Un client vous contacte via votre site vitrine hébergé en Suisse, passe commande, puis conteste la transaction parce qu’il n’a trouvé ni votre adresse, ni vos conditions générales, ni la moindre politique de confidentialité. En droit suisse, c’est vous qui êtes en tort. Les obligations légales d’un site internet en Suisse reposent sur des textes fédéraux précis, avec des conséquences concrètes en cas de manquement.
Ce que la LCD impose réellement aux sites web suisses
La loi fédérale contre la concurrence déloyale (LCD) constitue le socle. Son article 3, alinéa 1, lettre s, chiffre 1, exige que toute personne proposant des marchandises, des œuvres ou des services sur internet indique de manière claire et complète son identité et son adresse de contact, y compris une adresse de courrier électronique. La formulation est large : elle vise aussi bien un e-commerce qu’un site vitrine qui promeut des prestations.
Un blog professionnel qui propose des consultations, un portfolio de photographe avec un bouton « réserver », un site associatif qui vend des billets : tous tombent sous le coup de la LCD dès qu’il y a une dimension commerciale. Dès qu’un formulaire de contact débouche sur une prestation payante, on bascule dans le champ d’application.
Pour illustrer ce que cela donne en pratique, on peut consulter les informations légales sur Tous Éco, qui montrent comment structurer ces mentions sur un site professionnel suisse.
Politique de confidentialité et nLPD : les pièges terrain
Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (nLPD) s’applique en Suisse. Elle impose à tout exploitant de site qui collecte des données personnelles de publier une politique de confidentialité détaillée et accessible. On parle ici de toute collecte, même un simple formulaire de contact qui enregistre un nom et un email.
La politique de confidentialité doit identifier plusieurs éléments concrets :
- L’identité et les coordonnées du responsable du traitement des données, c’est-à-dire l’entreprise ou la personne qui décide de la finalité et des moyens du traitement.
- Les catégories de données collectées, les finalités du traitement et les éventuels destinataires (sous-traitants, partenaires, prestataires techniques).
- Les transferts de données hors de Suisse, en précisant les pays concernés et les garanties mises en place, un point particulièrement sensible quand on utilise des outils comme Google Analytics ou des pixels publicitaires hébergés aux États-Unis.
L’administration fédérale donne un repère utile : sur les sites admin.ch, le suivi statistique est contrôlé en interne, limité au domaine, et les données restent en Suisse. La plupart des sites privés ne peuvent pas en dire autant. Si vous utilisez un outil de mesure d’audience tiers, votre politique de confidentialité doit nommer ce prestataire, décrire les données transmises et indiquer le pays de stockage.
Bandeau cookies et consentement : LCD, nLPD ou RGPD
La question du bandeau de consentement aux cookies crée une confusion fréquente en Suisse. La nLPD n’exige pas un consentement préalable de type opt-in pour tous les cookies, contrairement au RGPD européen. En revanche, l’obligation d’informer existe bel et bien : le visiteur doit savoir quels cookies sont déposés et dans quel but.
Le piège terrain se situe au niveau du public cible. Si votre site est visible depuis la France, l’Allemagne ou la Belgique, et qu’il cible (même partiellement) des utilisateurs européens, le RGPD s’applique en parallèle. Un bandeau de consentement conforme au RGPD devient alors nécessaire, même avec un hébergement et un siège en Suisse.
Un cookie manager correctement configuré distingue les cookies strictement nécessaires (qui ne requièrent pas de consentement) des cookies analytiques et publicitaires (qui en requièrent sous le RGPD). Beaucoup de sites suisses installent un bandeau cosmétique qui ne bloque rien techniquement : ce type de bandeau ne protège pas en cas de contrôle.
Cybersécurité et obligations émergentes pour les sites suisses
Au-delà des mentions légales et de la protection des données, un volet supplémentaire se dessine. La Suisse prépare une loi fédérale autonome sur la cybersécurité, portée par l’Office fédéral de la cybersécurité (OFCS). Cette future loi doit reprendre et élargir les obligations issues de la loi sur la sécurité de l’information.
Pour l’instant, les obligations de signalement d’incidents concernent surtout les organisations relevant des infrastructures critiques, pas automatiquement tout propriétaire de site. Mais pour les plateformes numériques ou les services en ligne opérant dans des secteurs sensibles (santé, finance, énergie), c’est un point à surveiller dès maintenant.
Ce qui change concrètement sur le terrain : on voit de plus en plus de prestataires d’hébergement suisses intégrer des clauses de sécurité renforcées dans leurs contrats. Si vous externalisez l’hébergement, vérifiez que votre contrat couvre la notification d’incidents et la responsabilité en cas de fuite de données.
Checklist des mentions légales obligatoires en Suisse
Plutôt que de lister des généralités, voici les éléments que la LCD et la nLPD combinées rendent nécessaires sur un site professionnel suisse :
- Raison sociale complète, forme juridique, adresse physique et adresse email du responsable du site (LCD, art. 3 al. 1 let. s).
- Numéro d’inscription au registre du commerce, si l’entreprise y est inscrite, et numéro de TVA le cas échéant.
- Politique de confidentialité conforme à la nLPD, incluant les finalités de traitement, les prestataires tiers et les transferts hors de Suisse.
- Conditions générales de vente pour les sites e-commerce, avec les informations sur le droit de révocation applicable.
- Mention du cookie manager utilisé et de la logique de consentement retenue (nLPD seule ou nLPD + RGPD selon le public visé).
L’absence de ces éléments constitue un acte de concurrence déloyale au sens de la LCD. Les sanctions ne sont pas théoriques : un concurrent ou un client mécontent peut engager une action civile, et le Secrétariat d’État à l’économie (SECO) peut intervenir dans certains cas.
La conformité d’un site suisse ne se joue pas sur une seule page, mais sur la cohérence entre mentions légales, politique de confidentialité et paramétrage technique des cookies. Mettre à jour ces éléments après chaque changement de prestataire ou d’outil de tracking reste la mesure la plus efficace pour éviter les mauvaises surprises.
