Mentions légales et données personnelles : que doit dire votre site ?

Le site d’un restaurant doit-il afficher des mentions légales ?

Oui, dès que le site propose des marchandises ou des prestations au moyen du commerce électronique. L’exploitant indique alors de manière claire et complète son identité et son adresse de contact, y compris pour le courrier électronique (LCD art. 3 al. 1 let. s ch. 1). Cette règle s’applique depuis le 1er avril 2012.

La loi ne définit pas le commerce électronique. Le SECO le décrit comme l’« offre en ligne de produits ou services ». Les textes consultés ne citent ni la commande à l’emporter ni le bon cadeau. La loi n’écarte que la téléphonie vocale et les contrats conclus uniquement par l’échange de courriers électroniques ou de moyens analogues (art. 3 al. 2). Pour un site qui présente l’établissement sans rien proposer à l’achat, ni la loi ni la page du SECO ne tranchent. Le SECO, secteur Droit Concurrence déloyale, renseigne.

Selon le portail PME de la Confédération, l’exploitant d’une boutique en ligne indique dans l’ours, ou impressum, le nom de son entreprise inscrit au registre du commerce, son adresse postale et son adresse de courriel. Le portail recommande un numéro de téléphone et estime qu’un simple formulaire de contact ne suffit pas. C’est sa lecture : la loi parle seulement d’identité et d’adresse de contact.

Que faut-il faire quand un formulaire collecte des données ?

Informer la personne au moment de la collecte. La loi sur la protection des données (LPD), en vigueur depuis le 1er septembre 2023, oblige le responsable du traitement à informer la personne concernée de manière adéquate de la collecte de données personnelles (LPD art. 19 al. 1). L’information est donnée de manière concise, transparente, compréhensible et facilement accessible (OPDo art. 13).

Une donnée personnelle est toute information concernant une personne physique identifiée ou identifiable (art. 5 let. a), par exemple le nom ou l’adresse électronique demandés par un formulaire de réservation ou de contact. Le devoir d’informer tombe notamment si la personne dispose déjà des informations correspondantes, ou si le traitement est prévu par la loi (art. 20 al. 1 let. a et b).

La loi ne chiffre aucune durée de conservation. Les données sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement (art. 6 al. 4).

La LPD range les données sur la santé parmi les données sensibles (art. 5 let. c ch. 2). Les textes consultés ne disent pas si une allergie signalée lors d’une réservation en fait partie. Le PFPDT renseigne.

Un prestataire qui traite les données pour votre compte est un sous-traitant (art. 5 let. k). Un contrat ou la loi doit le prévoir, il n’effectue que les traitements que vous seriez en droit d’effectuer vous-même, et vous vous assurez qu’il est en mesure de garantir la sécurité des données (art. 9 al. 1 et 2). Le cas échéant, les destinataires font partie de l’information due au client, et le nom de l’État si les données partent à l’étranger (art. 19 al. 2 let. c et al. 4). Les textes consultés ne disent pas si une plateforme de réservation donnée agit pour votre compte ou pour le sien. Le PFPDT renseigne.

Que doit dire la déclaration de protection des données ?

Ce que le site fait réellement des données. Selon le Préposé fédéral à la protection des données et à la transparence (PFPDT), la déclaration concrétise le devoir d’informer de l’art. 19 LPD. Elle doit être en adéquation avec la LPD et correspondre aux traitements réellement effectués. Le PFPDT liste ce qu’elle indique.

• Qui est responsable du traitement des données ?
• Quelles données personnelles sont collectées ?
• À quelles fins sont-elles traitées ?
• Pendant combien de temps sont-elles conservées ?
• De quelles options l’utilisateur dispose-t-il quant au traitement de ses données ?
• Quelles données sont transmises à des tiers, et à quelles fins ?
• Quels services, notamment de tiers, sont intégrés au site, et comment s’opposer à la communication des données à ces tiers ?
• À qui s’adresser pour un renseignement, et où faire valoir ses droits : accès, rectification, suppression, opposition, portabilité ?
• À quelles lois le traitement est-il soumis ?

Le PFPDT recommande une approche par paliers : un aperçu concis, puis un lien vers la déclaration complète, et au besoin des informations pour les experts. La déclaration est placée de sorte que l’utilisateur y ait toujours facilement accès. Un site en plusieurs langues la propose dans chacune d’elles.

Un client peut vous demander si des données le concernant sont traitées. Les renseignements sont en principe gratuits, et fournis en règle générale dans un délai de 30 jours (LPD art. 25 al. 1, 6 et 7).

Cookies et outils d’analyse : que demande le Préposé ?

Une information, un droit de refus bien visible et, pour certains usages, un consentement exprès. Selon le guide du PFPDT sur les cookies, version 1.1 du 6 octobre 2025, la LPD régit tous les aspects des traitements de données personnelles faits au moyen de cookies (ch. 2.2). L’art. 45c de la loi sur les télécommunications, en vigueur depuis le 1er avril 2007, s’y ajoute (ch. 2.1). Cet article est résumé sur la page Que doit contenir le site d’un restaurant ?.

Pour les cookies utilisés à des fins de statistique, le guide admet un intérêt privé prépondérant de l’exploitant, au sens de l’art. 31 al. 2 let. e LPD, à trois conditions (ch. 3.8.2).

• Les données personnelles sont rendues anonymes dès que le but du traitement le permet.
• Des données sensibles ne sont communiquées à des tiers que sous une forme qui ne permet pas d’identifier la personne. À défaut, les tiers ne les traitent qu’à des fins qui ne se rapportent pas à des personnes.
• Les résultats sont publiés de manière à ce que les personnes ne soient pas identifiables.

Un outil d’analyse externe peut répondre à ces exigences, à condition que son fournisseur ne traite les données que pour le compte de l’exploitant du site, et non à ses propres fins.

Pour les plug-ins sociaux comme ceux de Facebook, X ou Instagram, ou les vidéos de YouTube, le guide part d’une responsabilité commune ou partagée entre l’exploitant et le tiers (ch. 3.2.2). Quand la collecte par ces services ou par des pixels de suivi repose sur un consentement, elle n’est pas activée par défaut. Le guide indique alors une solution en deux clics, qui n’active le JavaScript qu’après que le visiteur a été informé et a donné son accord (ch. 3.13.1).

Le guide traite à part les cookies tiers qui donnent à des tiers, contre rémunération, un accès à des informations personnelles et leur permettent, depuis plusieurs sites, un profilage à risque élevé (ch. 3.11.1). Quand ce seuil est franchi, le guide demande le consentement exprès des personnes avant le traitement (ch. 3.10.1 et 3.11.3). La LPD veut qu’un consentement requis pour un profilage à risque élevé par une personne privée soit exprès (art. 6 al. 7 let. b). Pour les cookies non essentiels, le droit d’opposition est affiché de manière bien visible, à la première visite comme aux suivantes, et s’exerce en quelques clics (ch. 3.9).

Faut-il tenir un registre des activités de traitement ?

Non, si l’entreprise emploie moins de 250 collaborateurs au 1er janvier, sauf deux cas. La LPD impose ce registre (art. 12 al. 1) et charge le Conseil fédéral de prévoir des exceptions pour les entreprises de moins de 250 collaborateurs dont le traitement présente un risque limité (art. 12 al. 5). L’ordonnance délie de cette obligation les entreprises et autres organismes de droit privé qui emploient moins de 250 collaborateurs au 1er janvier d’une année, ainsi que les personnes physiques (OPDo art. 24).

L’exception tombe si le traitement porte sur des données sensibles à grande échelle, ou s’il constitue un profilage à risque élevé (OPDo art. 24 let. a et b). Ni la LPD ni l’ordonnance ne chiffrent ce qu’est une grande échelle. Le PFPDT rappelle qu’une entreprise exemptée reste soumise aux autres règles de la loi, notamment aux obligations de renseignement et d’information.

Quand il est dû, le registre indique au moins l’identité du responsable, la finalité du traitement, les catégories de personnes, de données et de destinataires, et si possible le délai de conservation (LPD art. 12 al. 2).

Que risque l’exploitant qui ne respecte pas ces règles ?

Selon la LPD, une amende de 250’000 CHF au plus, pour une violation intentionnelle seulement. Les cantons poursuivent et jugent (LPD art. 65 al. 1). L’action pénale se prescrit par cinq ans (art. 66). Le PFPDT précise que la violation par négligence n’est pas sanctionnée pénalement, et que ces dispositions punissent en premier lieu des personnes physiques.

Si l’amende en jeu ne dépasse pas 50’000 CHF et que l’enquête contre les personnes punissables demanderait des mesures hors de proportion avec la peine, l’autorité peut condamner l’entreprise à payer l’amende à leur place (LPD art. 64 al. 2).

Hors du pénal, le PFPDT ouvre une enquête d’office ou sur dénonciation quand des indices suffisants le justifient (art. 49 al. 1). En cas de violation, il peut ordonner la modification, la suspension ou la cessation du traitement, et l’effacement des données (art. 51 al. 1). Ne pas se conformer intentionnellement à une telle décision, signifiée sous la menace de la peine, est puni d’une amende de 250’000 CHF au plus (art. 63).

Pour la LCD, peut notamment porter plainte celui qui subit une atteinte dans sa clientèle ou ses affaires, le client dont les intérêts économiques sont menacés, et la Confédération si elle le juge nécessaire à la protection de l’intérêt public (LCD art. 9, 10 et 23).

À lire aussi

• Que doit contenir le site d’un restaurant ?
• Faut-il inscrire son restaurant au registre du commerce ?
• Comment créer et compléter la fiche Google d’un restaurant ?