La loi sur la protection des données révisée s'applique en Suisse depuis le 1. septembre 2023. Pour un blog d'entreprise, cela signifie : une déclaration de confidentialité compréhensible, qui indique quelles données sont collectées et où elles vont, une gestion réfléchie des statistiques de visites et des services étrangers, un consentement en bonne et due forme pour la newsletter, ainsi que des règles pour les commentaires et les images. Un consentement aux cookies sur le modèle de l'UE n'est pas nécessaire dans tous les cas, mais l'information et la possibilité de refuser le sont. Seul un spécialiste peut dire si votre site relève en plus du RGPD.
Un blog d'entreprise collecte plus de données qu'il n'y paraît : statistiques de visites, adresses de newsletter, commentaires, formulaires de contact, images de personnes. Depuis le 1. septembre 2023, la loi sur la protection des données révisée, souvent appelée nLPD, s'applique en Suisse. Cette page explique ce qu'elle implique pour les éléments typiques d'un blog. Elle ne remplace pas un conseil juridique : pour votre situation concrète, adressez-vous à un spécialiste. Les textes officiels sont disponibles auprès du PFPDT et sur Fedlex.
Les grands principes de la LPD révisée
La nouvelle loi rapproche les règles suisses du RGPD européen, sans les copier. Pour les exploitants de sites web, ces principes sont surtout pertinents :
- Transparence : quiconque collecte des données personnelles doit en informer les personnes concernées. Concrètement : une déclaration de confidentialité qui indique clairement quelles données sont collectées, dans quel but et à qui elles sont transmises.
- Finalité et proportionnalité : seulement les données nécessaires, uniquement pour la finalité indiquée.
- Transfert de données : si des données sont transmises à l'étranger, une protection adéquate doit y exister, ou des garanties supplémentaires sont requises. Le PFPDT tient une liste des États offrant une protection adéquate.
- Sécurité des données : mesures techniques et organisationnelles, par exemple le chiffrement et la restriction des accès.
- Privacy by Design : prévoir la protection des données dès le départ, et non après coup.
Contrairement au RGPD, la LPD ne prévoit pas d'amendes de plusieurs millions contre les entreprises, mais vise des personnes physiques responsables avec ses dispositions pénales. C'est une raison de prendre le sujet au sérieux au niveau de la direction.
La déclaration de confidentialité pour le blog
Chaque site web a besoin d'une déclaration de confidentialité, et le blog en fait partie. Elle doit correspondre à votre site, et non à un modèle générique. Vérifiez que ces points sont couverts :
| Élément du blog | Ce que la déclaration doit contenir |
|---|---|
| Hébergement | Où se trouve le site, quel fournisseur, localisation du serveur |
| Statistiques de visites | Quel outil, quelles données, si des cookies sont déposés, lieu de stockage |
| Newsletter | Fournisseur, finalité, consentement, désinscription |
| Commentaires | Quelles données sont enregistrées (nom, e-mail, IP), pendant combien de temps |
| Formulaire de contact | Finalité, durée de conservation, transmission |
| Contenus intégrés | Vidéos YouTube, cartes, boutons de réseaux sociaux qui envoient des données à des tiers |
| Système de blog ou agence | Lorsqu'un prestataire rédige des articles sur votre site et dispose d'accès pour cela |
Le dernier point est souvent oublié. Un système externe qui publie des articles via une interface ne traite en général pas de données de visiteurs, mais il a accès à votre système de gestion de contenu. La manière dont le fournisseur gère cet accès et vos données d'entreprise doit figurer dans le contrat.
Statistiques de visites : savoir ce qui est comptabilisé
Les outils de statistiques sont le cas de protection des données le plus fréquent sur les sites de PME. Trois questions sont décisives :
- Des cookies sont-ils déposés ? Le droit suisse des télécommunications exige que les visiteurs soient informés des cookies et puissent les refuser. Un consentement sur le modèle de l'UE n'est pas nécessaire dans tous les cas, mais l'information l'est. Les outils sans cookies simplifient les choses.
- Où les données sont-elles stockées ? Si elles se trouvent aux États-Unis, les règles sur le transfert de données s'appliquent. Le PFPDT renseigne sur la situation actuelle et les garanties reconnues.
- Les adresses IP sont-elles raccourcies ? Une adresse IP raccourcie réduit le lien avec la personne. La plupart des outils proposent ce paramètre.
La Google Search Console est un cas particulier : elle montre avec quels termes de recherche les visiteurs arrivent, sans collecter de données sur votre site. Pour de nombreux blogs, elle suffit pour mesurer les résultats. Pour savoir comment la connecter au blog, consultez Connecter la Search Console au blog.
Newsletter : le consentement doit être actif
En Suisse, les e-mails publicitaires relèvent de la loi contre la concurrence déloyale. Les envois en masse sans consentement sont interdits. Dans la pratique, le double opt-in s'est imposé : la personne s'inscrit, reçoit un e-mail de confirmation et n'est ajoutée qu'après avoir cliqué. Vous pouvez ainsi prouver le consentement.
Trois éléments doivent figurer dans chaque e-mail : un expéditeur correct avec son adresse, une mention de la possibilité de se désinscrire et un lien de désinscription fonctionnel. La loi prévoit une exception pour les clients existants qui ont indiqué leur adresse lors d'un achat et à qui l'on propose des produits similaires ; là aussi, la désinscription doit être possible à tout moment. La page Connecter le blog et la newsletter décrit comment le blog s'intègre techniquement à l'envoi.
Commentaires : peu de données, délais clairs
Quiconque autorise les commentaires enregistre le nom, l'adresse e-mail et le plus souvent l'adresse IP des commentateurs. C'est permis si cela figure dans la déclaration de protection des données et que vous ne conservez pas les données plus longtemps que nécessaire. Ne demandez que ce dont vous avez besoin : l'adresse du site web du commentateur est rarement utile. La page Un blog d'entreprise doit-il autoriser les commentaires ? examine si les commentaires ont un sens pour un blog d'entreprise.
Images : personnes et droits
Deux domaines du droit se rencontrent avec les images de blog : la protection des données, car un visage reconnaissable est une donnée personnelle, et le droit d'auteur, car les photos et les graphiques appartiennent à quelqu'un.
- Pour les collaborateurs, clients et invités sur des photos : obtenir un consentement et le documenter.
- Pour les photos de banques d'images : vérifier la licence, conserver la preuve de licence.
- Pour les images générées par IA : lire les conditions d'utilisation du service, ne pas faire générer de personnes réelles reconnaissables.
Les sources d'images adaptées à un blog sont présentées sous Images pour les articles de blog IA.
Liste de contrôle pour le blog
- Déclaration de protection des données à jour et adaptée à vos outils ?
- Outil de statistiques identifié, cookies expliqués, lieu de stockage clarifié ?
- Newsletter avec double opt-in et lien de désinscription ?
- Commentaires avec collecte minimale de données et délai de suppression ?
- Droits d'image et consentements documentés ?
- Prestataires externes ayant accès au système encadrés par contrat ?
Quiconque met ces six points en place proprement une fois sera tranquille au quotidien. Un contrôle par un spécialiste vaut surtout la peine si vous vous adressez à des clients dans l'UE ou traitez des données sensibles, par exemple dans le domaine de la santé ou de la fiduciaire.
Questions fréquentes
Ai-je besoin d'une bannière de cookies en Suisse ?
Le droit suisse exige que les visiteurs soient informés des cookies et puissent les refuser, par exemple via la déclaration de protection des données et les paramètres du navigateur. Un consentement actif par bannière, comme dans l'UE, n'est pas obligatoire dans tous les cas. Si vous vous adressez à des clients dans l'UE ou êtes soumis au RGPD, il en faut généralement davantage. Faites-le vérifier par un spécialiste.
Puis-je utiliser Google Analytics sur un site web suisse ?
C'est possible, mais l'utilisation doit être mentionnée dans la déclaration de protection des données, et le transfert de données à l'étranger doit être autorisé. Le PFPDT renseigne sur les conditions applicables aux exportations de données. De nombreuses PME se tournent vers des outils de statistiques qui stockent les données en Suisse ou dans l'UE et fonctionnent sans cookies.
Une case précochée suffit-elle pour la newsletter ?
Non. Pour les e-mails publicitaires, la loi contre la concurrence déloyale exige un consentement, et une case précochée ne vaut pas accord actif. Le double opt-in avec e-mail de confirmation est l'usage courant. Chaque e-mail doit en outre offrir une possibilité de désinscription qui fonctionne et indiquer l'expéditeur avec son adresse.
À quoi dois-je faire attention avec des photos de collaborateurs sur le blog ?
Une photo reconnaissable est une donnée personnelle. Obtenez un consentement, de préférence par écrit, et consignez l'usage prévu de l'image. Si une personne quitte l'entreprise, vous devriez clarifier si l'image peut rester en ligne. Pour les clients et les passants, la même règle s'applique, avec encore plus de retenue.
Dois-je désigner un conseiller à la protection des données ?
Pour la plupart des PME, non. La LPD révisée prévoit la désignation d'un conseiller à la protection des données à titre facultatif, elle n'est obligatoire que dans des cas particuliers. Clarifiez votre situation concrète avec un spécialiste si vous traitez de grandes quantités de données sensibles.