Une déclaration de confidentialité est-elle obligatoire en Suisse ?
En Suisse, une déclaration de confidentialité est toujours nécessaire dès lors que vous collectez des données personnelles et devez en informer les personnes concernées. C'est le cas pour presque tous les sites web professionnels, par exemple lorsque des formulaires de contact, des inscriptions à des newsletters, des webanalyses, des cookies, des formulaires de candidature, des comptes clients ou des boutiques en ligne sont utilisés.
La loi sur la protection des données exige que le responsable du traitement informe de manière appropriée la personne concernée de la collecte de données personnelles (art. 19, al. 1, LPD). Le responsable est la personne ou l'entreprise qui décide du but et des moyens du traitement des données (art. 5, let. j, LPD). Une déclaration de confidentialité n'est donc pas un document purement formel, mais la mise en œuvre pratique de cette obligation d'informer.
Les données personnelles sont toutes les informations qui se rapportent à une personne physique identifiée ou identifiable (art. 5, let. a, LPD). Cela comprend non seulement le nom, l'adresse ou l'adresse e-mail, mais aussi, selon la situation, les adresses IP, l'historique des clients, les données de commande, les dossiers de candidature ou les informations de suivi. Le droit suisse de la protection des données protège les personnes physiques dont les données personnelles sont traitées (art. 1, LPD).
La forme est également importante. L'information doit être précise, transparente, compréhensible et facilement accessible (art. 13, OLPD). En pratique, pour les sites web, cela signifie que la déclaration de confidentialité doit être facile à trouver, généralement via un lien dans le pied de page. Pour les déclarations de confidentialité sur Internet, le PFPDT recommande en outre qu'elles correspondent aux traitements de données effectivement réalisés et qu'elles ne soient pas composées de phrases types générales.
Que doit contenir une déclaration de confidentialité ?
En Suisse, une déclaration de confidentialité doit au moins contenir les informations dont les personnes concernées ont besoin pour exercer leurs droits et comprendre le traitement des données. La loi mentionne expressément l'identité et les coordonnées du responsable du traitement, le but du traitement ainsi que, le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées (art. 19, al. 2, LPD).
En pratique, la déclaration de confidentialité doit donc d'abord indiquer clairement qui est responsable du traitement des données. Cela comprend la raison sociale, l'adresse et un moyen de contact pour les demandes concernant la protection des données. Ensuite, elle doit expliquer quelles catégories de données sont traitées. Pour un site web simple, il peut s'agir de données d'accès, de coordonnées et de données de communication. Pour une boutique en ligne, s'y ajoutent les données de commande, les informations de paiement et les détails de livraison. Pour les candidatures, le CV, les certificats et autres documents de candidature peuvent être concernés.
Les buts du traitement sont tout aussi importants. Les données personnelles ne doivent être collectées que pour un but déterminé et reconnaissable pour la personne concernée (art. 6, al. 3, LPD). Une bonne déclaration de confidentialité n'explique donc pas seulement que des données sont traitées, mais pourquoi. Les buts typiques sont la réponse aux demandes, l'exécution de contrats, l'exploitation du site web, le marketing, l'envoi de newsletters, la webanalyse, la sécurité ou le respect d'obligations légales.
Si des données sont transmises à des tiers, cela doit également être décrit de manière transparente. Cela concerne par exemple les hébergeurs, les prestataires de services informatiques, les outils de newsletter, les prestataires de services de paiement, les systèmes CRM, les logiciels de comptabilité ou les services d'analyse et de marketing. Lorsque des données personnelles sont traitées par un sous-traitant, le responsable reste tenu à ses obligations et doit notamment s'assurer que le sous-traitant est en mesure de garantir la sécurité des données (art. 9, al. 2, LPD).
La conservation ne doit pas non plus être oubliée. Les données personnelles doivent être détruites ou anonymisées dès qu'elles ne sont plus nécessaires au but du traitement (art. 6, al. 4, LPD). Une déclaration de confidentialité n'a pas besoin d'indiquer un nombre de jours exact pour chaque type de données. Elle doit cependant expliquer les critères utilisés pour déterminer la durée de conservation, tels que la durée du contrat, les obligations légales de conservation ou les intérêts légitimes de documentation.
Qu'en est-il des cookies, du suivi et des outils d'analyse ?
Les cookies et technologies similaires sont l'une des raisons les plus fréquentes pour lesquelles une déclaration de confidentialité n'est pas correctement mise en œuvre en Suisse. De nombreux sites web utilisent des outils d'analyse, des pixels de marketing, des vidéos intégrées, des cartes, des plug-ins de médias sociaux ou des outils de gestion du consentement (Consent Management Tools). Dans ce cadre, des données personnelles peuvent être traitées et parfois transmises à des tiers.
Selon la loi sur les télécommunications, le traitement de données sur des équipements tiers par le biais d'une transmission de télécommunication est autorisé si les utilisateurs sont informés du traitement et de son but et s'il leur est indiqué qu'ils peuvent refuser le traitement (art. 45c, let. b, LTC). En outre, les règles générales de la loi sur la protection des données restent applicables, notamment l'obligation d'informer selon l'art. 19 LPD et les principes selon l'art. 6 LPD.
Pour la déclaration de confidentialité, cela signifie que les cookies et le suivi ne doivent pas être réglés de manière globale par une seule phrase. Il convient d'expliquer de façon compréhensible quels types de technologies sont utilisés, à quoi ils servent et comment les utilisateurs peuvent s'y opposer ou modifier leurs paramètres. Les outils qui analysent le comportement sur plusieurs sites web, créent des profils de marketing ou transmettent des données à des fournisseurs à l'étranger sont particulièrement délicats.
Selon la LPD, un consentement n'est valable que s'il est donné librement, pour un ou plusieurs traitements déterminés, après avoir été dûment informé (art. 6, al. 6, LPD). Pour les données personnelles hautement sensibles, le profilage à haut risque par des personnes privées ou le profilage par des organes fédéraux, le consentement doit être explicite (art. 6, al. 7, LPD). Une déclaration de confidentialité ne remplace donc pas chaque bannière de cookies et chaque consentement. Elle en constitue toutefois la base d'information.
Que doit-on mentionner concernant la transmission de données à l'étranger ?
De nombreux services numériques ne stockent ou ne traitent pas les données uniquement en Suisse. L'hébergement, les outils de newsletter, les systèmes cloud, la webanalyse, les outils d'assistance et les prestataires de paiement peuvent transférer des données à l'étranger. Dès que des données personnelles sont communiquées à l'étranger, la personne concernée doit également être informée de l'État ou de l'organe international concerné et, le cas échéant, des garanties ou des exceptions sur lesquelles repose la transmission (art. 19, al. 4, LPD).
La loi autorise en principe la communication à l'étranger si le Conseil fédéral a constaté que l'État concerné ou l'organe international assure un niveau de protection des données adéquat (art. 16, al. 1, LPD). En l'absence d'une telle décision d'adéquation, des garanties appropriées sont requises, telles que des clauses types de protection des données qui ont été approuvées, établies ou reconnues par le PFPDT (art. 16, al. 2, let. d, LPD). Dans certains cas, une exception peut s'appliquer, par exemple en cas de consentement explicite ou lorsque la communication est directement liée à la conclusion ou à l'exécution d'un contrat (art. 17, al. 1, LPD).
Une erreur fréquente consiste à mentionner des outils internationaux sans expliquer où les données peuvent circuler. De même, l'affirmation globale selon laquelle les données seraient traitées « le cas échéant dans le monde entier », sans classification concrète, s'avère problématique. La déclaration de confidentialité doit mentionner les principaux pays ou groupes de pays destinataires et expliquer de façon compréhensible comment la protection des données est garantie.
Quels droits les personnes concernées doivent-elles connaître ?
Une bonne déclaration de confidentialité ne montre pas seulement ce qu'une entreprise fait des données. Elle explique également quels droits les personnes concernées possèdent et comment elles peuvent les exercer. Le droit d'accès est particulièrement important. Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées (art. 25, al. 1, LPD).
Les renseignements fournis doivent contenir les informations nécessaires pour que la personne concernée puisse faire valoir ses droits et pour qu'un traitement transparent des données soit garanti (art. 25, al. 2, LPD). Cela comprend notamment les données personnelles traitées, le but du traitement, la durée de conservation ou les critères permettant de la déterminer, les informations sur l'origine des données, les destinataires ainsi que, le cas échéant, des informations sur les décisions individuelles automatisées (art. 25, al. 2, LPD).
Si une décision est prise exclusivement sur la base d'un traitement automatisé et qu'elle produit des effets juridiques à l'égard de la personne concernée ou l'affecte de manière significative, celle-ci doit en être informée (art. 21, al. 1, LPD). À sa demande, la personne concernée peut exposer son point de vue et exiger qu'une personne physique revoie la décision (art. 21, al. 2, LPD). Cela est pertinent, par exemple, pour les refus entièrement automatisés, les décisions de solvabilité ou certains processus de plateforme.
Quelles sont les erreurs typiques à éviter ?
La plus grande erreur est de rédiger une déclaration de confidentialité qui ne correspond pas au traitement réel des données. Utiliser un générateur et mentionner tous les outils possibles alors qu'ils ne sont pas du tout utilisés ne crée pas de transparence. Inversement, il est tout aussi risqué d'omettre des services importants, tels qu'un outil de newsletter, un prestataire de paiement ou un service d'analyse.
Une autre erreur est l'utilisation d'un langage flou. L'information doit être compréhensible (art. 13, OLPD). Des phrases telles que « Nous traitons les données dans la mesure autorisée par la loi » n'aident guère les personnes concernées. Il est préférable de fournir une explication concrète sur les données utilisées et dans quel but.
Les déclarations de confidentialité obsolètes sont également problématiques. De nouveaux outils, de nouveaux processus de marketing, un changement d'hébergeur ou de nouveaux flux de données vers l'étranger peuvent nécessiter l'adaptation de la déclaration. La protection des données n'est donc pas un projet ponctuel, mais fait partie intégrante de l'organisation continue de l'entreprise.
Enfin, la déclaration de confidentialité ne doit pas être confondue avec les consentements. De nombreux traitements de données peuvent être fondés sur un contrat, une obligation légale ou des intérêts prépondérants (art. 31, LPD). Cependant, lorsqu'un consentement est requis, il doit être donné de manière libre, informée et pour des traitements déterminés (art. 6, al. 6, LPD). Une simple mention dans la déclaration de confidentialité ne suffit alors pas automatiquement.
Comment rédiger une bonne déclaration de confidentialité ?
Le meilleur point de départ est un état des lieux honnête. Vous devez d'abord clarifier quelles données personnelles vous collectez, par quels canaux elles arrivent, quels outils vous utilisez, qui y a accès, où les données sont transmises et combien de temps elles sont conservées. Ce n'est qu'ensuite que le texte doit être rédigé.
En Suisse, une bonne déclaration de confidentialité est concrète, mais pas inutilement compliquée. Elle indique le responsable du traitement, décrit les catégories de données et les buts, explique la présence de destinataires et de sous-traitants, informe sur les transferts à l'étranger, mentionne les cookies et le suivi, décrit les droits des personnes concernées et indique une adresse de contact. Elle est facile à trouver, à jour et rédigée de manière à ce que les visiteurs ordinaires du site web et les clients puissent la comprendre.
Questions fréquentes sur la déclaration de confidentialité en Suisse
Chaque site web a-t-il besoin d'une déclaration de confidentialité ?
Presque tous les sites web professionnels ont besoin d'une déclaration de confidentialité, car les formulaires de contact, les newsletters, la webanalyse, les cookies ou les fichiers journaux du serveur (logfiles) peuvent déjà concerner des données personnelles. Ce n'est pas la taille de l'entreprise qui importe, mais le fait que des données personnelles soient collectées et traitées (art. 19, al. 1, LPD).
Un générateur gratuit est-il suffisant ?
Un générateur peut aider comme point de départ, mais il ne remplace pas un examen des traitements de données réels. La déclaration de confidentialité doit correspondre à votre site web, à vos outils, à vos flux de données et à vos durées de conservation. Des textes standards généraux ou erronés ne créent pas de véritable transparence.
La déclaration de confidentialité doit-elle être en allemand ?
La loi exige une information compréhensible (art. 13, OLPD). La langue requise dépend donc de votre public cible. Si votre site web s'adresse à des clients germanophones en Suisse, l'allemand va de soi. Pour les offres multilingues, une déclaration de confidentialité multilingue peut être utile ou nécessaire.
Dois-je mettre régulièrement à jour la déclaration de confidentialité ?
Oui, dès que vos traitements de données changent de manière significative. De nouveaux outils, de nouveaux destinataires, de nouvelles technologies de suivi, de nouvelles transmissions à l'étranger ou de nouveaux buts peuvent rendre une adaptation nécessaire. Une déclaration de confidentialité doit donc être vérifiée régulièrement et ne pas être mise à jour uniquement lorsqu'un problème survient.
