nLPD : ce que votre site doit contenir

Le principe : informer avant de collecter

La nLPD impose au responsable du traitement d'informer la personne concernée lors de la collecte de ses données. Sur un site, cette information prend la forme d'une déclaration de confidentialité, accessible depuis chaque page, et d'un court texte près de chaque formulaire.

Ce n'est pas un document à rédiger une fois pour toutes. Elle doit correspondre à ce que le site fait réellement : si vous ajoutez un outil de réservation ou une newsletter, la déclaration doit suivre.

Ce que la déclaration doit contenir

Sans être exhaustive, la liste suivante couvre les points attendus pour une PME qui a un site vitrine avec formulaire et quelques outils.

• Votre identité et vos coordonnées de contact pour les questions liées aux données
• Pour chaque formulaire : les données demandées et le but de la collecte
• La durée de conservation, ou les critères qui la déterminent
• Les prestataires qui traitent les données pour vous, et le pays où ils se trouvent
• Les droits de la personne : accès, rectification, effacement, opposition, et la manière de les exercer
• Les mesures de sécurité principales, par exemple le chiffrement des échanges
• Le droit de saisir le Préposé fédéral à la protection des données et à la transparence (PFPDT)

Formulaires et e-mails : le point sensible

Un formulaire de contact ne doit demander que ce qui est utile à la réponse. Un nom, une adresse e-mail et un message suffisent dans la plupart des cas ; le téléphone est facultatif si la personne est libre de le donner ou non.

Une case à cocher pour recevoir une newsletter doit être décochée par défaut et séparée des autres consentements. Une demande d'audit ou de devis n'implique pas d'accepter la newsletter.

Hébergement, mesure d'audience et outils tiers

Chaque outil qui reçoit des données de vos visiteurs doit figurer dans la déclaration, avec le pays dans lequel il traite ces données. Un hébergeur américain ou une messagerie à l'étranger ne sont pas interdits, mais il faut le dire et encadrer le transfert, par exemple par des clauses contractuelles reconnues.

La mesure d'audience sans cookie et sans profilage individuel simplifie beaucoup les choses. Un site qui ne pose aucun traceur tiers n'a pas de bandeau de cookies à gérer, mais il garde son obligation d'information. Pour tout outil qui profile les visiteurs, le consentement peut être exigé : vérifiez au cas par cas avant de l'activer.

Registre, sous-traitants et sécurité

Une PME de moins de 250 collaborateurs dont le traitement présente un risque limité n'a en principe pas l'obligation de tenir un registre des activités de traitement. Cette exception ne dispense pas d'informer les personnes ni de sécuriser les données.

Les données de vos clients doivent être hébergées dans un centre fiable, avec des accès protégés. Chez WebMake, la base de données est hébergée à Zurich, et les échanges passent en HTTPS.