La Loi fédérale contre la concurrence déloyale (LCD) impose aux sites web suisses proposant des biens ou des services une identification claire de l’exploitant. Depuis le 1er septembre 2023, la nouvelle Loi fédérale sur la protection des données (nLPD) ajoute une couche d’exigences sur l’information des visiteurs. Ces deux textes combinés font des mentions légales un socle juridique à ne pas traiter à la légère.
nLPD et mentions légales : ce que la révision de 2023 change concrètement
La plupart des articles sur les mentions légales en Suisse se concentrent sur la LCD sans détailler l’impact de la nLPD. C’est une erreur d’analyse. Depuis le 1er septembre 2023, l’obligation d’information s’applique à toutes les données personnelles, et plus uniquement aux données sensibles. Un simple formulaire de contact ou un outil d’analyse de trafic déclenche cette obligation.
La nLPD exige que le responsable du traitement communique au minimum : son identité et ses coordonnées, la finalité du traitement, les destinataires ou catégories de destinataires des données, ainsi que les pays de destination en cas de communication à l’étranger, avec les garanties utilisées.
En pratique, nous recommandons de ne pas fusionner ces informations dans une page unique de mentions légales. La politique de confidentialité constitue un document distinct, lié en pied de page au même titre que les mentions légales. Les deux sont désormais aussi centraux l’un que l’autre pour la conformité d’un site internet en Suisse.
Pour observer comment cette structuration fonctionne sur un site professionnel, les mentions légales de Tous Éco illustrent bien la séparation entre identification de l’exploitant et informations liées aux données personnelles.
Contenu obligatoire des mentions légales sous la LCD suisse
La LCD vise les sites de e-commerce et, plus largement, tout site proposant des marchandises, des œuvres ou des services. L’objectif est de permettre aux clients potentiels d’identifier l’entreprise et de la contacter. Les informations à faire figurer sont précises :
- Nom ou raison sociale de l’entreprise, adresse postale complète (pas une simple boîte postale)
- Adresse électronique fonctionnelle et, idéalement, numéro de téléphone
- Pour les sociétés inscrites au registre du commerce : numéro d’identification de l’entreprise (IDE)
- Pour le e-commerce : présentation claire des étapes du processus de commande, possibilité de corriger les saisies avant validation, et envoi d’une confirmation de commande
Un point souvent négligé : la LCD exige la transparence sur le processus de commande, pas seulement sur l’identité. Le client doit savoir à quelle étape il se trouve, pouvoir vérifier sa saisie et recevoir un récapitulatif. Un site marchand qui omet ces éléments s’expose à des poursuites pour concurrence déloyale.
Communication de données à l’étranger : le piège des outils tiers
La nLPD impose de documenter tout transfert de données personnelles hors de Suisse. Nous observons que la majorité des sites suisses utilisent des services hébergés aux États-Unis ou dans l’UE sans le mentionner dans leur politique de confidentialité. Google Analytics, un hébergeur étranger, un prestataire de paiement basé hors de Suisse : chacun de ces outils constitue une communication à l’étranger au sens de la loi.
Chaque outil tiers traitant des données personnelles doit être déclaré avec son pays de destination. Il faut aussi préciser les garanties mises en place : clauses contractuelles types, décision d’adéquation du Conseil fédéral, ou consentement explicite de l’utilisateur. Omettre cette information ne relève pas d’un oubli mineur. C’est un manquement direct à l’obligation d’information de la nLPD.
Nous recommandons un audit technique régulier des scripts et cookies actifs sur le site. Un plugin ajouté par un développeur peut embarquer un tracker tiers sans que l’exploitant en ait conscience. La page de politique de confidentialité doit refléter la réalité technique du site, pas une version figée rédigée lors de la mise en ligne.
Sanctions et risques concrets pour les entreprises suisses
Sous la LCD, un concurrent ou un client peut agir en justice contre un site ne respectant pas les obligations de transparence. Les conséquences vont de l’injonction de mise en conformité à des dommages-intérêts.
La nLPD a introduit un volet pénal. Les violations intentionnelles des obligations d’information peuvent entraîner des amendes visant la personne physique responsable, et non uniquement l’entreprise. Ce mécanisme change la donne par rapport à l’ancien régime, où les sanctions restaient essentiellement civiles.
Le risque réputationnel mérite aussi d’être mentionné. Un site sans mentions légales ou avec une politique de confidentialité lacunaire envoie un signal négatif aux partenaires commerciaux et aux clients. Dans un contexte B2B suisse, la conformité juridique du site web fait partie de la due diligence avant toute collaboration.
Structure technique d’une page de mentions légales conforme
Nous constatons que beaucoup de sites regroupent mentions légales, conditions générales et politique de confidentialité sur une seule page. Cette approche nuit à la lisibilité et complique la mise à jour.
La structure que nous recommandons repose sur trois pages distinctes, toutes accessibles depuis le pied de page :
- Une page de mentions légales avec l’identification de l’exploitant (raison sociale, adresse, IDE, contact)
- Une politique de confidentialité détaillant les traitements de données, les outils tiers, les transferts à l’étranger et les droits des personnes concernées
- Des conditions générales de vente ou d’utilisation, séparées, adaptées à l’activité (e-commerce, SaaS, service)
Chaque page doit porter une date de dernière mise à jour visible. Cela permet de prouver que le contenu reflète l’état actuel du droit et de la configuration technique du site. Un document daté de 2019 sur un site remanié en 2024 pose un problème de crédibilité juridique.
La conformité d’un site internet en Suisse ne se résume pas à cocher une case lors du lancement. La nLPD a transformé la politique de confidentialité en document vivant, à réviser dès qu’un nouvel outil est intégré ou qu’un prestataire change de pays d’hébergement. Les mentions légales, elles, restent stables tant que la structure juridique de l’entreprise ne change pas, mais leur absence expose à des risques concrets et mesurables.