nLPD pour e-commerce suisse : la checklist concrète.

C'est l'obligation la plus visible — et la plus souvent bâclée. Toute personne dont vous collectez les données doit être informée, au moment de la collecte, de qui vous êtes, de la finalité, et des destinataires.

• Une politique de confidentialité à jour, accessible depuis chaque page (footer).
• Mention claire au moment de la collecte (formulaire de commande, création de compte, newsletter).
• Identité du responsable du traitement et moyen de le contacter.
• Finalités précises (livraison, facturation, marketing — séparées, pas un fourre-tout).
• Destinataires et catégories de destinataires, y compris les sous-traitants.
• Information en cas de transfert de données à l'étranger, avec le pays.

Le document interne qui liste qui traite quoi, pourquoi, et combien de temps. Bonne nouvelle pour les petites structures : il existe une exemption.

• Tenir un registre des traitements (finalités, catégories de données et de personnes, durées de conservation, destinataires).
• Exemption possible pour les entreprises de moins de 250 collaborateurs — sauf si vous traitez des données sensibles à grande échelle ou faites du profilage à risque élevé.
• En e-commerce, dès que vous gérez des paiements, des comptes clients et du marketing ciblé, mieux vaut le tenir même si l'exemption pourrait s'appliquer.

C'est le cœur de notre métier, et le point le plus souvent sous-estimé. La nLPD impose une sécurité « adéquate » au risque — des mesures techniques et organisationnelles réelles, pas une case cochée.

• Chiffrement des données en transit (HTTPS partout) et au repos pour les données sensibles.
• Contrôle des accès : qui accède à la base clients, avec quels droits, et 2FA sur les comptes admin.
• Mises à jour de sécurité suivies (CMS, plugins, serveur) — une faille connue non corrigée est un défaut de sécurité au sens de la loi.
• Sauvegardes testées et stockées hors du serveur de production.
• Journalisation et supervision : pouvoir détecter et reconstituer un incident.
• Minimisation : ne collectez et ne conservez que ce qui est nécessaire.

En cas de fuite de données, vous avez une obligation d'annonce. C'est le scénario où l'impréparation coûte le plus cher — il faut savoir quoi faire avant que ça arrive.

• Une procédure écrite : qui fait quoi, dans quel ordre, avec quels contacts (technique, juridique, direction).
• Annonce au PFPDT « dans les meilleurs délais » lorsque la violation entraîne vraisemblablement un risque élevé pour les personnes concernées.
• Information des personnes concernées lorsque c'est nécessaire à leur protection ou que le PFPDT l'exige.
• Capacité à évaluer factuellement ce qui a été touché — d'où l'importance des logs et d'un audit forensique en cas d'incident.
• Documentation de la violation et des mesures prises, même si l'annonce n'est finalement pas requise.

Votre hébergeur, votre passerelle de paiement, votre outil d'emailing, votre agence : tous traitent des données pour vous. Vous restez responsable de ce qu'ils en font.

• Un contrat de sous-traitance (ou DPA) avec chaque prestataire qui traite des données personnelles pour vous.
• Vérifier que le sous-traitant garantit une sécurité adéquate et ne sous-traite pas à son tour sans accord.
• Tenir à jour la liste de vos sous-traitants (elle doit figurer dans votre information à la collecte).

Dès que vous utilisez un outil hébergé hors de Suisse (cloud, analytics, paiement, emailing US), vous transférez des données à l'étranger. Ce n'est pas interdit, mais encadré.

• Vérifier si le pays de destination offre une protection adéquate (liste tenue par le Conseil fédéral).
• À défaut, mettre en place des garanties (clauses contractuelles type reconnues) ou relever d'une exception légale.
• Privilégier, quand c'est possible, des prestataires hébergeant en Suisse ou dans l'EEE pour réduire la complexité.

Qui est responsable de tout ça, concrètement, dans votre entreprise ?

• Identifier le responsable du traitement (en général l'entreprise / sa direction).
• Un conseiller à la protection des données (DPO) n'est pas obligatoire pour une entreprise privée en Suisse, mais désigner un référent interne clarifie les responsabilités.
• Sensibiliser les personnes qui manipulent les données (commandes, support, marketing).