-traitance ou les clauses contractuelles types. Beaucoup les signent aujourd'hui par voie électronique. La Suisse connaît trois niveaux : la signature électronique simple (SES), la signature électronique avancée (SEA) et la signature électronique qualifiée (SEQ).
Seule la SEQ est, en Suisse, assimilée à la signature manuscrite et peut être utilisée pour tous les actes juridiques ainsi que pour les soumissions aux autorités et aux tribunaux. Contrairement à la SES et à la SEA, elle se vérifie à l'aide d'un validateur. Techniquement, cela nécessite un certificat qualifié, un logiciel de signature et une connexion à un fournisseur certifié.
Pour la plupart des contrats de protection des données, la loi n'impose pas la forme écrite ; une SEA suffit alors et offre une bonne force probante. Pour les contrats internationaux : le droit suisse et le droit de l'UE régissent les signatures séparément. Clarifiez avant la signature quel droit s'applique au contrat et quel niveau de signature votre cocontractant reconnaît.
Questions fréquentes
Une adresse e-mail est-elle une donnée personnelle ?
Oui, dès lors qu'elle peut être rattachée à une personne identifiée ou identifiable. Cela vaut pour les adresses privées comme pour les adresses professionnelles telles que anna.meier@entreprise.ch. Les adresses génériques comme info@entreprise.ch ne sont généralement pas des données personnelles tant qu'aucune personne n'y est identifiable.
Ma politique de confidentialité RGPD suffit-elle pour la Suisse ?
Souvent presque, mais pas totalement. Complétez par les États de destination concrets en cas de transferts à l'étranger, la mention du PFPDT et, si nécessaire, votre représentation en Suisse. Vérifiez aussi que la déclaration reflète bien vos outils actuels.
À quelle fréquence dois-je mettre à jour la politique de confidentialité ?
Chaque fois que le traitement change : nouvel outil, nouveau fournisseur, nouvelle finalité, nouveau pays de destination. La LPD ne prévoit pas de délai fixe. Un contrôle au moins une fois par an et après chaque refonte du site web est utile en pratique.
Une petite entreprise sans site web doit-elle disposer d'une politique de confidentialité ?
L'obligation d'information prévue à l'art. 19 LPD s'applique indépendamment d'un site web, dès lors que vous collectez des données personnelles. Vous pouvez alors informer dans le contrat, sur le formulaire ou par e-mail. Une courte déclaration écrite à laquelle vous renvoyez est la solution la plus simple.