TLDR — L’art. 19 LPD impose d’informer « de manière adéquate » lors de la collecte. Le contenu minimal est court : identité du responsable, finalités, destinataires, et — en cas de transfert — l’État et les garanties. Copier une politique RGPD trouvée en ligne produit un document faux sur trois points au moins : le régime des cookies, le fondement juridique, et le représentant. Sanction encourue : jusqu’à 250 000 francs, contre une personne physique.
L’obligation, telle qu’elle est écrite
L’art. 19 al. 1 LPD énonce le principe : « Le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles, que celle-ci soit effectuée auprès d’elle ou non. »
L’al. 2 fixe le contenu minimal :
- l’identité et les coordonnées du responsable du traitement ;
- la finalité du traitement ;
- le cas échéant, les destinataires ou catégories de destinataires auxquels des données sont transmises.
L’al. 4 ajoute, en cas de communication à l’étranger : l’État ou l’organisme international destinataire, et les garanties au sens de l’art. 16 al. 2 LPD ou l’exception de l’art. 17.
Lorsque les données ne sont pas collectées auprès de la personne concernée, l’al. 3 impose d’indiquer en outre les catégories de données traitées, et l’al. 5 fixe un délai d’un mois pour informer.
C’est tout. La LPD ne réclame pas la liste exhaustive des cookies, ni une base légale par traitement, ni un délai de conservation par catégorie. Ces éléments viennent du RGPD.
Ce que la LPD ajoute et que les modèles RGPD oublient
Décision individuelle automatisée (art. 21). Le responsable doit informer la personne de toute décision prise exclusivement sur la base d’un traitement automatisé et produisant des effets juridiques ou l’affectant de manière significative. La personne peut demander que la décision soit revue par une personne physique. Pour une entreprise du numérique, cet article est celui qui vieillit le plus vite : dès qu’un modèle attribue seul un score, un tarif, une priorité de traitement ou un refus, il s’applique.
Représentant en Suisse (art. 14). Un responsable privé ayant son siège à l’étranger doit désigner un représentant en Suisse lorsqu’il traite des données de personnes en Suisse, que le traitement est en lien avec l’offre de biens ou de services ou l’observation du comportement, qu’il est de grande ampleur, régulier, et présente un risque élevé. La symétrie vaut dans l’autre sens : un éditeur suisse qui vend dans l’UE peut devoir désigner un représentant au sens de l’art. 27 RGPD. Beaucoup de politiques suisses omettent l’un et l’autre.
Exceptions (art. 20). L’information n’est pas due si la personne dispose déjà des informations, si le traitement est prévu par la loi, ou dans les cas de dispense énumérés. Utile, mais rarement applicable à un site public.
Les cookies : le point où les modèles importés se trompent
En Suisse, deux régimes se cumulent. Le premier vient de la loi sur les télécommunications (LTC, RS 784.10), art. 45c let. b : le traitement de données enregistrées sur un appareil appartenant à autrui est admis si l’utilisateur a été informé du traitement et de sa finalité, et avisé qu’il a la possibilité de refuser ce traitement. Le second est la LPD elle-même.
Le principe reste donc l’information avec possibilité de refus — le bandeau bloquant à l’européenne n’est pas exigé en tant que tel par le droit suisse. Mais le PFPDT, dans son guide sur les cookies et technologies similaires (V. 1.1 du 6 octobre 2025), retient qu’un consentement exprès au sens de l’art. 6 al. 7 LPD est nécessaire lorsque les traceurs traitent des données sensibles ou constituent un profilage à risque élevé. Cela vise une bonne partie des traceurs publicitaires et de mesure d’audience enrichie.
Deux nuances supplémentaires décident du choix technique :
- Si votre site s’adresse aussi à des utilisateurs dans l’UE, la directive ePrivacy et son opt-in s’appliquent à eux. La plupart des éditeurs romands retiennent alors un bandeau unique, aligné sur le standard le plus strict.
- Le refus, une fois exprimé, doit être respecté. Un bandeau opt-out qui charge quand même les traceurs analytiques ne satisfait ni l’art. 45c LTC ni le principe de bonne foi de l’art. 6 LPD.
Structure recommandée
Une déclaration lisible tient en huit blocs. L’ordre compte moins que la présence de chacun.
- Responsable du traitement — raison sociale, adresse, IDE, contact.
- Représentant — en Suisse (art. 14 LPD) ou dans l’UE (art. 27 RGPD), si applicable.
- Catégories de données et finalités — par usage réel, pas par système.
- Destinataires — hébergeur, CRM, outil d’e-mailing, fournisseur d’API, prestataire de paiement, par catégorie.
- Transferts à l’étranger — États concernés et garanties (annexe 1 OPDo, clauses types, dérogation art. 17).
- Durées de conservation — non exigé par l’art. 19, mais c’est la manière la plus simple de démontrer le respect de l’art. 6 al. 4.
- Droits des personnes — accès (30 jours, art. 18 OPDo), rectification, opposition, remise et portabilité, et le canal pour les exercer.
- Cookies et traceurs — information, finalité, moyen de refus (art. 45c LTC).
Ajoutez la date de dernière mise à jour. Une politique non datée signale à un auditeur qu’elle n’est pas maintenue.
Trois erreurs fréquentes
Le copier-coller RGPD. Il introduit des « bases légales » (art. 6 RGPD) qui n’existent pas en droit suisse pour le secteur privé, promet des délais RGPD (un mois prorogeable) au lieu des 30 jours de l’art. 18 OPDo, et cite l’autorité de contrôle du mauvais pays.
La déclaration écrite avant la cartographie. Le document décrit alors ce que l’entreprise croit faire. Le registre de l’art. 12 LPD, ou à défaut un simple inventaire des systèmes, doit venir en premier — la déclaration en est la sortie publique.
Le silence sur les sous-traitants d’IA. Un formulaire de contact dont le contenu passe par une API de modèle de langage hébergée hors de Suisse est un transfert de données à l’étranger, avec un destinataire à déclarer. C’est aujourd’hui l’omission la plus répandue chez les prestataires romands.
Ce que vous risquez
L’art. 60 LPD punit d’une amende jusqu’à 250 000 francs quiconque, intentionnellement, donne des informations inexactes ou incomplètes en violation de l’art. 19, ou omet d’informer la personne concernée. La sanction vise une personne physique — en pratique la personne qui décide, souvent la direction. L’entreprise elle-même peut être condamnée jusqu’à 50 000 francs lorsque l’identification de la personne punissable exigerait des mesures d’instruction disproportionnées (art. 64 al. 2). Poursuite par les cantons (art. 65), prescription de cinq ans (art. 66).
L’infraction suppose l’intention. Une omission par négligence n’est pas punissable au sens de l’art. 60 — ce qui ne protège pas d’une procédure du PFPDT, ni d’une action civile.
Sources primaires
- LPD, RS 235.1, état le 7 juillet 2025 — art. 6 (dont al. 7, consentement), 14, 19, 20, 21, 25, 60, 64, 65, 66.
- OPDo, RS 235.11, état le 15 septembre 2024 — art. 18 (délai de 30 jours), annexe 1.
- LTC, RS 784.10, art. 45c let. b — « Données enregistrées sur des appareils appartenant à autrui ».
- PFPDT, guide relatif aux traitements de données au moyen de cookies et de technologies similaires, V. 1.1 du 6 octobre 2025.
- Règlement (UE) 2016/679 (RGPD), art. 27 — représentant dans l’Union.
Avertissement — La FVN est une fédération professionnelle, pas une étude d’avocats. Ce texte est une information générale à jour au 22 août 2026, et non un conseil juridique. Faites valider votre déclaration par un mandataire qualifié avant publication.
