La nouvelle loi fédérale sur la protection des données (nLPD) est en vigueur depuis le 1er septembre 2023. Pour un formulaire de lead generation, elle impose surtout de la transparence : dire qui collecte, pourquoi et à qui les données sont transmises. La prospection elle-même relève aussi de la loi contre la concurrence déloyale (LCD), qui exige un consentement préalable pour la publicité de masse par télécommunication.
Deux lois à combiner : nLPD et LCD
Le premier réflexe d'un annonceur venu de l'Union européenne est de copier son formulaire RGPD. C'est un bon point de départ, mais le cadre suisse est différent.
La nLPD encadre le traitement des données personnelles : information, sécurité, droits des personnes, transferts à l'étranger. Elle est surveillée par le Préposé fédéral à la protection des données et à la transparence (PFPDT).
La LCD encadre les méthodes de prospection. Son art. 3 al. 1 let. o vise l'envoi de publicité de masse par voie de télécommunication (courriel, SMS) sans consentement préalable, sans indication correcte de l'émetteur ou sans possibilité de refus simple et gratuite.
| Sujet | RGPD (UE) | nLPD (Suisse) |
|---|---|---|
| Base légale | Requise pour chaque traitement | Pas de base systématique, principes de licéité et de transparence |
| Consentement | Une des bases possibles | Requis dans certains cas (données sensibles, profilage à risque élevé) |
| Prospection électronique | Directive ePrivacy et droits nationaux | LCD, art. 3 al. 1 let. o |
| Sanctions | Amendes administratives visant l'entreprise | Amendes pénales jusqu'à 250 000 CHF visant la personne physique |
| Autorité | Autorités nationales (CNIL, CNPD...) | PFPDT |
Le devoir d'informer au moment de la collecte
L'art. 19 nLPD impose d'informer la personne au moment de la collecte. Pour un formulaire, l'information minimale comprend :
- l'identité et les coordonnées du responsable du traitement ;
- la finalité du traitement ;
- les destinataires ou catégories de destinataires, notamment les annonceurs qui recevront le lead ;
- en cas de transfert à l'étranger, l'État concerné et, le cas échéant, les garanties prévues.
Ce dernier point est souvent oublié. Un lead collecté en Suisse et transmis à un annonceur basé en France ou au Luxembourg est communiqué à l'étranger. Le Conseil fédéral tient une liste des États qui offrent un niveau de protection adéquat. Pour les autres destinations, des garanties spécifiques sont nécessaires.
Concrètement, placez un texte court sous le bouton d'envoi, avec un lien vers une déclaration de protection des données complète. Nommez l'annonceur. Évitez les formules du type « nos partenaires sélectionnés ».
Consentement : quand il est nécessaire
La nLPD ne demande pas un consentement pour chaque traitement. Mais deux situations l'imposent en pratique pour la génération de leads.
La prospection par courriel ou SMS. La LCD exige le consentement préalable du destinataire pour la publicité de masse par télécommunication. Une exception existe pour les clients à qui l'on a déjà vendu des produits analogues, s'ils ont pu refuser lors de la collecte. Un lead issu d'un formulaire tiers n'entre généralement pas dans cette exception.
Les données sensibles et le profilage à risque élevé. Les données sur la santé, par exemple dans un questionnaire de prévoyance, sont des données sensibles. Leur traitement exige des précautions renforcées et, selon les cas, un consentement exprès.
Pour le téléphone, la LCD prévoit d'autres règles. L'art. 3 al. 1 let. u sanctionne le non-respect de l'astérisque de l'annuaire, qui signale le refus de la publicité. Les personnes absentes de l'annuaire doivent être traitées comme celles qui portent l'astérisque. La let. v interdit les appels publicitaires sans numéro inscrit à l'annuaire, et la let. w interdit d'exploiter des informations obtenues en violation des let. u ou v. Un lead entrant, où la personne demande à être rappelée, est la voie la plus sûre.
Sécurité, durée de conservation et violations
La nLPD impose la protection des données dès la conception et par défaut. Pour un formulaire, cela veut dire :
- collecter uniquement les champs utiles à la qualification ;
- chiffrer les échanges entre le formulaire, la plateforme et l'annonceur ;
- limiter l'accès aux leads aux personnes qui les traitent ;
- fixer une durée de conservation et supprimer les leads non exploités.
En cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé, le responsable doit l'annoncer au PFPDT dans les meilleurs délais (art. 24 nLPD). Les entreprises de moins de 250 collaborateurs peuvent être dispensées du registre des activités de traitement, sauf traitement à risque élevé.
Sanctions : une logique pénale et personnelle
Le plafond des amendes est passé de 10 000 à 250 000 CHF. Ces amendes visent en principe les personnes physiques responsables, et seulement en cas de violation intentionnelle. Elles sont poursuivies sur plainte. Les cas visés incluent la violation du devoir d'informer, la communication de données à l'étranger sans respecter les conditions ou le non-respect d'une décision du PFPDT.
Cette logique personnelle change la perception du risque. Un responsable marketing ou un dirigeant peut être directement concerné. C'est un argument fort pour documenter les formulaires et les flux de données.
À retenir
- La nLPD exige de la transparence au moment de la collecte : responsable, finalité, destinataires, pays de destination.
- La LCD exige un consentement préalable pour la prospection par courriel et SMS.
- L'astérisque de l'annuaire et l'absence d'inscription doivent être respectés pour le téléphone.
- Les amendes, jusqu'à 250 000 CHF, visent les personnes physiques en cas de violation intentionnelle.
- Un lead entrant, documenté et nominatif reste le modèle le plus sûr.
Rise Up Digital travaille sur le marché suisse avec des annonceurs et des éditeurs locaux. Plus d'informations sur la page Suisse.
Cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Vérifiez les textes en vigueur avant toute décision.
