Le constat
Quand je regarde des sites de PME suisses, je retrouve presque toujours les mêmes problèmes. Beaucoup ne respectent pas la nouvelle LPD.
Le plus souvent, personne n’y a simplement pensé. Le développeur ou l’agence qui a construit le site ne s’est pas posé la question de la protection des données, le patron ignore ce que la loi demande, et « ça a toujours marché comme ça ».
Sauf que la nouvelle loi fédérale sur la protection des données (nLPD) est en vigueur depuis le 1er septembre 2023. Les amendes peuvent atteindre 250'000 CHF et visent les personnes physiques responsables, pas l’entreprise. En clair, c’est le dirigeant qui risque de payer.
Les 7 violations les plus courantes
1. Google Analytics sans base légale
Le problème : la plupart des sites suisses utilisent Google Analytics. Google collecte les données des visiteurs, les transfère aux États-Unis et peut s’en servir pour sa propre publicité.
Ce que dit la loi : un transfert vers un pays qui n’offre pas une protection adéquate exige des garanties supplémentaires, par exemple des clauses contractuelles types ou un consentement explicite. Pour les États-Unis, l’arrêt Schrems II a invalidé le Privacy Shield en 2020. Depuis, seules les entreprises certifiées au Data Privacy Framework bénéficient d’une reconnaissance d’adéquation.
En pratique, rien n’est fait. Google Analytics est installé, il tourne, et personne ne demande l’avis des visiteurs.
Pour corriger :
- Si vous gardez Google Analytics, passez à GA4, qui ne conserve pas les adresses IP
- Demandez un consentement explicite avant de charger le script. Le vieux bandeau « en continuant à naviguer, vous acceptez… » ne suffit plus.
- Regardez les alternatives européennes, comme Matomo (auto-hébergé) ou Plausible (hébergé dans l’UE)
2. Cookies déposés avant consentement
Vous arrivez sur un site, la bannière cookies s’affiche, mais les cookies sont déjà posés. Le consentement n’est qu’une façade.
Côté légal, la LPD suisse impose la transparence. Le RGPD va plus loin : dès que vous avez des visiteurs européens, les cookies non nécessaires demandent un consentement préalable. Aucun cookie de suivi ou de marketing ne devrait donc être déposé avant le clic sur « Accepter ».
Sur beaucoup de sites, Google Analytics, le pixel Facebook ou HubSpot se chargent dès l’ouverture de la page. Le bandeau ne bloque rien.
Ce qu’il faut mettre en place :
- Une vraie gestion du consentement : aucun script non nécessaire ne se charge avant le clic
- Des catégories de cookies (nécessaires, statistiques, marketing)
- Un refus aussi simple que l’acceptation, sans dark patterns
Sur mon propre site, GA4 reste bloqué tant que le visiteur n’a pas accepté. Pour moi, c’est la seule façon correcte de faire.
3. Formulaires de contact sans information
Un formulaire demande nom, email, téléphone et message, sans jamais dire ce que deviennent ces données.
La loi exige pourtant une information claire au moment de la collecte : qui collecte, dans quel but, pour combien de temps, et à qui les données sont transmises.
Sur la plupart des sites, il y a un formulaire, un bouton « Envoyer », et rien d’autre.
Ce qui suffit en général :
- Un lien vers la politique de confidentialité sous le formulaire
- Une phrase du type « Vos données servent uniquement à répondre à votre demande et sont conservées X mois »
- La mention des services tiers qui reçoivent les données (FormSubmit, Mailchimp…)
- Une case de consentement non pré-cochée, quand elle est nécessaire
4. Politique de confidentialité absente ou copiée-collée
Soit il n’y en a pas du tout, soit c’est un texte générique trouvé sur Internet, sans rapport avec ce que fait réellement le site.
Or la politique doit décrire votre site à vous : les outils que vous utilisez vraiment, les données que vous collectez, la manière dont vous les traitez.
Les erreurs que je vois le plus souvent :
- Des outils cités que le site n’utilise pas, ou des outils utilisés qui ne sont pas cités
- Aucun mot sur les transferts de données hors de Suisse
- Pas de coordonnées du responsable du traitement
- Un texte uniquement en français sur un site multilingue
Pour corriger, rédigez une politique qui correspond à votre situation réelle et mettez-la à jour chaque fois que vous ajoutez un outil (plugin, intégration). Rendez-la accessible depuis chaque page, avec un lien dans le pied de page.
5. Pas de HTTPS ou certificat SSL expiré
En 2026, ça paraît évident. Je tombe pourtant encore sur des sites de PME en HTTP, ou avec un certificat expiré depuis des mois.
Les conséquences :
- Les données du formulaire de contact circulent en clair sur le réseau
- N’importe qui sur le même WiFi peut les intercepter
- Google pénalise le site dans ses résultats
- Le navigateur affiche « Non sécurisé », ce qui fait fuir les visiteurs
Ce qu’il faut faire :
- Installer un certificat SSL (Let’s Encrypt est gratuit)
- Rediriger HTTP vers HTTPS
- Vérifier que le certificat se renouvelle automatiquement
- Ajouter l’en-tête HSTS pour forcer HTTPS
6. En-têtes de sécurité manquants
HTTPS ne règle pas tout. Sans en-têtes de sécurité HTTP, le site reste exposé.
Les en-têtes qui comptent :
Content-Security-Policy(CSP) bloque le chargement de scripts malveillants (protection XSS)X-Frame-Optionsempêche d’intégrer votre site dans un iframe frauduleux (clickjacking)X-Content-Type-Optionsempêche le navigateur d’interpréter un fichier autrement que prévuStrict-Transport-Security(HSTS) force HTTPS, sans retour possible en HTTPReferrer-Policycontrôle les informations envoyées lors d’un clic vers un autre sitePermissions-Policycontrôle l’accès aux API du navigateur (caméra, micro, géolocalisation)
Sur la plupart des sites, aucun n’est configuré.
Ils se définissent dans la configuration du serveur web (Apache, Nginx, CloudPanel). Comptez une trentaine de minutes.
7. Données de réservation/formulaire stockées sans chiffrement
Les données envoyées par un formulaire sont stockées en clair dans la base. Si le serveur est piraté, tout est lisible immédiatement.
La LPD demande des mesures techniques appropriées pour protéger les données personnelles. Un stockage en clair ne l’est pas.
Les bonnes pratiques :
- Chiffrer les données sensibles en base
- Hasher les mots de passe avec bcrypt ou Argon2, et ne jamais les stocker en clair
- Limiter l’accès à la base (principe du moindre privilège)
- Supprimer les données dès qu’elles ne servent plus
Comment vérifier votre site en 10 minutes
Vous pouvez faire un premier diagnostic vous-même, sans outil particulier.
Test 1 : HTTPS
Votre URL commence par https:// et le cadenas s’affiche dans le navigateur ? Si ce n’est pas le cas, c’est la priorité.
Test 2 : Cookies
Ouvrez votre site en navigation privée. Avant de cliquer où que ce soit, ouvrez les DevTools (F12), puis Application, puis Cookies. Des cookies sont déjà posés ? S’ils ne sont pas strictement nécessaires, c’est une violation.
Test 3 : Formulaire
Votre formulaire de contact dit-il clairement ce qui arrive aux données ? Y a-t-il un lien vers votre politique de confidentialité ?
Test 4 : Politique de confidentialité
En avez-vous une ? Cite-t-elle nommément Google Analytics, les formulaires, les cookies et les éventuels transferts hors de Suisse ?
Test 5 : En-têtes de sécurité
Allez sur securityheaders.com et entrez votre URL. En dessous de B, il y a du travail.
Pourquoi les agences web ne s’en occupent pas
Je vais être direct : la plupart des agences web en Suisse ne vérifient pas la conformité LPD des sites qu’elles livrent.
D’abord, ce n’est pas leur métier. Elles font du design, du développement, du SEO, et la conformité légale relève d’un autre domaine. Ensuite, bien configurer les cookies, les en-têtes et la politique de confidentialité prend du temps, et ce temps n’entre pas dans un devis à 5'000 CHF. Le client, lui, ne le demande pas, puisqu’il ne sait pas que c’est nécessaire. Enfin, les CMS n’aident pas : un WordPress avec quinze plugins, c’est souvent quinze sources de cookies que personne ne coordonne.
Résultat, le sujet n’est abordé que si quelqu’un pose la question.
Ce que je fais sur mon propre site
- Un consentement cookies qui fonctionne : GA4 reste bloqué jusqu’au clic
- Des en-têtes de sécurité configurés
- HTTPS partout, avec HSTS
- Une politique de confidentialité rédigée pour ce site
- Aucune donnée envoyée à des tiers sans raison
Sources et ressources
- Confédération suisse, Nouvelle loi sur la protection des données (nLPD), 1er septembre 2023
- PFPDT, Guide pratique pour les entreprises, 2024
- CJUE, Arrêt Schrems II (C-311/18), juillet 2020
- OWASP, Top 10 des vulnérabilités web, 2021
- Mozilla, Observatory (Security Headers)
- SecurityHeaders.com, Outil de vérification en-têtes HTTP
Vous voulez savoir où en est votre site ? Réservez un audit gratuit : en 30 minutes, je vérifie la conformité LPD, la sécurité technique et les performances.