Mentions légales et nLPD : ce que votre site doit afficher en Suisse

01Les trois textes qui s'appliquent à votre site

• La loi fédérale sur la protection des données (LPD, RS 235.1), révisée, en vigueur depuis le 1er septembre 2023. On l'appelle souvent nLPD. Elle s'applique à toute entreprise qui traite des données personnelles, quelle que soit sa taille. Un formulaire de contact, une inscription à la newsletter ou un outil de statistiques suffisent.
• La loi contre la concurrence déloyale (LCD, RS 241), article 3, alinéa 1, lettre s : qui propose des marchandises, des œuvres ou des prestations par le commerce électronique doit indiquer clairement son identité et son adresse de contact, e-mail compris.
• La loi sur les télécommunications (LTC, RS 784.10), article 45c : les données enregistrées sur l'appareil du visiteur (les cookies, notamment) ne peuvent être utilisées que si le visiteur a été informé du traitement et de son but, et averti qu'il peut le refuser.

02La page « Mentions légales » : qui vous êtes

C'est la page la plus simple. Elle contient :

• le nom de l'entreprise tel qu'il est inscrit, et sa forme (raison individuelle, Sàrl, SA, association) ;
• l'adresse postale ;
• une adresse e-mail et un numéro de téléphone ;
• le numéro d'identification des entreprises (IDE, CHE-…), s'il existe ;
• le nom de la personne responsable du site.

Pour une boutique en ligne, la LCD demande en plus d'indiquer les étapes de la commande, de permettre de corriger les erreurs de saisie avant l'envoi et de confirmer la commande par e-mail.

03La déclaration de protection des données : ce que vous collectez

L'article 19 de la LPD impose d'informer la personne au moment où vous collectez ses données. Au minimum : qui est responsable du traitement et comment le joindre, dans quel but les données sont traitées, et à qui elles sont transmises. Si elles partent à l'étranger, il faut aussi dire dans quel pays, et sur quelle base.

Une déclaration claire suit ces rubriques :

1. Le responsable : nom, adresse, e-mail.
2. Les données collectées, outil par outil : formulaire de contact, inscription à la newsletter, journaux du serveur, statistiques, cookies.
3. Les buts : répondre à une demande, envoyer la newsletter, mesurer la fréquentation.
4. Les destinataires : l'hébergeur, l'outil d'envoi de la newsletter, l'outil de statistiques, chacun nommé.
5. Les pays où les données vont, et la garantie qui le permet.
6. La durée de conservation.
7. Vos droits : accéder à ses données, les faire corriger ou effacer, et à qui écrire.

Elle se rédige outil par outil. Une déclaration copiée d'un autre site décrit des outils que vous n'avez pas et oublie ceux que vous avez.

04Les données qui partent à l'étranger

C'est le point le plus souvent oublié, parce qu'il ne se voit pas. Beaucoup d'éléments courants d'un site envoient au moins l'adresse IP du visiteur à un serveur étranger, dès l'ouverture de la page :

• les polices de caractères chargées depuis les serveurs de Google ;
• une carte Google intégrée dans la page ;
• une vidéo YouTube intégrée ;
• Google Analytics, le pixel Meta (Facebook), certains outils anti-robot.

L'ordonnance sur la protection des données (OPDo, annexe 1) liste les pays dont la protection est jugée adéquate : les pays de l'Union européenne en font partie. Les États-Unis n'y figurent que pour les entreprises certifiées selon le cadre de protection des données entre la Suisse et les États-Unis. Pour chaque outil, il faut donc savoir où vont les données, et le dire.

La solution la plus simple n'est pas juridique : c'est de ne pas charger ce dont le site n'a pas besoin. Une police hébergée sur votre propre serveur, une carte en image avec un lien vers l'itinéraire, une vidéo qui ne se charge qu'au clic, des statistiques sans cookie. Moins d'outils, moins de lignes dans la déclaration, et un site plus rapide.

05Les cookies et le bandeau

Pour un public suisse, la LTC demande d'informer et de permettre de refuser. Si vos clients sont aussi en France, en Allemagne ou ailleurs dans l'Union européenne, le règlement européen (RGPD) peut s'appliquer à vous : il demande en général un accord avant de poser les cookies qui ne sont pas nécessaires.

Un bandeau qui affiche un choix ne suffit pas, encore faut-il qu'il respecte ce choix. En octobre 2026, nous avons contrôlé un site d'événement de la région dans un navigateur vierge : son bandeau proposait « Tout rejeter », mais Google Analytics, Google Ads et le pixel Meta partaient avant tout choix comme après le refus. Le bandeau était installé, il n'était pas branché. Après correction, sans accord du visiteur, aucun cookie n'est déposé et rien ne part vers Meta.

Pour vérifier le vôtre : ouvrez votre site dans une fenêtre de navigation privée, refusez les cookies, puis regardez dans les outils du navigateur (onglet Application, puis Cookies) ce qui a été déposé.

06Ce que vous n'avez probablement pas à faire

• Tenir un registre des activités de traitement : l'OPDo (article 24) en dispense les entreprises de moins de 250 collaborateurs, sauf si elles traitent des données sensibles à grande échelle ou font du profilage à risque élevé.
• Nommer un conseiller à la protection des données : la LPD le permet aux entreprises privées, elle ne l'impose pas (article 10).

07Ce que vous risquez

La LPD prévoit, sur plainte, une amende jusqu'à 250'000 francs pour la personne qui omet intentionnellement d'informer comme le demande l'article 19 (article 60). L'amende vise d'abord la personne responsable, pas seulement l'entreprise. L'entreprise peut être condamnée à sa place jusqu'à 50'000 francs, quand rechercher la personne responsable demanderait des efforts disproportionnés (article 64). Le risque réel, pour une PME, est rarement l'amende : c'est la question d'un client qui demande ce que vous faites de ses données, sans que vous ayez la réponse.

08La liste en une page