Quiconque traite des données personnelles en Suisse doit informer les personnes concernées ; sur un site web, cela passe par la politique de confidentialité (Privacy Notice). Le texte déterminant est la loi fédérale révisée sur la protection des données (LPD), en vigueur depuis le 1er septembre 2023. Elle s'applique également aux entreprises établies en Allemagne ou dans d'autres pays dès que leur traitement produit des effets en Suisse. Vous trouverez ici les mentions obligatoires, les points où les modèles génériques achoppent, la manière d'articuler proprement LPD et RGPD dans un même document, ainsi que les attentes du Préposé fédéral à la protection des données et à la transparence (PFPDT) en matière de cookies.
En bref
- L'art. 19 LPD oblige tout responsable, lors de la collecte de données personnelles, à informer au minimum sur son identité, ses coordonnées, la finalité et les destinataires.
- Lorsque des données sont transférées à l'étranger, les États de destination et, le cas échéant, les garanties prévues à l'art. 16 LPD (par exemple les clauses contractuelles types) doivent être indiqués.
- Les entreprises étrangères avec une clientèle suisse tombent sous le coup de la LPD dès lors que leur traitement produit des effets en Suisse.
- Une information intentionnellement fausse ou incomplète peut être sanctionnée d'une amende allant jusqu'à 250 000 francs, prononcée contre la personne responsable et non contre la société.
- Le PFPDT a actualisé son guide sur les cookies en 2025 : en cas de suivi par des tiers avec profilage poussé, un consentement peut être nécessaire.
Qui a besoin d'une politique de confidentialité selon le droit suisse
L'obligation d'informer ne concerne pas uniquement les grands groupes. Elle s'applique à toutes les personnes privées et à toutes les entreprises qui collectent des données personnelles : le cabinet médical zurichois avec son formulaire de contact, la start-up bâloise avec sa newsletter ou la boutique en ligne munichoise qui livre en Suisse. Dans son aide-mémoire sur les déclarations de protection des données sur Internet, le PFPDT précise que les entreprises suisses doivent rédiger une déclaration compréhensible et la rendre accessible sur leur site web.
Pour les entreprises établies hors de Suisse, l'art. 3 est décisif. Selon le texte de la LPD, la loi s'applique aux états de fait qui déploient leurs effets en Suisse, même s'ils sont initiés depuis l'étranger. Une entreprise allemande qui s'adresse délibérément à des clients suisses, affiche ses prix en francs ou exploite un domaine en .ch doit donc partir du principe que le droit suisse s'applique à côté du RGPD.
S'y ajoute l'art. 14 LPD : les responsables privés ayant leur siège à l'étranger doivent, à certaines conditions, désigner une représentation en Suisse, notamment lorsqu'ils proposent régulièrement et à grande échelle des biens ou services à des personnes en Suisse ou observent leur comportement. Lorsqu'une telle représentation est désignée, son nom et son adresse doivent figurer dans la politique de confidentialité.
Ce que l'art. 19 LPD exige
La LPD ne contient pas de texte type fixe, mais une liste minimale. L'art. 19 exige toutes les informations nécessaires pour que les personnes concernées puissent faire valoir leurs droits et pour garantir la transparence du traitement. Le tableau ci-dessous résume les mentions obligatoires et leur mise en œuvre habituelle.
Lorsque les données ne sont pas collectées directement auprès de la personne concernée, l'information doit intervenir au plus tard un mois après la réception des données (art. 19 al. 5). L'art. 20 prévoit des exceptions, par exemple lorsque la personne est déjà informée ou que le traitement est prévu par la loi. Ces exceptions sont étroites et ne remplacent jamais une déclaration sur le site web.
Dans son aide-mémoire sur les déclarations de confidentialité, le PFPDT insiste également sur la forme : la déclaration doit être compréhensible, précise et complète pour son public cible. Des phrases abstraites comme « Nous traitons vos données pour améliorer nos services » ne suffisent pas lorsque se cachent derrière un profilage, du reciblage et une transmission à des réseaux publicitaires. Décrivez ce qui se passe réellement, dans la langue de votre clientèle.
Ce que la LPD n'exige pas, mais le RGPD oui
Contrairement au RGPD, la LPD n'impose pas, pour les traitements privés, d'indiquer une base légale pour chaque opération. Un traitement est en principe licite tant qu'il respecte les principes de traitement, et il n'a besoin d'un motif justificatif qu'en cas d'atteinte à la personnalité. Quiconque relève uniquement du droit suisse peut donc rédiger une déclaration plus concise. Qui sert aussi des clients dans l'UE ne pourra pas faire l'économie des mentions RGPD, notamment la base légale et la durée de conservation.
Transfert à l'étranger : là où les modèles échouent le plus souvent
Presque chaque site web transfère des données à l'étranger : hébergement cloud, e-mail marketing, outils d'analyse, visioconférence, CRM. L'art. 16 LPD l'autorise sans autre uniquement vers les États dont le niveau de protection a été reconnu adéquat par le Conseil fédéral. Pour tous les autres pays, il faut des garanties appropriées, en pratique le plus souvent des clauses contractuelles types reconnues par le PFPDT, à moins qu'une des exceptions de l'art. 17 ne s'applique, par exemple le consentement exprès.
Dans la politique de confidentialité, vous devez indiquer l'État ou l'organe international et, le cas échéant, mentionner les garanties ou l'exception applicable. Une formule générique telle que « Les données peuvent être traitées dans le monde entier » ne satisfait pas à l'art. 19 al. 4. C'est précisément là que les clauses adaptées manquent dans les modèles copiés, car chaque pile d'outils implique d'autres États de destination.
Pour les fournisseurs américains, la situation a évolué avec le Swiss-US Data Privacy Framework : les entreprises certifiées sont considérées comme offrant une protection adéquate, les non certifiées non. Ce que cela signifie pour vos outils, nous l'expliquons dans notre article consacré au Swiss-US Data Privacy Framework. Notre article Transfert de données vers des États tiers : ce que la Suisse autorise donne un aperçu de toutes les variantes de transfert.
Cookies et traçage : ce qu'attend le PFPDT
Le PFPDT a publié le 7 octobre 2025 une version actualisée de son guide sur les cookies du 22 janvier 2025. Deux points sont particulièrement pertinents pour les exploitants de sites web :
- Technologies tierces avec profilage : lorsque des outils permettant un profilage poussé sont intégrés, un consentement des utilisateurs peut être nécessaire. Cela concerne typiquement les pixels publicitaires et le suivi inter-plateformes.
- Cookie walls : les modèles qui laissent le choix entre consentement et paiement sont, dans certaines conditions, considérés comme possibles par le PFPDT.
Pour la politique de confidentialité, cela signifie : indiquer chaque outil avec son nom, sa finalité, son fournisseur et l'État de destination, et veiller à ce que le bandeau cookies corresponde à la déclaration. Un bandeau qui ne propose que « Tout accepter » sans possibilité simple de refuser remplit difficilement les exigences de transparence.
Le cas Digitec Galaxus illustre le sérieux avec lequel le PFPDT envisage la liberté de choix. Après une recommandation formelle, le détaillant en ligne a annoncé le 27 novembre 2025 que ses clients peuvent désormais s'opposer à la personnalisation à des fins de marketing en un seul clic. Le message adressé aux autres : un droit d'opposition inscrit dans la déclaration doit pouvoir s'exercer tout aussi facilement sur le site web.
LPD et RGPD dans un même document
De nombreuses entreprises allemandes, autrichiennes ou suisses sont soumises aux deux régimes. Plutôt que deux textes distincts, une structure modulaire s'avère efficace : un tronc commun et des sections additionnelles clairement identifiées pour chaque ordre juridique.
En pratique : vous décrivez une seule fois le responsable, les finalités, les destinataires et les outils. Suit une section « Informations pour les personnes dans l'UE » avec les bases légales et le droit de plainte auprès de l'autorité de contrôle européenne, puis une section pour la Suisse renvoyant au PFPDT et énumérant les États vers lesquels les données sont transférées. Pour ce que la loi révisée exige en plus des entreprises, voir notre récapitulatif Loi fédérale révisée sur la protection des données : obligations depuis 2023.
Votre politique de confidentialité en sept étapes
- Faire l'inventaire. Listez tous les endroits où des données sont collectées : formulaire de contact, boutique, newsletter, candidatures, portail client, profils sur les réseaux sociaux.
- Utiliser le registre des activités de traitement. Le registre prévu à l'art. 12 LPD est la base naturelle de la déclaration. Si l'un des deux documents change, l'autre doit suivre, sinon des contradictions apparaissent qui ressortent au plus tard lors d'une demande d'accès.
- Recenser les prestataires et les États de destination. Pour chaque outil : fournisseur, siège, lieu d'hébergement, base contractuelle (contrat de sous-traitance, clauses contractuelles types, certification).
- Formuler les finalités de manière concrète. Une finalité par catégorie de données, sans termes génériques. L'ouvrage sur la sécurité et la protection des données d'un logiciel de planification pour services de sécurité illustre comment décrire des flux de données compréhensibles pour les utilisateurs.
- Expliquer les droits et le canal de contact. Comment formuler une demande d'accès, à quelle adresse, sous quelle forme ? Indiquez un canal réellement traité.
- Faire concorder le bandeau cookies et la déclaration. Chaque outil présent dans le bandeau doit figurer dans la déclaration, et inversement.
- Entretenir la datation et la gestion des versions. Indiquez un état (« État : octobre 2026 ») et vérifiez la déclaration à chaque nouvel outil, à chaque nouveau service et au moins une fois par an.
Si vous prévoyez de nouveaux traitements à haut risque, par exemple un profilage étendu ou des données de santé, examinez au préalable si une analyse d'impact relative à la protection des données est nécessaire. Notre article sur l'analyse d'impact en Suisse en explique le seuil.
Les sanctions encourues en cas de manquement
La LPD sanctionne autrement que le RGPD. Selon l'art. 60 LPD, est puni d'une amende pouvant atteindre 250 000 francs quiconque, en qualité de personne privée, viole intentionnellement les obligations d'information prévues aux art. 19 et 21 en donnant une information fausse ou incomplète. La peine frappe la personne physique responsable, par exemple la directrice générale, et non l'entreprise. Cette infraction est poursuivie sur plainte. Ce n'est que si l'identification de la personne punissable représente un effort disproportionné que l'entreprise peut, selon l'art. 64, être condamnée à une amende pouvant atteindre 50 000 francs. L'ensemble des dispositions figure dans le texte officiel de la loi sur la protection des données.
La négligence n'est pas punissable s'agissant de l'obligation d'informer. Ce n'est toutefois pas un blanc-seing : laisser subsister une déclaration manifestement incomplète après un signalement se rapproche du dol. En cas d'incident, vérifiez aussi l'obligation d'annonce au PFPDT prévue à l'art. 24 LPD.
Notre point de vue : une déclaration qui correspond à l'activité
Dans notre pratique, nous voyons rarement des entreprises totalement dépourvues de politique de confidentialité. Beaucoup plus souvent, nous voyons des déclarations issues d'un générateur et qui n'ont guère de rapport avec l'activité réelle. Une entreprise commerciale avec des partenaires en Europe de l'Est, un fondateur avec une équipe de développement à l'étranger, un cabinet avec des mandants dans plusieurs pays : tous transfèrent des données vers des États qu'aucun modèle ne couvre.
Notre approche ne commence donc pas par le texte, mais par les flux de données. Nous demandons quels outils tournent, où vont les données et sur quelle base. Ce n'est qu'ensuite que nous rédigeons. Comme nous travaillons directement les contrats et textes juridiques en allemand, anglais, français, ukrainien et russe, sans interprète externe, nous pouvons rédiger la déclaration dans les langues que votre clientèle lit effectivement. Ce n'est pas cosmétique : selon le PFPDT, la transparence suppose la compréhensibilité pour le public cible, et une déclaration que vos clients ne peuvent pas lire n'est pas transparente pour eux.
Notre conseil : traitez la politique de confidentialité comme un contrat passé avec vos clients. Elle dit ce que vous faites de leurs données, et vous devez pouvoir y être tenu.
— Bitblade
Audit protection des données de votre site
Vous souhaitez savoir si votre déclaration, votre bandeau cookies et vos contrats avec vos prestataires résistent à la LPD révisée ? Nous proposons un audit de protection des données selon la LPD révisée ainsi que la vérification et la rédaction des contrats associés. Un premier entretien avec évaluation est disponible dès 150 CHF l'heure. Toutes les prestations et les honoraires figurent sous Forfaits et honoraires.
Questions fréquentes
En tant qu'entreprise allemande, ai-je besoin d'une politique de confidentialité selon le droit suisse ?
Si votre traitement produit des effets en Suisse, par exemple parce que vous ciblez spécifiquement des clients suisses ou que vous livrez en Suisse, la LPD s'applique à côté du RGPD. En règle générale, une déclaration commune avec une section Suisse suffit. Vérifiez en outre si vous devez désigner une représentation en Suisse au sens de l'art. 14 LPD.
Une politique de confidentialité conforme au RGPD suffit-elle aussi pour la Suisse ?
Elle couvre souvent l'essentiel, mais pas tout. La LPD exige expressément l'indication des États de destination lors de transferts à l'étranger et des garanties utilisées. Il convient en outre de mentionner le PFPDT comme autorité suisse de contrôle.
Puis-je utiliser un modèle gratuit ?
Un modèle est un point de départ, pas un produit fini. L'art. 19 LPD exige que la déclaration décrive les traitements effectifs, y compris vos outils concrets et les États de destination. Sans cette adaptation, un modèle reste incomplet.
Où la politique de confidentialité doit-elle figurer sur le site web ?
Elle doit être facile à trouver ; l'usage est un lien dans le pied de page de chaque page et à proximité des formulaires de collecte. Le PFPDT exige que la déclaration soit affichée sur le site et compréhensible pour les utilisateurs.