Obligations dans la boutique en ligne suisse : mentions légales, protection des données et processus de commande

Quand l'obligation de mentions légales s'applique – et quand non

La Suisse ne connaît pas d'obligation générale de mentions légales (impressum) pour tous les sites web. Il n'existe ni loi sur les services de la société de l'information ni disposition contraignant chaque site à afficher une identification du prestataire. Les pages purement informatives, les portfolios ou les blogs sans offre commerciale ne nécessitent pas de mentions légales.

Dès que des marchandises, des œuvres ou des prestations sont proposées dans le commerce électronique, l'art. 3 al. 1 let. s ch. 1 de la Loi fédérale contre la concurrence déloyale (LCD) entre en vigueur. Agit de manière déloyale quiconque fait de telles offres sans fournir d'indications claires et complètes sur son identité et son adresse de contact, y compris l'adresse e-mail.

La notion de commerce électronique est large. Elle englobe non seulement les boutiques en ligne classiques, mais aussi la plupart des applications, les systèmes de réservation, les fournisseurs de services cloud, les hébergeurs, les médias en ligne et les plateformes de réseaux sociaux. La présence sur les réseaux sociaux des influenceuses et influenceurs qui se financent via le marketing de contenu et la publicité peut également tomber sous cette définition.

Le fait qu'une offre soit gratuite ou non ne joue aucun rôle. Ce qui est déterminant, c'est l'exercice d'une activité lucrative ou professionnelle. Les offres purement idéelles, privées ou scientifiques sont exclues, tout comme les blogs, les réseaux sociaux et les plateformes d'information sans offres commerciales.

La simple présence d'une bannière publicitaire sur un site suffit pour qu'il ne soit plus considéré comme purement privé. Les associations ne sont pas exemptées du seul fait qu'elles ne doivent pas poursuivre de but lucratif. Dès qu'elles proposent des produits ou des services via un site web, elles exercent une activité dans le commerce électronique.

Pour les entreprises de médias, une obligation spécifique de mentions légales s'applique : selon l'art. 322 al. 2 du Code pénal suisse (CP), les journaux et les revues doivent indiquer dans leurs mentions légales le siège de l'entreprise de médias, les participations importantes dans d'autres entreprises ainsi que le rédacteur responsable.

Ces mentions sont exigées par la loi – et celles-ci non

La loi exige impérativement des indications claires et complètes sur l'identité et l'adresse de contact, y compris l'adresse e-mail : nom ou raison sociale, adresse postale et adresse e-mail. Le texte de loi n'en demande pas davantage. Le numéro de téléphone n'est pas obligatoire – seule l'adresse de courrier électronique est mentionnée –, bien que le portail PME du SECO le recommande néanmoins.

Pour une entreprise individuelle, la raison sociale doit contenir le nom de famille. Celui qui ne dispose pas d'un domicile commercial séparé utilise son adresse privée comme adresse de contact.

Les mentions légales et la déclaration de protection des données sont deux documents distincts ayant des objectifs différents et doivent être publiés séparément. Les mentions légales, aussi appelées identification du prestataire, informent la visiteuse ou le visiteur sur la personne responsable du contenu du site et sur la manière de la contacter.

La déclaration de protection des données explique comment la personne responsable traite les données personnelles. Publier l'un sans l'autre ne permet pas de respecter l'obligation correspondante.

Quatre obligations dans le processus de commande, pas seulement une

La même disposition de la LCD exige au total quatre éléments : outre l'identité et l'adresse de contact, des indications sur le déroulement de la commande, une possibilité de corriger les erreurs de saisie et une confirmation de commande immédiate. Les informations sur le prestataire ne constituent donc qu'une des quatre obligations.

Pour la conception du checkout, cela signifie : la boutique doit rendre le déroulement de la commande reconnaissable. La clientèle doit savoir quelles étapes elle franchit et à quel moment elle envoie la commande de manière engageante.

Avant l'envoi, elle doit pouvoir vérifier et corriger ses saisies. Un checkout qui, après un clic sur « Commander », ne permet pas de revenir aux données d'adresse ou aux données de paiement ne satisfait pas à cette exigence.

Après la finalisation, la commande doit être confirmée immédiatement, généralement par e-mail à l'adresse indiquée.

Le processus de commande correct dans la boutique en ligne suisse

La déclaration de protection des données selon la LPD révisée

Depuis le 1er septembre 2023, la Loi fédérale sur la protection des données (LPD) révisée est en vigueur. L'art. 19 al. 2 let. a LPD a instauré une obligation générale d'informer : la déclaration de protection des données doit contenir des indications similaires à celles figurant dans les mentions légales. L'obligation de mentions légales au sens large qui en découle s'applique aux sites web, aux applications et aux profils ou pages sur les plateformes de réseaux sociaux comme Instagram, LinkedIn ou TikTok.

Selon l'art. 5 let. a LPD, les données personnelles sont toutes les indications qui se rapportent à une personne physique déterminée ou déterminable. Cela inclut non seulement les données nominatives telles que les noms, les adresses e-mail et les données bancaires ou de cartes de crédit, mais aussi les adresses IP et les identifiants en ligne comme les numéros ID dans un cookie, qui permettent d'attribuer un profil comportemental à une utilisatrice ou un utilisateur spécifique. Les données des personnes morales ne relèvent pas de la LPD.

Le traitement, selon l'art. 5 let. b LPD, désigne toute opération effectuée avec des données personnelles, indépendamment des moyens et des procédés utilisés. Cela comprend notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction.

La LPD couvre les traitements automatisés de données ainsi que les traitements manuels de fichiers, c'est-à-dire des données organisées systématiquement comme les dossiers du personnel.

Il convient d'informer sur l'étendue et le but du traitement des données, sur leur communication à des tiers – par exemple à un prestataire de services externe – et sur la durée de conservation. La déclaration devrait couvrir les activités de traitement hors ligne, comme la gestion des contrats clients, et en ligne, en particulier l'exploitation du site web.

Des déclarations de protection des données complémentaires peuvent être nécessaires pour certaines activités spécifiques, par exemple pour une plateforme de candidature en ligne. Il faut y expliquer дополнительно quelles données sont collectées, si elles sont transmises à des tiers et combien de temps elles sont conservées après la fin de la procédure.

Les obligations ne s'arrêtent pas à l'information. Les exigences organisationnelles comprennent notamment le conseiller ou le délégué à la protection des données, le registre des activités de traitement, l'analyse d'impact relative à la protection des données (AIPD), un accord de protection des données avec les prestataires ainsi que la désignation d'un représentant dans l'UE.

Des exigences techniques s'ajoutent à cela : des mesures techniques et organisationnelles (MTO) ainsi que la protection des données dès la conception et par défaut. De telles prescriptions concernent la configuration de la boutique, et pas seulement le texte de la déclaration de protection des données.

Lorsque le RGPD, les cookies et les newsletters s'ajoutent au tableau

Pour les boutiques suisses qui livrent dans l'UE, le Règlement général sur la protection des données (RGPD) s'applique. Le principe du lieu de marché s'applique : indépendamment du siège de l'entreprise, les exigences du RGPD doivent être respectées si des marchandises ou des services sont proposés ou vendus dans l'UE. Si une entreprise suisse conclut une transaction juridique via sa boutique avec une personne résidant dans l'UE, le RGPD s'applique.

La LPD, quant à elle, s'applique aux situations produisant leurs effets en Suisse, même si elles sont initiées à l'étranger. En pratique, il convient donc d'examiner les deux cadres réglementaires côte à côte ; le RGPD contient globalement des prescriptions plus strictes.

Outre la LPD et le RGPD, d'autres lois spécifiques à certains pays peuvent entrer en vigueur. On peut citer par exemple la Loi fédérale allemande sur la protection des données (BDSG).

Deux domaines thématiques ne proviennent pas de la LPD elle-même, mais du contexte de la communication électronique. Il s'agit des règles relatives à l'utilisation de cookies et à la protection des équipements terminaux. Elles découlent par exemple de la directive ePrivacy et de lois nationales comme la TTDSG allemande.

En pratique, cela implique une gestion du consentement, souvent mise en œuvre via une bannière de cookies. Pour la newsletter par e-mail, le consentement des destinataires est nécessaire, obtenu via la procédure de double opt-in.

Pour la publicité de masse électronique, il existe en outre une obligation spécifique en matière de droit de la concurrence : selon l'art. 3 al. 1 let. o LCD, agit de manière déloyale quiconque n'indique pas l'expéditeur correct. Les newsletters et autres publicités de masse par e-mail nécessitent donc une indication correcte de l'expéditeur – indépendamment de la présence de mentions légales sur le site web.

Ce qui menace réellement en cas de violation

Une violation intentionnelle de l'obligation d'identification du prestataire selon la LCD constitue une infraction poursuivie sur plainte. Elle peut être punie d'une peine privative de liberté allant jusqu'à trois ans ou d'une peine pécuniaire. La Suisse ne connaît pas de système d'avertissement formel (Abmahnwesen) comme en Allemagne, où les concurrents ou les avocats envoient des avertissements payants. La mise en œuvre nécessite plutôt une plainte pénale.

Indépendamment de cela, ces indications influencent la crédibilité de la boutique. Les mentions légales créent de la transparence sur l'identité de la personne derrière un site web et servent aux utilisateurs d'indice de leur fiabilité.

Si elles font totalement défaut ou mentionnent des adresses ou coordonnées suspectes – par exemple de simples coordonnées géographiques ou une forme juridique qui n'existe pas en Suisse –, la probabilité augmente qu'il s'agisse d'une offre peu sérieuse, voire frauduleuse.