nLPD et statistiques de site web

L'équipe AlpiStats · Publié le 16 octobre 2026 · Mis à jour le 17 octobre 2026

Réponse courte : dès que votre outil de statistiques traite des adresses IP, des identifiants de cookie ou des « empreintes » de navigateur, il traite des données personnelles et la nLPD s'applique. Vous devez alors : collecter le minimum nécessaire, informer les visiteurs dans votre déclaration de confidentialité, signer un contrat de sous-traitance avec le fournisseur, encadrer tout transfert à l'étranger et assurer la sécurité des données. Plus vos statistiques sont proches de l'anonymat, plus ces obligations deviennent légères.

Dernière vérification des sources : 16 octobre 2026. Texte mis à jour le 17 octobre 2026 (régime d'AlpiStats). Cet article informe ; il ne remplace pas un avis juridique.

La nLPD en deux phrases

La loi fédérale sur la protection des données révisée (LPD, souvent appelée « nLPD ») est en vigueur depuis le 1er septembre 2023. Elle s'applique aux entreprises et aux particuliers qui traitent des données de personnes physiques, y compris quand le traitement a lieu à l'étranger mais produit des effets en Suisse.

Pour un site web, la question n'est donc pas « la nLPD s'applique-t-elle ? », mais « mes statistiques traitent-elles des données personnelles, et lesquelles ? ».

Des statistiques de visite sont-elles des données personnelles ?

Une donnée personnelle est une information qui se rapporte à une personne identifiée ou identifiable (art. 5 nLPD). Le chiffre « 1 240 visites en septembre » ne l'est pas. Mais pour produire ce chiffre, la plupart des outils manipulent des données qui, elles, le sont souvent :

Donnée	Statut en règle générale
Adresse IP complète	Donnée personnelle dès que l'exploitant ou un tiers peut raisonnablement remonter à la personne. Par prudence, la traiter comme telle.
Identifiant de cookie persistant (ex. `_ga`)	Donnée personnelle : il reconnaît le même navigateur d'une visite à l'autre.
Empreinte de navigateur (fingerprinting)	Donnée personnelle, et technique jugée intrusive.
URL visitées contenant un e-mail, un nom ou un numéro de client	Donnée personnelle, souvent collectée sans que l'exploitant s'en rende compte.
Compteurs agrégés (pages vues, pays, type d'appareil) sans identifiant	En principe anonymes.

Le critère décisif est la possibilité de ré-identifier une personne, compte tenu des moyens raisonnablement disponibles. Une donnée simplement pseudonymisée (une IP remplacée par un code constant, par exemple) reste une donnée personnelle. Une donnée réellement anonymisée sort du champ de la loi.

Les sept obligations à vérifier

1. Proportionnalité : ne collecter que ce qui sert

Le traitement doit être nécessaire au but poursuivi (art. 6 nLPD). Si vous avez besoin de savoir quelles pages sont lues et d'où viennent les visiteurs, suivre chaque personne sur deux ans n'est pas nécessaire. Le guide du PFPDT sur les cookies le formule ainsi : si une analyse anonymisée atteint le même objectif, c'est elle qu'il faut choisir.

2. Protection des données par défaut

L'article 7 nLPD impose des réglages par défaut aussi respectueux que possible. Pour les statistiques : anonymisation de l'IP activée, conservation courte, aucune fonction publicitaire ou de croisement activée sans raison.

3. Transparence : la déclaration de confidentialité

Le devoir d'informer (art. 19 nLPD) exige au minimum d'indiquer :

l'identité et les coordonnées du responsable du site ;
la finalité du traitement (ici : mesure d'audience) ;
les destinataires ou catégories de destinataires (le fournisseur de l'outil) ;
si les données partent à l'étranger : le pays et la garantie utilisée.

Une violation intentionnelle de ce devoir est passible d'une amende jusqu'à CHF 250'000 pour la personne physique responsable (art. 60 nLPD).

4. Sous-traitance : un contrat avec le fournisseur

Le fournisseur de l'outil de statistiques est en général un sous-traitant : il traite les données pour votre compte (art. 9 nLPD). Vous devez avoir un contrat (souvent appelé DPA, Data Processing Agreement) et vous assurer qu'il garantit la sécurité des données. Confier des données à un sous-traitant sans respecter ces conditions est aussi une infraction pénale (art. 61 nLPD).

Attention : si le fournisseur utilise aussi les données pour ses propres besoins (amélioration de ses produits publicitaires, par exemple), il n'est plus un simple sous-traitant, et votre information doit le refléter.

5. Transferts à l'étranger

Si les données sont stockées ou consultables hors de Suisse, la communication doit reposer sur une base légale : un pays reconnu comme adéquat par le Conseil fédéral (les États de l'UE en font partie, de même que les entreprises américaines certifiées au Swiss-U.S. Data Privacy Framework depuis le 15 septembre 2024), ou des garanties comme les clauses contractuelles types (art. 16 et 17 nLPD).

Un hébergement en Suisse, chez un fournisseur suisse, supprime cette question.

6. Sécurité des données

Les données doivent être protégées contre la perte, l'accès non autorisé et la modification (art. 8 nLPD) : chiffrement des échanges, gestion des accès, sauvegardes. Les violations de la sécurité présentant un risque élevé doivent être annoncées au PFPDT (art. 24 nLPD).

7. Registre des activités de traitement

Toute entreprise doit en principe tenir un registre de ses traitements (art. 12 nLPD). Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf si elles traitent des données sensibles à grande échelle ou pratiquent un profilage à risque élevé (art. 24 de l'ordonnance sur la protection des données). Une mesure d'audience classique n'entre pas dans ces exceptions.

Le cas particulier des cookies

Si votre outil dépose des cookies, une règle supplémentaire s'ajoute à la nLPD : l'article 45c de la loi sur les télécommunications impose d'informer et de permettre de refuser. Le PFPDT admet que la mesure d'audience peut être justifiée par un intérêt prépondérant de l'exploitant, à condition d'anonymiser dès que possible et de ne publier que des résultats non identifiants, mais le droit de refus reste dû. Le détail est dans notre article Faut-il un bandeau cookies en Suisse ?.

Le piège que presque personne ne voit : les URL

Les outils de statistiques enregistrent l'adresse de chaque page vue. Or beaucoup d'URL contiennent des données personnelles sans que personne ne l'ait voulu :

…/confirmation?email=marie.dupont@exemple.ch
…/reset-password?token=8f3a…
…/mon-compte?client=104587

Ces informations se retrouvent alors dans les rapports, chez le fournisseur, parfois à l'étranger, et pendant toute la durée de conservation. C'est un défaut fréquent après l'installation d'un formulaire, d'une boutique ou d'un système de réservation. Vérifiez vos rapports de pages, et préférez un outil qui nettoie les URL avant de les enregistrer.

Checklist nLPD pour vos statistiques

Je sais quelles données mon outil collecte réellement (IP, cookies, identifiants, URL complètes).
L'IP est anonymisée ou n'est pas conservée.
La durée de conservation est limitée au besoin réel.
Les fonctions publicitaires, de croisement et de suivi inter-sites sont désactivées si je ne les utilise pas.
Ma déclaration de confidentialité nomme l'outil, sa finalité, le fournisseur et le pays d'hébergement.
J'ai un contrat de sous-traitance (DPA) avec le fournisseur.
Si les données quittent la Suisse, je connais la garantie utilisée.
Si l'outil dépose des cookies, les visiteurs peuvent les refuser facilement.
Mes URL ne contiennent pas d'e-mails, de jetons ou de numéros de client, ou l'outil les retire.
Si mon site vise aussi l'UE, j'ai vérifié les règles européennes (voir Site suisse et visiteurs européens).

Comment simplifier la conformité

Plus un outil s'approche de l'anonymat, plus la liste ci-dessus se raccourcit. Un outil sans cookie, qui ne conserve pas les adresses IP, ne suit pas les visiteurs d'un jour à l'autre et héberge les données en Suisse, évite à la fois la question des cookies et celle des transferts à l'étranger. Il reste une mention dans la déclaration de confidentialité et un contrat de sous-traitance.

C'est la base d'AlpiStats, qui va plus loin que la loi suisse : l'outil applique la règle la plus stricte à tous les visiteurs, en Suisse comme dans l'UE, et ne mesure l'audience qu'après l'accord du visiteur, dans ses deux modes. Si le visiteur refuse, aucune mesure d'audience AlpiStats n'est effectuée, sans repli vers un comptage plus simple. Le mode Essentiel mesure l'audience (pages, provenance, appareil, pays) sans identifiant persistant d'audience dans le navigateur ; le mode Complet y ajoute la reconnaissance des visiteurs qui reviennent, grâce à un identifiant aléatoire, sans cookie, gardé six mois au plus dans le navigateur, avec des visites détaillées pseudonymisées. Le visiteur peut retirer son accord à tout moment par un badge permanent : la mesure s'arrête, l'identifiant est effacé et les données pseudonymisées qui lui sont rattachées sont supprimées. Le choix du visiteur vaut six mois, les données détaillées sont gardées six mois au plus, et seuls des totaux mensuels et quotidiens réellement anonymes sont conservés 25 mois. Les statistiques ne couvrent que les visiteurs qui ont accepté et ne sont pas exhaustives. Les données de fréquentation sont hébergées et traitées en Suisse chez Infomaniak, les URL sont nettoyées des e-mails, numéros et jetons avant enregistrement, et un contrat de sous-traitance ainsi que la liste des sous-traitants sont publics. Voir comment AlpiStats traite les données des visiteurs.

Questions fréquentes

Une adresse IP est-elle une donnée personnelle en Suisse ?

Le plus souvent, oui, car elle peut permettre de remonter à une personne avec l'aide de tiers (fournisseur d'accès). Par prudence, il faut la traiter comme telle.

Des statistiques anonymes sont-elles soumises à la nLPD ?

Non, des données réellement anonymes ne sont pas des données personnelles. Mais le traitement qui précède l'anonymisation (lecture de l'IP par exemple) peut, lui, être soumis à la loi.

Dois-je mentionner mon outil de statistiques dans ma déclaration de confidentialité ?

Oui dès qu'il traite des données personnelles, même brièvement. C'est aussi une bonne pratique dans tous les cas, par transparence.

La nLPD s'applique-t-elle à un petit site vitrine ?

Oui. La loi ne prévoit pas d'exception selon la taille du site. Seul le registre des traitements est allégé pour les entreprises de moins de 250 collaborateurs.

Qui est responsable si mon fournisseur de statistiques ne respecte pas la loi ?

Vous restez responsable du traitement : c'est vous qui choisissez l'outil et décidez de l'utiliser. D'où l'importance du contrat de sous-traitance et du choix du fournisseur.