Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) encadre la manière dont chaque entreprise suisse collecte et utilise les données personnelles. En 2026, la loi s'applique pleinement et le Préposé fédéral à la protection des données et à la transparence (PFPDT) peut ouvrir des enquêtes. Selon la loi fédérale sur la protection des données (Confédération suisse, 2023, art. 60 et 61), certaines violations intentionnelles exposent la personne privée responsable à une amende pouvant atteindre 250 000 CHF. Pourtant, beaucoup de PME romandes naviguent encore à vue : bannière cookies copiée d'un site français, newsletter envoyée à d'anciens contacts jamais consentants, formulaire qui aspire plus de données que nécessaire.
Bonne nouvelle : mettre en conformité un dispositif marketing classique — site web, newsletter, publicité en ligne — représente quelques jours de travail, pas quelques mois. Voici ce que la loi exige réellement pour vos newsletters, vos cookies, vos formulaires et votre tracking, suivi d'une checklist applicable sans juriste.
La nLPD en deux mots : ce qui concerne votre marketing
La nLPD protège les données des personnes physiques : prénom, adresse email, adresse IP, comportement de navigation, historique d'achat. Dès qu'un outil marketing touche l'une de ces informations, la loi s'applique. Trois principes structurent tout le reste :
- Transparence : vous devez informer clairement les personnes de ce que vous collectez, pourquoi, et avec qui vous le partagez — c'est le rôle de la déclaration de confidentialité de votre site.
- Proportionnalité : vous ne collectez que les données nécessaires au but annoncé. Un formulaire de devis n'a pas besoin de la date de naissance.
- Sécurité : les données doivent être protégées techniquement et organisationnellement, et les violations présentant un risque élevé doivent être annoncées au PFPDT.
Contrairement au RGPD européen, la nLPD ne prévoit pas d'amendes calculées sur le chiffre d'affaires et n'impose pas de délégué à la protection des données aux PME. Selon l'ordonnance sur la protection des données (Conseil fédéral, 2022, art. 24), le registre des activités de traitement est même facultatif en dessous de 250 collaborateurs, sauf données sensibles à grande échelle ou profilage à risque élevé. En revanche, si vous ciblez activement une clientèle dans l'Union européenne — livraisons en France voisine, campagnes sur Lyon ou Annecy — le RGPD s'applique en plus du droit suisse.
Newsletters : le consentement d'abord
L'envoi de newsletters commerciales est régi par deux textes : la nLPD pour les données, et la loi contre la concurrence déloyale (LCD) pour l'envoi publicitaire de masse lui-même. Concrètement, trois conditions cumulatives :
- Un consentement préalable (opt-in) : la personne a coché une case ou validé une inscription. Une case pré-cochée ne vaut rien, un fichier d'adresses acheté non plus.
- Un expéditeur identifiable : votre raison sociale et une adresse de contact valide dans chaque envoi.
- Un lien de désinscription fonctionnel dans chaque email, effectif immédiatement et gratuitement.
Il existe une exception précieuse pour les PME : vos clients existants peuvent recevoir des offres portant sur des produits ou services similaires à ceux déjà achetés, sans nouvel opt-in, à condition d'avoir pu refuser lors de la collecte de leur adresse. Un garage de Nyon peut écrire à ses clients pour le changement de pneus ; il ne peut pas louer sa base à un assureur.
Une base de contacts « historiques » sans preuve de consentement est un passif, pas un actif. Une campagne de re-permission — un email demandant de confirmer l'inscription — n'en conserve souvent qu'une partie, mais ce sont des contacts réellement engagés. Les autres n'ouvraient sans doute déjà plus vos emails.
Cookies et tracking : le vrai niveau d'exigence suisse
C'est le point le plus mal compris. Le droit suisse n'impose pas la bannière de consentement bloquante à l'européenne : la loi sur les télécommunications exige d'informer les visiteurs du traitement — via la déclaration de confidentialité — et de leur indiquer comment le refuser. Une PME qui ne vise que la Suisse peut donc légalement fonctionner avec un bandeau d'information et une possibilité de refus.
Attention toutefois à trois situations qui relèvent le niveau d'exigence :
- Audience européenne ciblée : les règles européennes (directive ePrivacy et RGPD) imposent alors un consentement préalable avant tout cookie non essentiel — la bannière avec des boutons « Accepter » et « Refuser » équivalents devient nécessaire.
- Outils publicitaires : pixel Meta, tag Google Ads et listes de remarketing créent des profils. La nLPD encadre strictement le profilage à risque élevé ; par prudence, conditionnez ces tags au consentement. C'est le paramétrage que nous recommandons pour nos campagnes Google Ads à Genève.
- Transferts hors de Suisse : Google Analytics ou Meta transfèrent des données vers les États-Unis. C'est licite lorsque le prestataire est certifié au Swiss-U.S. Data Privacy Framework — vérifiez sa certification et mentionnez le transfert dans votre déclaration de confidentialité.
En pratique, une plateforme de gestion du consentement (CMP) adaptée à un site de PME règle l'essentiel du sujet : bandeau conforme, blocage des tags publicitaires avant consentement, journal de preuve horodaté. Les prix varient selon le trafic et le nombre de domaines : consultez la page de tarifs de l'éditeur.
Formulaires : minimiser, informer, sécuriser
Chaque formulaire de votre site est un point de collecte soumis à la nLPD. Trois réflexes :
- Minimisation : ne demandez que ce qui est nécessaire pour répondre. Nom, email et message suffisent pour un formulaire de contact — chaque champ superflu fait d'ailleurs chuter la conversion.
- Information au moment de la collecte : un lien vers la déclaration de confidentialité sous le bouton d'envoi. Si le formulaire alimente aussi la newsletter, ajoutez une case à cocher séparée, jamais pré-cochée.
- Sécurité : HTTPS obligatoire, données transmises vers une boîte email professionnelle — pas vers le Gmail personnel d'un collaborateur.
Lors d'une refonte ou d'une création de site web à Genève, intégrer ces exigences dès la conception ne coûte rien de plus ; les rattraper après coup sur un site mal construit coûte vite bien plus cher.
Découvrez nos services · Discutons sur WhatsApp
La checklist de conformité, sans juriste
Voici le parcours complet, dans l'ordre. Comptez une à deux journées de travail pour une PME disposant d'un site vitrine et d'une newsletter :
- Cartographiez vos données (2 h) : listez où vivent les données clients — CRM, outil d'emailing, Google Analytics, fichiers Excel, système de caisse. Pour chaque source : quelles données, quel but, quel prestataire, quel pays.
- Rédigez ou mettez à jour la déclaration de confidentialité (3 h) : identité du responsable, données collectées, buts, destinataires, transferts à l'étranger, droits des personnes, adresse de contact. Des générateurs suisses gratuits fournissent une base solide à adapter.
- Passez vos cookies au scanner (1 h) : un outil d'analyse gratuit liste les cookies réellement déposés par votre site. Supprimez les tags inutilisés — beaucoup de sites en traînent.
- Installez une CMP (2 h) : bandeau conforme, blocage des tags publicitaires avant consentement, preuve horodatée des choix.
- Assainissez votre base newsletter (2 h) : segmentez les contacts avec preuve d'opt-in, lancez une campagne de re-permission pour les autres, supprimez les adresses injoignables.
- Vérifiez vos sous-traitants (1 h) : hébergeur, plateforme d'emailing, CRM — chacun doit proposer un contrat de sous-traitance et, pour les prestataires américains, une certification au Data Privacy Framework.
- Préparez la procédure de demande d'accès (1 h) : toute personne peut demander quelles données vous détenez sur elle ; selon l'ordonnance sur la protection des données (Conseil fédéral, 2022, art. 18), vous avez 30 jours pour répondre, gratuitement. Un modèle de réponse et une personne désignée suffisent.
Point bonus : les demandes d'accès et l'inventaire des données se prêtent très bien à l'automatisation par IA — extraire les données d'un contact sur l'ensemble de vos outils devient alors nettement plus rapide qu'une recherche manuelle.
Combien coûte la conformité — et combien coûte son absence
Le coût dépend surtout de la complexité de votre dispositif et de la part que vous déléguez. Pour une PME romande avec un site vitrine, une newsletter et un peu de publicité en ligne, voici ce qui pèse :
- Déclaration de confidentialité adaptée au droit suisse : en autonomie avec un générateur, elle vous coûte surtout du temps ; en la déléguant, le prix dépend du nombre d'outils et de traitements à décrire.
- CMP et paramétrage des tags : l'abonnement figure sur la page de tarifs de l'éditeur, et la mise en place dépend du nombre de tags à conditionner.
- Nettoyage de la base emailing : quelques heures internes, généralement sans outillage payant.
En interne, la mise en conformité coûte surtout du temps. En la déléguant, demandez un prix ferme pour chaque poste. En face : l'amende rappelée en introduction pour les violations intentionnelles, le coût d'un litige, et surtout la perte de confiance de clients toujours plus attentifs à l'usage de leurs données. Pour chiffrer aussi le site ou les campagnes qui vont avec, nos montants affichés et leur simulateur servent de point de départ.
Les trois erreurs qui coûtent cher
- Copier la politique de confidentialité d'un site français : elle cite le RGPD et la CNIL, ignore le PFPDT et le droit suisse, et vous engage sur des obligations que vous ne respectez pas. Un document inexact est pire qu'un document imparfait.
- Acheter des bases d'adresses : aucun consentement valable ne vous couvre, et chaque plainte pour spam peut vous attirer des ennuis.
- Lancer des campagnes publicitaires sans conditionner les pixels : le remarketing sans consentement vous expose juridiquement et fausse au passage vos données de mesure.
Conclusion : la conformité comme avantage commercial
La nLPD n'est pas un obstacle au marketing digital, c'est un filtre de qualité. Une base opt-in engagée performe mieux, un tracking propre mesure mieux, un site transparent convertit mieux. Les PME qui affichent une gestion sérieuse des données transforment une contrainte légale en argument de confiance.
Chez Digital Swiss Agency, nous tenons compte de ces exigences dès la conception des sites, des campagnes et des newsletters que nous livrons. Parlez-nous de votre dispositif actuel lors d'un échange de 15 minutes en visio : cela permet souvent de repérer les deux ou trois corrections prioritaires.