Un fichier clients, une newsletter, un dossier de candidature, une annonce comparative : tout cela touche la loi sur la protection des données (LPD) ou la loi contre la concurrence déloyale (LCD). Les deux tombent aux examens de marketing, de vente, de RH et au CFC de commerce. Voici ce que dit le texte, article par article.
LPD : les définitions à connaître (art. 5)
La loi fédérale sur la protection des données (LPD, état au 1er septembre 2023) commence par des définitions. Les examens les posent presque mot pour mot.
- Données personnelles : toutes les informations concernant une personne physique identifiée ou identifiable. La personne concernée est cette personne physique.
- Données sensibles : opinions ou activités religieuses, philosophiques, politiques ou syndicales ; santé, sphère intime, origine raciale ou ethnique ; données génétiques ; données biométriques identifiant une personne de manière univoque ; poursuites ou sanctions pénales et administratives ; mesures d’aide sociale.
- Traitement : toute opération relative à des données personnelles, notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la communication, l’archivage, l’effacement ou la destruction.
- Profilage : tout traitement automatisé de données personnelles qui sert à évaluer certains aspects personnels d’une personne, par exemple le rendement au travail, la situation économique, la santé, les préférences, les intérêts, la fiabilité ou le comportement. Le profilage à risque élevé conduit à un appariement de données qui permet d’apprécier les caractéristiques essentielles de la personnalité.
- Responsable du traitement : la personne privée ou l’organe fédéral qui, seul ou avec d’autres, détermine les finalités et les moyens du traitement. Le sous-traitant traite les données pour son compte.
Les principes du traitement (art. 6) et le consentement
L’art. 6 LPD pose les règles de base. Tout traitement doit être licite et conforme aux principes de la bonne foi et de la proportionnalité. Les données ne sont collectées que pour des finalités déterminées et reconnaissables pour la personne concernée, puis traitées de manière compatible avec ces finalités.
Les données sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités. Celui qui les traite doit s’assurer qu’elles sont exactes et prendre les mesures appropriées pour rectifier, effacer ou détruire les données inexactes ou incomplètes.
Quand le consentement est requis, il n’est valable que si la personne exprime librement sa volonté concernant un ou plusieurs traitements déterminés, après avoir été dûment informée. Il doit être exprès pour le traitement de données sensibles, pour un profilage à risque élevé effectué par une personne privée et pour un profilage effectué par un organe fédéral (art. 6, al. 6 et 7).
Concevoir, sécuriser, sous-traiter (art. 7, 8 et 9)
Protection dès la conception et par défaut (art. 7) : le responsable met en place des mesures techniques et organisationnelles pour que le traitement respecte la loi, dès la conception du traitement. Par des préréglages appropriés, il limite le traitement au minimum requis par la finalité, sauf si la personne concernée en dispose autrement.
Sécurité des données (art. 8) : responsables et sous-traitants assurent, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate par rapport au risque encouru. Le Conseil fédéral édicte les exigences minimales.
Sous-traitance (art. 9) : le traitement peut être confié à un sous-traitant par contrat ou par la loi, si seuls sont effectués les traitements que le responsable pourrait faire lui-même et si aucune obligation de secret ne l’interdit. Le responsable s’assure que le sous-traitant peut garantir la sécurité des données. Celui-ci ne peut sous-traiter à son tour qu’avec l’autorisation préalable du responsable.
Registre, information, décision automatisée, violation (art. 12, 19, 21, 24)
Registre des activités de traitement (art. 12) : responsables et sous-traitants tiennent chacun un registre. Celui du responsable contient au moins son identité, la finalité du traitement, les catégories de personnes et de données, les catégories de destinataires et, en cas de communication à l’étranger, l’État concerné et les garanties. Le Conseil fédéral prévoit des exceptions pour les entreprises de moins de 250 collaborateurs dont le traitement présente un risque limité d’atteinte à la personnalité.
Devoir d’informer lors de la collecte (art. 19) : le responsable informe la personne de manière adéquate, que les données soient collectées auprès d’elle ou non. Il communique au moins son identité et ses coordonnées, la finalité du traitement et, le cas échéant, les destinataires. Si les données ne viennent pas de la personne, il indique aussi les catégories de données et l’informe au plus tard un mois après les avoir obtenues.
Décision individuelle automatisée (art. 21) : si une décision est prise exclusivement par un traitement automatisé et a des effets juridiques pour la personne ou l’affecte de manière significative, le responsable l’en informe. Sur demande, la personne peut faire valoir son point de vue et exiger que la décision soit revue par une personne physique.
Violation de la sécurité des données (art. 24) : le responsable annonce dans les meilleurs délais au PFPDT les violations entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux. L’annonce indique la nature de la violation, ses conséquences et les mesures prises ou envisagées. Le sous-traitant annonce toute violation au responsable. La personne concernée est informée lorsque c’est nécessaire à sa protection ou lorsque le PFPDT l’exige.
Droit d’accès, atteintes et sanctions (art. 25, 30, 31, 60 à 63)
Droit d’accès (art. 25) : toute personne peut demander au responsable si des données la concernant sont traitées. Elle reçoit au moins l’identité du responsable, les données traitées, la finalité, la durée de conservation, l’origine des données, l’existence d’une décision automatisée et les destinataires. Les renseignements sont fournis gratuitement et, en règle générale, dans un délai de 30 jours. Nul ne peut renoncer par avance à ce droit.
Atteintes à la personnalité (art. 30) : on ne doit pas porter une atteinte illicite à la personnalité. C’est notamment le cas de traiter des données en violation des art. 6 et 8, de les traiter contre la volonté expresse de la personne ou de communiquer des données sensibles à des tiers. Une atteinte est illicite à moins d’être justifiée par le consentement, un intérêt privé ou public prépondérant, ou la loi (art. 31). Un intérêt prépondérant du responsable existe par exemple lorsque le traitement est en relation directe avec la conclusion ou l’exécution d’un contrat et concerne le cocontractant.
Sanctions pénales (art. 60 à 63) : sont punies, sur plainte, d’une amende de 250 000 francs au plus les personnes privées qui omettent intentionnellement d’informer la personne concernée (art. 19 et 21) ou donnent intentionnellement des renseignements inexacts ou incomplets. Le même plafond vaut pour la sous-traitance hors des conditions de l’art. 9, le non-respect des exigences minimales de sécurité, la violation du devoir de discrétion et le fait de ne pas se conformer à une décision du PFPDT.
LCD : le but, la clause générale et l’art. 3
La loi fédérale contre la concurrence déloyale (LCD, état au 1er janvier 2025) vise à garantir, dans l’intérêt de toutes les parties concernées, une concurrence loyale et qui ne soit pas faussée (art. 1). La clause générale de l’art. 2 est large : est déloyal et illicite tout comportement ou pratique commerciale trompeur ou contraire aux règles de la bonne foi, qui influe sur les rapports entre concurrents ou entre fournisseurs et clients.
L’art. 3, al. 1 donne ensuite une liste d’exemples, introduite par « notamment ». Ceux qui comptent pour le marketing et la vente :
- Let. a : dénigrer autrui, ses marchandises, prestations ou prix par des allégations inexactes, fallacieuses ou inutilement blessantes.
- Let. b : donner des indications inexactes ou fallacieuses sur soi-même, son entreprise, ses prestations, ses prix, ses stocks ou ses méthodes de vente.
- Let. d : prendre des mesures qui font naître une confusion avec les marchandises ou les prestations d’autrui.
- Let. e : comparer de façon inexacte, fallacieuse, inutilement blessante ou parasitaire. La publicité comparative n’est donc pas interdite en soi, elle est encadrée.
- Let. f : offrir de façon réitérée au-dessous du prix coûtant un choix de marchandises ou de prestations et mettre cette offre particulièrement en valeur dans la publicité, trompant ainsi la clientèle sur ses propres capacités ou celles des concurrents.
- Let. h : entraver la liberté de décision de la clientèle par des méthodes de vente particulièrement agressives.
- Let. r : le système de la boule de neige, de l’avalanche ou de la pyramide, où l’avantage dépend principalement du recrutement d’autres personnes plutôt que de la vente de marchandises ou de prestations.
- Let. x : donner sur soi ou sur ses prestations des indications sur l’impact climatique qui ne peuvent pas être prouvées sur des bases objectives et vérifiables.
Spam, appels publicitaires et commerce électronique (art. 3, al. 1, let. o, s, u, v)
Publicité de masse (let. o) : agit de façon déloyale celui qui envoie ou fait envoyer, par voie de télécommunication, de la publicité de masse sans lien direct avec une information demandée et omet de requérir préalablement le consentement des clients, de mentionner correctement l’émetteur ou de les informer de leur droit de s’opposer gratuitement et facilement.
Il existe une exception, et une seule, pour la clientèle : celui qui a obtenu les coordonnées de ses clients lors de la vente de marchandises, d’œuvres ou de prestations et leur a indiqué qu’ils pouvaient s’opposer à l’envoi de publicité de masse peut leur adresser, sans consentement, de la publicité pour ses propres marchandises, œuvres et prestations analogues.
Appels publicitaires (let. u et v) : est déloyal le fait de ne pas respecter la mention de l’annuaire indiquant qu’un client ne souhaite pas recevoir de messages publicitaires de personnes avec lesquelles il n’a aucune relation commerciale. Les clients non inscrits à l’annuaire sont traités comme ceux qui y figurent avec la mention. Il est aussi déloyal de faire des appels publicitaires sans qu’un numéro inscrit à l’annuaire, que l’on a le droit d’utiliser, s’affiche.
Commerce électronique (let. s) : celui qui propose des marchandises ou des prestations en ligne doit indiquer clairement son identité et son adresse de contact (y compris e-mail), indiquer les étapes techniques menant au contrat, fournir des outils pour détecter et corriger les erreurs de saisie avant l’envoi de la commande, et confirmer sans délai la commande par e-mail. L’al. 2 exclut la téléphonie vocale et les contrats conclus uniquement par échange d’e-mails ou de moyens de communication analogues.
Qui peut agir, et quelles sanctions (art. 9, 10, 23)
Qualité pour agir (art. 9) : celui qui subit ou risque de subir, par un acte de concurrence déloyale, une atteinte dans sa clientèle, son crédit ou sa réputation professionnelle, ses affaires ou ses intérêts économiques peut demander au juge d’interdire l’acte s’il est imminent, de le faire cesser s’il dure, ou d’en constater le caractère illicite. Il peut aussi demander une rectification ou la publication du jugement, des dommages-intérêts, la réparation du tort moral et la remise du gain.
L’art. 10 étend ces actions aux clients dont les intérêts économiques sont menacés ou lésés, aux associations professionnelles et économiques autorisées par leurs statuts, aux organisations de protection des consommateurs d’importance nationale ou régionale, et à la Confédération dans certains cas. L’art. 11 permet d’agir aussi contre l’employeur lorsque l’acte a été commis par un travailleur dans l’accomplissement de son travail.
Sanctions pénales (art. 23) : celui qui commet intentionnellement un acte de concurrence déloyale au sens des art. 3, 4, 5 ou 6 est puni, sur plainte, d’une peine privative de liberté de trois ans au plus ou d’une peine pécuniaire. Peut porter plainte celui qui a qualité pour agir au civil selon les art. 9 et 10.
Ce que les examens demandent
Spécialiste en marketing et en vente : le consentement préalable à la publicité de masse, l’exception pour la clientèle, la publicité comparative, le dénigrement, les allégations climatiques, les offres sous le prix coûtant mises en avant.
Spécialiste RH : le traitement des données des candidat·es et du personnel, les données sensibles (santé, poursuites pénales, aide sociale), le devoir d’informer, le droit d’accès dans les 30 jours.
Technico-gestionnaire, gestion de PME, CFC de commerce : le registre des activités de traitement et l’exception sous 250 collaborateurs, la sécurité, la sous-traitance, l’annonce des violations, les sanctions.
Dans les QCM, l’erreur classique est de croire que l’opt-out suffit pour tout e-mail publicitaire. Pour un non-client, le consentement préalable est requis (art. 3, al. 1, let. o LCD) : un lien de désinscription ne remplace pas ce consentement. L’exception ne vise que les clients dont les coordonnées ont été obtenues lors de la vente, informés de leur droit de s’opposer, et seulement pour des prestations propres analogues.
Deuxième piège fréquent : confondre le délai d’un mois de l’art. 19 (information quand les données ne viennent pas de la personne) avec les 30 jours de l’art. 25 (réponse à une demande d’accès).