Protection des données en ligne :bandeau, déclaration, annonce.

Quelles règles s’appliquent à une boutique suisse

Deux textes s’appliquent en parallèle à une boutique établie en Suisse. La loi fédérale sur la protection des données règle la manière dont les données personnelles peuvent être traitées. Elle est en vigueur depuis le 1er septembre 2023.^[1] À côté se trouve l’article 45c de la loi sur les télécommunications. Cette disposition ne porte pas sur les données elles-mêmes mais sur l’accès à l’appareil de la visiteuse : traiter des données sur un équipement de tiers n’est admis que pour le service de télécommunication lui-même, ou lorsque les utilisateurs sont informés du traitement et de sa finalité et qu’il leur est indiqué qu’ils peuvent le refuser.^[10]

Le Préposé fédéral à la protection des données et à la transparence retient dans son guide que cette disposition s’applique cumulativement à la loi sur la protection des données. Tout traitement sur l’appareil d’un tiers doit donc soit servir la transmission, soit rester contrôlable par l’utilisateur, et la forme de l’information suit la loi sur la protection des données.^[11]

La différence essentielle avec l’UE tient au point de départ. Le droit suisse met en avant la transparence et un droit d’opposition, alors que le droit de l’Union exige en principe un consentement exprès préalable pour les cookies non nécessaires. Le Préposé le formule ainsi dans sa notice du 31 mars 2026.^[12]

Ce n’est pas un blanc-seing. L’article 6 exige que les données ne soient collectées que pour une finalité déterminée et reconnaissable pour la personne concernée, et que le traitement soit proportionné. L’article 7 oblige en outre le responsable à garantir, par des réglages par défaut appropriés, que le traitement reste limité au minimum nécessaire à la finalité, sauf décision contraire de la personne concernée.^{[2, 3]}

Information, refus, consentement

Le guide du Préposé classe l’usage des cookies et des techniques comparables par paliers. Le palier applicable ne dépend pas du nom de l’outil mais de l’intensité de l’atteinte liée au traitement.^[11]

Classement selon le guide du PFPDT, version 1.1 du 6 octobre 2025, chiffre 3.

Pour la possibilité de refus, le guide pose trois exigences : elle doit être placée de manière visible, fonctionner en peu de clics, et les réglages par défaut doivent être respectueux des données. Les intérêts privés prépondérants ne doivent être admis qu’avec retenue, et une exploitation à des fins purement statistiques est soumise à ses propres conditions, l’anonymisation en premier lieu.^[11]

Là où un consentement est nécessaire, l’article 6 alinéa 6 s’applique : il n’est valable que s’il est donné librement, pour un ou plusieurs traitements déterminés et après une information adéquate. L’alinéa 7 exige la forme expresse pour les données sensibles et pour un profilage à risque élevé. Selon la définition légale, il y a profilage à risque élevé lorsque les données sont liées de telle manière qu’elles permettent d’apprécier des aspects essentiels de la personnalité.^[2]

Avec des services intégrés de tiers, un lecteur vidéo ou une carte par exemple, ces tiers collectent des données à leurs propres fins. L’exploitant et le tiers sont alors conjointement responsables. L’exploitant doit savoir quels services sont intégrés, doit s’assurer que tous les devoirs d’information sont remplis et doit recueillir les éventuels consentements en nommant les tiers sans ambiguïté.^[11]

Ce qui doit figurer dans la déclaration

L’article 19 fixe le contenu minimal. Il faut communiquer l’identité et les coordonnées du responsable du traitement, la finalité du traitement et, le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées. Lorsque les données ne sont pas collectées auprès de la personne concernée, s’ajoutent les catégories de données traitées. Lorsque des données partent à l’étranger, l’État ainsi que les garanties ou l’exception doivent également être indiqués.^[1]

Sur la forme, le Préposé recommande une construction par niveaux : l’essentiel au premier niveau, les détails aux niveaux suivants. La déclaration doit être facile à trouver et ne doit pas être disponible uniquement sur demande. En cas de doute, il faut partir de l’idée qu’il s’agit de données personnelles.^[11]

Le droit d’accès de l’article 25 va plus loin que la déclaration. Sur demande, il faut communiquer notamment les données personnelles traitées en tant que telles, la finalité, la durée de conservation ou les critères permettant de la fixer, les informations disponibles sur l’origine des données et, le cas échéant, l’existence d’une décision individuelle automatisée ainsi que la logique sur laquelle elle repose. Personne ne peut renoncer d’avance à ce droit, la réponse est gratuite et elle est donnée en règle générale dans les 30 jours. Si vous faites traiter les données par un sous-traitant, le devoir de répondre vous reste.^[6]

Un registre des activités de traitement est en principe exigé de tout responsable par l’article 12. L’article 24 de l’ordonnance en libère les entreprises qui comptent moins de 250 collaborateurs au 1er janvier d’une année. L’exception tombe lorsque des données sensibles sont traitées à grande échelle ou lorsqu’un profilage à risque élevé a lieu.^{[4, 8]}

Qui confie le traitement à un prestataire a besoin d’une base contractuelle ou légale selon l’article 9 et doit s’assurer que le sous-traitant est en mesure de garantir la sécurité des données. Une sous-délégation n’est admise qu’avec l’accord préalable.^[5]

Deux obligations ne figurent pas dans le droit de la protection des données mais relèvent du même coin dans une boutique. La loi contre la concurrence déloyale exige, dans le commerce électronique, des indications claires et complètes sur l’identité et l’adresse de contact y compris le courrier électronique, une indication des étapes techniques menant à la conclusion du contrat, des moyens techniques appropriés permettant de détecter et de corriger les erreurs de saisie, et une confirmation électronique immédiate de la commande. Pour la publicité par courriel, le même article exige le consentement préalable des clients, un expéditeur correct et une possibilité de refus simple et gratuite. Qui obtient des coordonnées lors d’une vente et signale cette possibilité de refus peut envoyer à ces clients, sans leur consentement, de la publicité pour ses propres prestations analogues. Les infractions sont punies sur plainte, selon l’article 23, d’une peine privative de liberté de trois ans au plus ou d’une peine pécuniaire.^[17]

Données vers l’étranger : la liste et les États-Unis

L’article 16 autorise la communication à l’étranger lorsque le Conseil fédéral a constaté que l’État concerné garantit un niveau de protection adéquat. À défaut d’une telle décision, une protection appropriée doit être assurée par un traité international, par des clauses de protection des données dans un contrat communiquées au préalable au Préposé, par des clauses types de protection des données que le Préposé a approuvées, établies ou reconnues, ou par des règles d’entreprise contraignantes approuvées au préalable.^[9]

La liste des États figure à l’annexe 1 de l’ordonnance. Elle compte actuellement 44 entrées, parmi lesquelles les États de l’Espace économique européen ainsi que le Canada, Israël, la Nouvelle-Zélande, l’Uruguay et le Royaume-Uni.^[13]

Les États-Unis figurent sur la liste, mais avec une réserve. Un niveau de protection adéquat vaut pour les données personnelles traitées par des organisations certifiées selon les principes du cadre de protection des données entre la Suisse et les États-Unis. Le Conseil fédéral a reconnu ce cadre le 14 août 2024, et la modification de l’ordonnance est entrée en vigueur le 15 septembre 2024.^{[13, 15]}

Pour chaque entrée, l’État et la garantie doivent figurer dans la déclaration, puisque l’article 19 alinéa 4 l’exige.

Quand le RGPD s’ajoute

Selon son article 3 alinéa 2, le règlement général européen sur la protection des données s’applique aussi aux responsables qui ne sont pas établis dans l’Union lorsque le traitement est lié à l’offre de biens ou de services à des personnes concernées dans l’Union, que le paiement soit exigé ou non, ou au suivi de leur comportement dans l’Union.^[16]

Pour une boutique suisse, cela signifie ceci : dès que vous vendez de manière planifiée dans l’UE, que vous y livrez, que vous affichez des prix en euros ou que vous suivez des visiteuses de l’Union avec des outils, le règlement s’ajoute à la loi suisse. L’article 27 exige alors par écrit un représentant dans l’Union, sauf pour un traitement occasionnel qui n’inclut pas de traitement à grande échelle de catégories particulières de données et qui n’est pas susceptible d’engendrer un risque. Le plafond des amendes atteint, selon l’article 83 alinéa 5, 20 millions d’euros ou quatre pour cent du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu.^[16]

La Suisse applique un principe symétrique. L’article 14 exige des responsables privés domiciliés à l’étranger qu’ils désignent une représentation en Suisse lorsqu’ils traitent des données de personnes en Suisse en lien avec l’offre de biens et de services.^[14]

À quel point le commerce transfrontalier est devenu courant, l’enquête annuelle de Handelsverband.swiss et de NielsenIQ le montre : sur 15,8 milliards de francs de consommation en ligne en 2025, 2,8 milliards sont allés à des commerçants à l’étranger, soit une hausse de huit pour cent.^[18]

Incident de sécurité : quand annoncer

L’article 24 exige une annonce au Préposé dès qu’une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. L’annonce est faite dans les plus brefs délais. Le droit suisse ne connaît pas de délai rigide comme les 72 heures du règlement européen. Le sous-traitant annonce pour sa part au responsable dans les plus brefs délais. La personne concernée doit être informée lorsque cela est nécessaire à sa protection ou lorsque le Préposé l’exige.^[19]

Le contenu de l’annonce figure à l’article 15 de l’ordonnance : la nature de la violation, dans la mesure du possible le moment et la durée, dans la mesure du possible les catégories et le nombre approximatif des données et des personnes concernées, les conséquences y compris les risques éventuels, les mesures prises ou prévues, et une personne de contact avec ses coordonnées. Les indications manquantes sont fournies ensuite dans les plus brefs délais.^[20]

L’annonce passe par le portail du Préposé. Après l’envoi, une confirmation reprenant les indications annoncées peut être téléchargée. Le cas où un risque élevé est vraisemblable est expliqué dans un guide du Préposé du 23 avril 2025.^{[21, 22]}

Que cette voie soit utilisée, le rapport d’activités le montre. Durant l’exercice 2025/26, le Préposé a reçu plus de 2000 annonces de violations possibles de la protection des données. Il en a tiré 22 éclaircissements préalables, neuf enquêtes et 156 interventions auprès de responsables.^[23]

Comment le mettre en place

1. Noter les flux de données : quelles données naissent lors de la commande, du paiement, de l’expédition, du retour, du compte et de l’infolettre, et où elles vont. Cette liste est la base de tout le reste.
2. Trancher la question du registre : en dessous de 250 collaborateurs, le registre tombe, pour autant qu’aucune donnée sensible ne soit traitée à grande échelle et qu’aucun profilage à risque élevé n’ait lieu. La liste des flux montre si l’une des exceptions s’applique.^[8]
3. Inventorier les scripts : chaque outil qui se charge dans le frontend est inscrit et rattaché à l’un des trois paliers. Ce que personne ne sait expliquer est retiré.
4. Régler le bandeau : réglages par défaut respectueux des données, refus aussi accessible que l’acceptation, choix modifiable à tout moment par un lien en pied de page.^[11]
5. Rédiger la déclaration : par niveaux, avec le contenu minimal de l’article 19 et avec les États et les garanties pour les communications à l’étranger.^[1]
6. Mettre les contrats à jour : un contrat de sous-traitance selon l’article 9 pour chaque prestataire, avec la sous-délégation réglée.^[5]
7. Exercer l’accès et l’annonce : une adresse pour les demandes d’accès, un processus qui tient les 30 jours, et une voie d’annonce pour les incidents avec une personne de contact désignée.^[6]
8. Vérifier si une analyse d’impact est due : un traitement à grande échelle de données sensibles ou un profilage à risque élevé appelle au préalable une analyse d’impact relative à la protection des données. Le Préposé publie une notice à ce sujet.^{[24, 25]}

Ce guide est une mise en perspective et non un conseil juridique ou fiscal ; pour votre propre boutique, un examen professionnel de la configuration concrète en vaut la peine.

Questions fréquentes