En Suisse, la loi fédérale contre la concurrence déloyale (LCD) impose aux exploitants de sites web commerciaux d’afficher certaines informations permettant de les identifier. Depuis le 1er septembre 2023, la loi fédérale révisée sur la protection des données (LPD) ajoute une couche supplémentaire d’exigences pour tout site qui collecte des données personnelles.
Le cadre légal suisse ne se résume donc pas à une simple page de mentions légales : il articule plusieurs textes dont les contours méritent d’être examinés de près.
LCD et LPD : deux lois distinctes qui régissent les mentions légales en Suisse
La confusion est fréquente : beaucoup d’exploitants pensent qu’une seule page couvre toutes leurs obligations. La LCD (art. 3, al. 1, let. s) vise la transparence commerciale. Elle concerne quiconque propose des marchandises, des oeuvres ou des services sur internet, ou par tout autre moyen de commerce électronique.
La LPD révisée, elle, encadre le traitement des données personnelles. Son champ d’application est plus large : un site vitrine sans fonction de vente mais qui utilise un formulaire de contact ou un outil d’analyse de trafic tombe sous cette loi. Un site non commercial peut échapper à la LCD mais pas à la LPD dès qu’il collecte des données.
L’ordonnance sur l’indication des prix (OIP) et le code des obligations (CO) complètent le dispositif pour les boutiques en ligne, notamment sur les étapes du processus de commande et la confirmation contractuelle. Un exemple concret de page de mentions légales conforme au droit suisse est consultable sur le site www.tous-eco.ch, ce qui permet de visualiser la structure type attendue.
Contenu obligatoire des mentions légales selon la LCD suisse
L’article 3 de la LCD exige une identification claire et complète de l’exploitant. Les éléments à faire figurer couvrent l’identité juridique, les coordonnées de contact et, pour les sociétés inscrites, le numéro d’identification.
- Identité complète : raison sociale ou nom et prénom pour une entreprise individuelle, forme juridique (SA, Sàrl, etc.) et, le cas échéant, le numéro IDE (identifiant des entreprises suisse au format CHE-XXX.XXX.XXX)
- Adresse postale du siège ou de l’établissement principal, pas une simple case postale
- Adresse de courrier électronique fonctionnelle permettant un contact direct
- Pour les boutiques en ligne : indication claire des prix (TTC ou HT avec mention explicite), des frais de livraison, des modalités de paiement et du droit de révocation s’il est proposé
La LCD ne mentionne pas explicitement le numéro de téléphone. En revanche, l’adresse e-mail est obligatoire. Certains exploitants ajoutent un numéro de téléphone par souci de transparence, mais seule l’adresse mail est expressément exigée par le texte.
Protection des données : ce que la LPD révisée change pour les sites internet
Depuis le 1er septembre 2023, la LPD révisée impose des obligations d’information renforcées. Tout responsable de traitement doit informer les personnes concernées de manière adéquate sur la collecte de leurs données personnelles. Cela passe généralement par une déclaration de confidentialité distincte des mentions légales au sens de la LCD.
Transferts de données à l’étranger
L’utilisation de services tiers (outils d’analyse, plateformes d’e-mailing, CRM hébergés hors de Suisse) peut entraîner un transfert de données vers des pays tiers. La LPD révisée exige alors d’indiquer les pays destinataires et de vérifier les garanties applicables. Les transferts vers les États-Unis font l’objet d’une attention particulière du Préposé fédéral à la protection des données (PFPDT).
Un site qui intègre Google Analytics, un pixel Meta ou un outil de réservation doit documenter ces flux dans sa politique de confidentialité. L’absence de cette information constitue un manquement à l’obligation de transparence prévue par la loi.
Données personnelles sensibles et analyse d’impact
La définition des données sensibles a été étendue par la révision. Dans certains cas, une analyse d’impact relative à la protection des données est requise avant la mise en oeuvre du traitement. La notification des violations de données au PFPDT est désormais obligatoire lorsqu’un incident présente un risque élevé pour les personnes concernées.
Sanctions et limites du contrôle en droit suisse
La LCD prévoit des sanctions pénales pour les comportements déloyaux, y compris l’absence des mentions obligatoires. Les amendes peuvent être prononcées sur plainte. En revanche, il n’existe pas d’autorité qui contrôle systématiquement la conformité des sites web suisses en matière de mentions légales.
Côté LPD, le PFPDT dispose de pouvoirs d’enquête et peut ordonner des mesures. Les retours terrain divergent sur ce point : la capacité effective de contrôle reste limitée face au volume de sites concernés. Les sanctions pénales prévues par la LPD visent principalement les violations intentionnelles de l’obligation d’informer, du devoir de diligence lors de transferts à l’étranger ou du secret professionnel.
Les données disponibles ne permettent pas de conclure à un niveau élevé de poursuites effectives. Le risque principal pour un exploitant reste la perte de confiance des utilisateurs et l’exposition à des actions civiles plutôt qu’une sanction administrative systématique.
Mise en forme et accessibilité de la page mentions légales
La LCD exige que les informations soient indiquées de manière claire et complète. La jurisprudence et les recommandations du SECO orientent vers une page dédiée, accessible depuis chaque page du site (lien en pied de page). Mélanger mentions légales, conditions générales et politique de confidentialité dans un seul document nuit à la lisibilité et peut poser un problème de conformité.
- Séparer mentions légales (LCD), conditions générales de vente (CO) et déclaration de confidentialité (LPD) dans des pages distinctes
- Rendre chaque page accessible en un clic depuis le footer du site
- Rédiger dans la langue du public cible, idéalement dans les langues proposées sur le site
Le droit suisse n’impose pas de format technique particulier. Un document PDF seul, sans lien visible depuis la navigation, ne remplit pas l’exigence de transparence. La page doit être indexable, lisible sur mobile et mise à jour lors de tout changement affectant l’identité de l’exploitant ou les traitements de données.
Le cadre légal suisse pour les mentions obligatoires d’un site internet repose sur l’articulation entre LCD et LPD. Un exploitant qui traite ces deux volets séparément, avec des pages claires et à jour, couvre la majeure partie de ses obligations. La difficulté réelle se situe moins dans la rédaction initiale que dans le suivi : chaque nouvel outil intégré au site, chaque nouveau prestataire étranger, peut modifier le périmètre des informations à communiquer aux utilisateurs.
