Protection des données pour boutiques en ligne : nLPD, RGPD, cookies et newsletter
Rédigé par Advisorn · mis à jour le 26 octobre 2026
En bref
Une boutique en ligne suisse est soumise à la LPD et, si elle offre ses produits à des personnes dans l'UE (livraisons, prix en euros, site dans leurs langues), aussi au RGPD (art. 3 par. 2 RGPD). Il faut une déclaration de protection des données sur le site, une bannière de cookies adaptée au public, le consentement pour la newsletter (art. 3, al. 1, let. o, LCD) et des contrats avec les fournisseurs, souvent avec des données aux États-Unis.
Les données typiques
- comptes clients, adresses de livraison et de facturation ;
- commandes, retours et correspondance avec le service clients ;
- données de paiement, en règle générale traitées par le prestataire de paiement ;
- cookies, statistiques et données publicitaires ;
- inscriptions à la newsletter et avis.
Données personnelles sensibles
En règle générale aucune, mais attention aux produits qui en révèlent : des médicaments, des articles de santé ou religieux peuvent laisser déduire des données sur la santé ou sur les convictions. Des recommandations personnalisées fondées sur de nombreuses données peuvent constituer un profilage (art. 5, let. f, LPD).
Quand le RGPD s'applique aussi
Le RGPD s'applique si la boutique s'adresse à des personnes dans l'UE : elle livre dans l'UE, affiche des prix en euros, a un site dans la langue d'un État membre conçu pour ce marché. Dans ce cas, il faut aussi un représentant dans l'UE (art. 27 RGPD), sauf si le traitement est occasionnel et à faible risque ; et, pour les cookies non nécessaires, les lois des États membres qui transposent la directive ePrivacy exigent le consentement des visiteurs de l'UE.
Les fournisseurs typiques
- la plateforme de la boutique et l'hébergement ;
- le prestataire de paiement ;
- le transporteur ;
- l'outil de newsletter ;
- les outils de statistiques et de publicité, souvent aux États-Unis.
Newsletter
Les e-mails publicitaires exigent le consentement, sauf envers les clients pour des produits semblables, s'ils ont été informés qu'ils peuvent refuser (art. 3, al. 1, let. o, LCD). Chaque envoi doit permettre de se désinscrire facilement.
Questions liées
- nLPD et RGPD : quelles différences, et quand s'appliquent-ils tous les deux ?
- Cookies et bannière : faut-il le consentement en Suisse ?
- Newsletter : faut-il le consentement pour envoyer des e-mails publicitaires en Suisse ?
- Puis-je utiliser des fournisseurs avec des serveurs aux États-Unis ou dans l'UE ?
- Qu'est-ce que le profilage, et quand est-il à risque élevé ?
- Une personne demande d'effacer ses données : que faire ?
Modèles utiles
- Modèle de politique de confidentialité pour site web (nLPD et RGPD)
- Modèle de politique en matière de cookies pour sites suisses et européens
- Modèle de contrat de sous-traitance (art. 9 LPD, art. 28 RGPD)
- Modèle d'évaluation d'une communication de données à l'étranger (TIA)
- Modèle de mandat pour le représentant dans l'UE (art. 27 RGPD)
- Modèle de procédure de traitement des demandes des personnes concernées
Les autres secteurs
Informations générales, pas un conseil sur votre cas : pour votre cas, c'est le texte de la loi qui fait foi, et pour un secteur qui a ses propres règles, celles-ci aussi.