Que doit contenir la déclaration de protection des données (politique de confidentialité) ?
Par Advisorn · mis à jour le 17 octobre 2026 · Art. 19-21 LPD, art. 13-14 RGPD
En bref
Lorsqu'elle collecte des données personnelles, l'entreprise doit informer les personnes au moins de : son identité et ses coordonnées, la finalité du traitement, les destinataires ou les catégories de destinataires et, si les données sont communiquées à l'étranger, l'État concerné et les garanties (art. 19 LPD). Si les données ne sont pas collectées auprès de la personne, il faut aussi indiquer les catégories de données traitées.
Forme et moment
La loi n'impose pas de forme : il s'agit en général d'une déclaration sur le site, à laquelle renvoient formulaires, contrats et e-mails. L'information doit être donnée lors de la collecte ; si les données proviennent de tiers, au plus tard un mois après leur obtention (art. 19, al. 5, LPD).
Si une décision produisant des effets juridiques est prise exclusivement sur la base d'un traitement automatisé, la personne doit en être informée (art. 21 LPD).
Si le RGPD s'applique aussi
- la base légale de chaque traitement ;
- la durée de conservation ou les critères ;
- les droits de la personne, y compris la réclamation auprès de l'autorité ;
- les coordonnées du DPO, s'il y en a un.
Les exceptions
Il n'est pas nécessaire d'informer la personne qui dispose déjà des informations, ni lorsque le traitement est prévu par la loi (art. 20 LPD). L'information peut être restreinte pour protéger des intérêts prépondérants de tiers ou de l'entreprise.
Questions proches
Informations générales, pas un conseil sur votre cas : pour votre cas, le texte de la loi fait foi. Pour une question sur votre cas, il y a le conseil d'Advisorn.