Créer un site internet en Suisse : ce que la loi demande

Sept étapes, dans l’ordre

Les obligations d’un site suisse viennent surtout de ce qu’il fait : vendre, recueillir des coordonnées, déposer des cookies. Voici l’ordre dans lequel les traiter.

1. Le nom de domaine : faites-le enregistrer à votre nom, jamais à celui du prestataire.
2. L’hébergement : sachez où vos données sont stockées, et par qui.
3. L’impressum : l’identité de l’exploitant, quand le site vend en ligne.
4. La déclaration de protection des données : ce que vous collectez, pourquoi, et qui le reçoit.
5. Les cookies et les outils tiers : information, et possibilité de refuser.
6. Les langues : une décision de plan de site, pas de dernière minute.
7. Le contrôle final : une liste de vérification avant la mise en ligne, en bas de ce guide.

L’impressum : qui exploite le site ?

La loi fédérale contre la concurrence déloyale (LCD) vise le commerce électronique. Selon son art. 3, al. 1, let. s, agit de façon déloyale celui qui propose des marchandises, des œuvres ou des prestations par ce moyen sans remplir quatre conditions :

• indiquer de manière claire et complète son identité et son adresse de contact, y compris pour le courrier électronique ;
• indiquer les différentes étapes techniques conduisant à la conclusion d’un contrat ;
• fournir les outils techniques appropriés permettant de détecter et de corriger les erreurs de saisie avant l’envoi d’une commande ;
• confirmer sans délai la commande du client par courrier électronique.

Le portail PME de la Confédération précise, pour une boutique en ligne, ce que l’impressum contient : le nom de l’entreprise inscrit au registre du commerce, son adresse postale et son adresse de courriel. Il ajoute qu’un simple formulaire de contact ne suffit pas.

Pour un site vitrine qui ne vend rien en ligne, ces textes ne tranchent pas expressément. Publier l’identité de l’exploitant reste l’usage, et le plus sûr : le visiteur sait ainsi qui se trouve derrière le site.

La protection des données : la nLPD

La loi fédérale sur la protection des données (LPD), dans sa version révisée, est entrée en vigueur le 1er septembre 2023, comme l’a annoncé le Conseil fédéral. Elle régit le traitement de données personnelles de personnes physiques par des personnes privées (art. 2). Elle s’applique aux faits qui déploient des effets en Suisse, même s’ils se sont produits à l’étranger (art. 3).

Ce qui déclenche l’obligation

Une donnée personnelle est toute information concernant une personne physique identifiée ou identifiable (art. 5, let. a). Dès que votre site recueille un nom ou une adresse e-mail, par un formulaire de contact, une inscription ou un paiement, il traite des données personnelles. Le devoir d’informer de l’art. 19 ne prévoit aucune exception liée à la taille de l’entreprise.

Ce que la déclaration doit dire

L’art. 19, al. 2 impose d’informer la personne concernée, au moment de la collecte, d’au moins trois choses :

• l’identité et les coordonnées du responsable du traitement ;
• la finalité du traitement ;
• le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont transmises.

Si des données partent à l’étranger, l’art. 19, al. 4 ajoute le nom de l’État ou de l’organisme international concerné et, le cas échéant, les garanties prévues à l’art. 16, al. 2, ou l’exception de l’art. 17 qui s’applique.

Les principes qui encadrent le site lui-même

• Finalités déterminées : les données ne sont collectées que pour des buts reconnaissables par le visiteur (art. 6, al. 3).
• Durée limitée : elles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires (art. 6, al. 4).
• Protection par défaut : des préréglages limitent le traitement au minimum requis par sa finalité (art. 7, al. 3).
• Sécurité adéquate : des mesures techniques et organisationnelles proportionnées au risque (art. 8).
• Prestataires : l’exploitant s’assure que son sous-traitant, hébergeur ou outil d’envoi d’e-mails, garantit la sécurité des données (art. 9, al. 2).

Cookies et mesure d’audience

Deux textes se cumulent. L’art. 45c de la loi sur les télécommunications, en vigueur depuis le 1er avril 2007, oblige l’exploitant d’un site à informer les visiteurs des technologies employées et de leur but, et à indiquer qu’ils peuvent les refuser, et comment. La LPD s’applique en plus. Le guide du PFPDT, adapté le 6 octobre 2025, en tire les conséquences pratiques.

• Cookies non essentiels : l’information et un droit d’opposition suffisent en principe. Le refus doit être bien visible, à la première visite comme aux suivantes, et exercé en quelques clics.
• Réglages par défaut : l’usage des cookies reste limité au minimum nécessaire tant que le visiteur n’a pas pu exercer son choix.
• Usages intrusifs : lorsque l’atteinte à la personnalité est élevée, par exemple avec un profilage à risque élevé, le guide du PFPDT rend le consentement exprès obligatoire.
• Mesure d’audience : elle se justifie par un intérêt privé prépondérant lorsque trois conditions sont toutes réunies. Les données sont anonymisées dès que le but le permet. S’il s’agit de données sensibles, elles ne sont transmises à des tiers que sous une forme qui n’identifie personne. Les résultats sont publiés sans identifier personne.

Le règlement européen peut s’y ajouter : il se vérifie séparément, dans la section suivante.

Visiteurs de l’Union européenne : le RGPD

Le règlement européen s’applique aussi à un responsable de traitement établi hors de l’Union lorsque ses traitements sont liés à l’offre de biens ou de services à des personnes qui se trouvent dans l’Union, qu’un paiement soit exigé ou non, ou au suivi de leur comportement dans l’Union (art. 3, par. 2, texte reproduit par la CNIL).

Un site romand qui vend en France ou en Allemagne est donc concerné, en plus de la LPD. Un site qui ne s’adresse qu’à une clientèle suisse, sans offrir de biens ou de services à des personnes dans l’Union ni suivre leur comportement, n’entre pas dans cette définition. Votre situation dépend de la façon dont le site s’adresse à ces visiteurs : en cas de doute, demandez conseil.

L’hébergement : la Suisse n’est pas obligatoire

Rien dans la LPD n’impose d’héberger un site en Suisse. La loi permet de communiquer des données à l’étranger si le Conseil fédéral a constaté un niveau de protection adéquat, ou si des garanties appropriées existent (art. 16). Le visiteur doit alors en être informé (art. 19, al. 4).

Héberger en Suisse retire une ligne de la déclaration. Infomaniak, l’hébergeur de loovia.com, indique que les données qui lui sont confiées sont hébergées et traitées exclusivement en Suisse.

L’hébergeur n’est pas le seul concerné. Une police de caractères, une carte, une statistique ou une lettre d’information chargées depuis un service tiers peuvent transmettre des données hors de Suisse. Listez chacun de ces outils avant de rédiger la déclaration.

Les langues du site

La Constitution fédérale désigne quatre langues nationales : l’allemand, le français, l’italien et le romanche (art. 4, texte sur Fedlex). Elles décrivent le pays ; le choix des langues de votre site dépend, lui, de vos clients.

Chaque langue ajoutée double les textes à écrire, à relire et à tenir à jour, y compris les textes légaux. Décidez-en dès le plan du site. La page création de site internet à Fribourg traite le cas d’un canton où deux langues coexistent.

La liste de contrôle avant la mise en ligne

• Le nom de domaine est enregistré au nom de l’exploitant.
• L’impressum est accessible depuis chaque page.
• Chaque formulaire renvoie à la déclaration de protection des données.
• La déclaration nomme le responsable, les finalités, les destinataires et, si besoin, les pays de destination.
• Les outils tiers sont recensés, avec leur lieu de traitement.
• Le refus des cookies non essentiels est visible et fonctionne.
• Les prestataires qui touchent aux données sont liés par un contrat.
• Les textes légaux existent dans chaque langue du site.

Sources

Chaque référence ci-dessous a été ouverte le 12 octobre 2026. Les textes de loi sont cités dans la version en vigueur à cette date.

1. Loi fédérale sur la protection des données (LPD, RS 235.1)État au 7 juillet 2025 ; art. 2, 3, 5, 6, 7, 8, 9, 16, 17, 19 et 60.
2. Loi fédérale contre la concurrence déloyale (LCD, RS 241)État au 1er janvier 2025 ; art. 3, al. 1, let. s.
3. Conseil fédéral, communiqué du 10 mai 2023Entrée en vigueur de la nLPD le 1er septembre 2023.
4. PFPDT, dispositions pénalesAmende de 250 000 francs au plus, personnes visées.
5. PFPDT, guide relatif aux traitements de données au moyen de cookies et de technologies similairesVersion adaptée le 6 octobre 2025 ; ch. 2.1, 3.8.2, 3.9 et 3.10.
6. Portail PME de la Confédération, obligations légales du commerce électronique
7. RGPD, règlement (UE) 2016/679, art. 3, texte reproduit par la CNIL
8. Constitution fédérale (RS 101)État au 3 mars 2024 ; art. 4.
9. Infomaniak, situation géographique des serveurs et datacenters