Ce qu'il ne faut pas oublier légalement sur un site de thérapeute en Suisse

Un site sans mentions légales n'est pas juste incomplet — c'est un risque que la plupart des thérapeutes prennent sans le savoir.

Vous avez mis toute votre énergie dans le texte de votre page d'accueil, le choix de vos photos, la clarté de votre offre. Et puis, en bas de page, un petit lien "Mentions légales" que vous avez copié-collé d'un site que vous avez trouvé joli, ou que vous n'avez tout simplement jamais ajouté. Ce n'est pas un détail cosmétique : les obligations légales d'un site de thérapeute en Suisse ne dépendent pas de la taille de votre cabinet, et les ignorer expose à plus de risques qu'on ne le pense.

Cet article n'est pas un conseil juridique — je ne suis pas avocat, et votre situation a probablement des particularités que seul un professionnel du droit peut évaluer correctement. Mais après avoir construit des dizaines de sites pour des thérapeutes et des coachs en Suisse romande, voici les points qui reviennent systématiquement, ceux que je vois trop souvent oubliés, et les mots-clés exacts à connaître pour savoir de quoi vous parlez le jour où vous en discutez avec un professionnel : mentions légales, politique de confidentialité, LPD (loi sur la protection des données), cookies, et conditions générales de vente.

Pourquoi ce sujet mérite votre attention, même si le droit ne vous passionne pas

La tentation est grande de se dire "je suis un petit indépendant, personne ne va me chercher des problèmes pour ça". C'est en partie vrai — un cabinet individuel n'attire pas l'attention comme une multinationale. Mais trois choses changent la donne.

D'abord, une bonne partie de ces obligations ne dépend pas de la taille de votre activité. Que vous soyez seul dans votre cabinet ou une clinique de dix praticiens, un site internet de thérapeute indépendant en Suisse qui collecte des données (un formulaire de contact, une newsletter, un outil de prise de rendez-vous) est concerné par les mêmes règles de base. La loi ne fait pas de distinction entre "petit" et "grand" site — elle s'applique dès qu'il y a collecte de données personnelles, point final.

Ensuite, le risque réel n'est presque jamais "je vais recevoir une amende du jour au lendemain" — il est plus souvent réputationnel ou pratique : un client qui pose une question sur la confidentialité de ses données et à qui vous ne savez pas répondre, une plateforme publicitaire (Google, Meta) qui bloque votre compte parce que votre site ne respecte pas ses propres exigences en matière de mentions légales avant de diffuser une publicité, ou simplement le sentiment, pour un visiteur exigeant, qu'un site sans ces informations de base n'est pas tout à fait sérieux. Dans un métier où la confiance se construit avant même le premier rendez-vous, ce sentiment compte plus qu'on ne l'imagine.

Enfin, il y a une réalité propre à votre secteur : vous manipulez, même indirectement, des informations qui touchent à la santé de vos clients. Un message de prise de contact qui mentionne une douleur chronique, un trouble du sommeil ou une situation de stress post-traumatique contient déjà une donnée sensible au sens de la loi. Ce n'est pas une raison de paniquer — c'est une raison de plus d'avoir un site qui encadre correctement ce qu'il collecte.

Si vous êtes en train de faire construire votre site et que vous voulez vous assurer que ces points sont couverts dès le départ plutôt que rajoutés dans l'urgence, obtenez votre audit gratuit ici — on vérifie ensemble ce qui manque, avant que ce soit un client ou une régie publicitaire qui vous le signale.

1. Les mentions légales : l'identité de votre activité

En Suisse, un site professionnel doit permettre d'identifier clairement qui se cache derrière — c'est ce qu'on appelle parfois le "droit de savoir" du visiteur, et c'est aussi une exigence pratique pour toute plateforme de paiement ou de publicité sérieuse. Sans cette identification claire, Google Ads ou Meta peuvent tout simplement refuser de diffuser vos publicités, ou pire, suspendre un compte déjà actif.

Une page de mentions légales pour thérapeute complète mentionne généralement :

Votre nom et prénom (ou la raison sociale si vous avez une structure juridique constituée)
L'adresse de votre cabinet ou de votre activité
Un moyen de contact direct (email, téléphone)
Votre numéro IDE si vous en avez un
Le cas échéant, vos qualifications professionnelles et affiliations (association professionnelle, RME, ASCA, Fédération suisse des thérapeutes complémentaires, etc.)
La désignation de votre hébergeur web, une pratique courante même si elle n'est pas systématiquement exigée selon votre statut

Ce dernier point sur les qualifications compte particulièrement pour les thérapeutes : indiquer vos diplômes et vos affiliations reconnues n'est pas qu'une question légale, c'est aussi ce qui rassure un visiteur qui cherche à vérifier votre sérieux avant de prendre rendez-vous. Beaucoup de patients potentiels vérifient aujourd'hui si un praticien est reconnu par une caisse maladie complémentaire avant de choisir — l'absence de cette information sur votre page mentions légales est une occasion manquée autant qu'un oubli technique.

Un point souvent mal compris : la mention légale n'a pas besoin d'être visible sur chaque page, mais elle doit être facilement accessible depuis n'importe quelle page, en général via un lien dans le pied de page. Un lien caché dans un sous-menu à trois clics de profondeur ne remplit pas vraiment cette exigence d'accessibilité, même s'il existe techniquement.

2. La politique de confidentialité : ce que vous faites des données

Dès qu'un site collecte une information sur un visiteur — un formulaire de contact, une inscription à une newsletter, un simple outil de statistiques comme Google Analytics — il doit informer ce visiteur de ce qui est fait de ses données. C'est le principe de base de la loi sur la protection des données (LPD), révisée en Suisse et entrée en vigueur le 1er septembre 2023. Cette révision a rapproché la LPD suisse du RGPD européen sur plusieurs points, ce qui simplifie les choses si vous avez aussi des clients ou visiteurs à l'étranger — mais ne les rend pas identiques pour autant.

Une politique de confidentialité pour site de thérapeute claire répond en général à des questions simples : quelles données sont collectées, pourquoi, combien de temps elles sont conservées, si elles sont partagées avec un tiers (un outil d'emailing, une plateforme de prise de rendez-vous, un logiciel de facturation), et comment un visiteur peut demander à les faire supprimer ou rectifier. Cette dernière possibilité — le droit d'accès et de rectification — est un des piliers de la LPD révisée : un visiteur a le droit de vous demander ce que vous savez de lui, et vous devez pouvoir répondre dans un délai raisonnable.

Pour un thérapeute, ce point a une sensibilité particulière : les données de santé, même évoquées indirectement dans un message de contact ("je vous écris pour une douleur chronique au dos"), sont considérées comme des données dites sensibles au sens de la loi, avec un niveau de protection renforcé. Concrètement, cela signifie que vous devriez être encore plus prudent sur :

Le choix des outils tiers auxquels vous confiez ces informations (un formulaire qui transite par un serveur américain n'a pas les mêmes implications qu'un serveur hébergé en Suisse ou dans l'Union européenne)
La durée de conservation des messages de contact une fois la prise en charge terminée
L'accès à votre boîte mail professionnelle si elle est partagée avec d'autres personnes (assistante, associé de cabinet)

Ce n'est pas une raison de paniquer, mais une raison de plus d'avoir une politique de confidentialité claire, rédigée pour votre activité spécifique et non recopiée d'un site générique qui n'a rien à voir avec le vôtre.

Le cas particulier de la newsletter et des emails marketing

Si votre site propose une inscription à une newsletter, vous entrez dans un domaine encore plus encadré : l'envoi de communications commerciales par email nécessite en principe un consentement explicite (ce qu'on appelle l'opt-in), et non une case pré-cochée ou une inscription automatique glissée dans un autre formulaire. Chaque email envoyé devrait aussi contenir un moyen simple de se désinscrire — la plupart des outils d'emailing professionnels (Systeme.io, Mailchimp, Brevo) l'intègrent nativement, mais encore faut-il vérifier que cette option est bien activée et visible.

3. Les cookies et outils de suivi

Si votre site utilise Google Analytics, un pixel Facebook/Meta, ou tout autre outil qui dépose des cookies pour suivre la navigation, vous devez a minima en informer le visiteur — et dans certains cas, recueillir son consentement avant de les activer, en particulier pour les cookies qui ne sont pas strictement nécessaires au fonctionnement du site (les cookies purement techniques, comme ceux qui retiennent votre panier ou votre session, sont traités différemment de ceux utilisés à des fins publicitaires ou statistiques).

Beaucoup de sites de thérapeutes utilisent ces outils sans bandeau d'information, simplement parce que le prestataire qui a construit le site ne l'a pas mis en place, ou parce qu'un thème WordPress générique ne l'incluait pas par défaut. Ce n'est pas parce que c'est courant que c'est en ordre — et un visiteur suisse ou européen un peu averti peut très bien s'en apercevoir en inspectant votre site (les extensions de navigateur qui détectent les trackers sans consentement sont de plus en plus utilisées, y compris par des internautes non techniques).

Concrètement, un bandeau de cookies correctement configuré permet de :

Informer clairement de la présence de cookies non essentiels
Offrir un choix réel (accepter / refuser / personnaliser), pas seulement un bouton "OK" qui active tout par défaut
Ne pas activer les cookies de suivi tant que le consentement n'a pas été donné
Permettre de revenir sur son choix facilement, sans devoir vider le cache du navigateur

4. Les conditions générales, si vous vendez en ligne

Si votre site permet d'acheter un produit (un guide, un livre, une formation) ou de réserver une prestation avec paiement en ligne, des conditions générales de vente deviennent nécessaires : modalités de paiement, politique d'annulation ou de remboursement, délais de livraison pour un contenu numérique, et modalités de résolution en cas de litige.

C'est un point souvent négligé par les thérapeutes qui ajoutent, en plus de leurs séances, un guide ou un livre à vendre directement sur leur site — l'attention se porte sur le produit et sa mise en page, rarement sur le cadre juridique qui l'entoure. Pourtant, le jour où un client demande un remboursement et que rien n'a été précisé à l'avance, la discussion devient bien plus compliquée qu'elle n'aurait dû l'être — dans un sens comme dans l'autre.

Pour un contenu numérique (PDF, guide téléchargeable), la question du droit de rétractation mérite une attention particulière : contrairement à un bien physique, un contenu numérique déjà téléchargé ne peut généralement plus être "retourné" de la même façon. Vos conditions générales devraient préciser clairement ce qui se passe dans ce cas de figure, plutôt que de laisser le flou s'installer.

Ce que dit précisément la LPD révisée : les points clés à connaître

La loi sur la protection des données (LPD), entrée en vigueur dans sa version révisée le 1er septembre 2023, repose sur quelques principes qu'il est utile de connaître même sans devenir juriste vous-même :

La transparence : vous devez informer la personne de façon claire sur ce que vous collectez et pourquoi, au moment où vous le collectez — pas seulement dans une page confidentialité qu'elle ne lira peut-être jamais.
La minimisation : ne collecter que ce qui est nécessaire. Un formulaire de contact qui demande la date de naissance, l'adresse complète et la situation familiale pour simplement répondre à une question va au-delà de ce qui est justifié.
L'obligation d'annoncer une violation de données : depuis la révision de 2023, si une fuite de données sensibles se produit (par exemple un piratage de votre boîte mail contenant des échanges avec des clients), vous avez une obligation d'annonce au Préposé fédéral à la protection des données dans certains cas, et parfois d'informer les personnes concernées elles-mêmes.
Le registre des activités de traitement : les entreprises d'une certaine taille doivent tenir un registre décrivant leurs traitements de données. La plupart des indépendants en sont dispensés, mais tenir une liste simple de "quels outils j'utilise, quelles données ils traitent" reste une bonne pratique, ne serait-ce que pour répondre rapidement si un client pose la question.
Le "privacy by design" : penser la protection des données dès la conception du site, plutôt que de la rajouter après coup — précisément l'esprit de cet article.

Aucun de ces points n'exige un investissement démesuré pour un praticien indépendant. Mais les connaître, même dans les grandes lignes, change la façon dont vous choisissez vos outils (formulaire de contact, newsletter, prise de rendez-vous en ligne) et dont vous répondez le jour où un client vous pose une question précise.

Où sont hébergées vos données ? La question de la localisation

Un point technique, mais qui rejoint directement la question légale : où sont physiquement stockées les données que votre site collecte ? Un formulaire de contact qui envoie ses messages vers un service basé aux États-Unis, ou une plateforme de newsletter hébergée hors de Suisse et de l'Union européenne, n'a pas les mêmes implications qu'un outil hébergé en Suisse.

Ce n'est pas nécessairement interdit — mais c'est une information qui devrait apparaître dans votre politique de confidentialité, et un critère à prendre en compte au moment de choisir vos outils, en particulier pour tout ce qui touche à des données de santé. Choisir un hébergement suisse pour les données personnelles de votre site, quand c'est possible, simplifie généralement la conformité et rassure une clientèle sensible à cette question — de plus en plus de patients demandent spontanément où sont stockées leurs informations.

Comment mettre concrètement en place ces pages sur votre site

Une fois le contenu de vos pages mentions légales et confidentialité rédigé (idéalement avec l'aide d'un professionnel pour la première version), la mise en œuvre technique reste simple :

Les pages doivent être accessibles depuis le pied de page, sur toutes les pages du site, pas seulement la page d'accueil.
Pour les cookies, plusieurs solutions existent selon votre niveau technique : un bandeau simple et personnalisé si votre site est développé sur-mesure, ou un plugin dédié (Axeptio, Cookiebot, ou l'équivalent intégré à votre CMS) si votre site tourne sous WordPress.
Pensez à tester votre bandeau de cookies vous-même, en navigation privée, pour vérifier qu'aucun cookie de suivi ne se dépose avant que vous ayez cliqué sur "accepter".
Si vous changez d'outil (nouvelle plateforme de newsletter, nouveau système de prise de rendez-vous), mettez à jour votre politique de confidentialité en conséquence — c'est un document vivant, pas un texte figé une fois pour toutes.

5. Le cas du cabinet partagé ou de l'activité salariée

Une situation revient souvent chez les thérapeutes que j'accompagne : le cabinet partagé. Vous louez un espace avec d'autres praticiens, vous avez peut-être une secrétaire commune, un système de prise de rendez-vous mutualisé. Dans ce cas, la question "qui est responsable des données collectées via le site" mérite d'être clarifiée entre vous, et pas seulement pensée du point de vue technique.

Si chaque praticien a son propre site, la réponse est en général simple : chacun est responsable de son propre site et de ses propres mentions légales. Mais si un site commun présente plusieurs praticiens avec un formulaire de contact unique, la question de qui traite réellement la demande — et donc qui est responsable au sens de la loi — devient moins évidente, et gagne à être posée explicitement plutôt que supposée.

La même logique s'applique si vous êtes salarié dans une structure (clinique, centre de bien-être) qui gère elle-même le site vitrine de l'établissement. Dans ce cas, la responsabilité légale du site revient en général à l'employeur, pas à vous individuellement — mais si vous avez aussi votre propre activité en parallèle (beaucoup de thérapeutes cumulent un poste salarié et des consultations indépendantes), gardez bien à l'esprit que votre propre site personnel, lui, reste entièrement sous votre responsabilité. Ne pas confondre les deux casquettes évite bien des malentendus le jour où un client s'adresse à la mauvaise entité pour une question de données.

Exemple concret : le cas de Nathalie

Nathalie est praticienne en shiatsu à Lausanne. Son site, construit par un ami webdesigner, est beau, bien structuré, avec un formulaire de contact et une inscription newsletter. Un jour, une cliente lui demande par email si ses données de santé partagées lors de la prise de rendez-vous sont conservées, et où. Nathalie réalise qu'elle ne sait pas répondre précisément : le formulaire envoie les messages vers sa boîte mail personnelle, la newsletter passe par un outil tiers dont elle n'a jamais lu les conditions, et son site n'a pas de page confidentialité pour l'expliquer.

Rien de dramatique ne s'est produit — mais ce moment l'a mise mal à l'aise pendant plusieurs semaines, le temps de clarifier la situation avec l'aide d'un professionnel du droit, alors qu'une page de confidentialité claire, écrite dès la création du site, aurait réglé la question en une phrase et évité ce sentiment d'exposition face à sa propre cliente.

Deuxième exemple : quand la publicité en ligne bloque tout

Marc, coach en reconversion professionnelle à Fribourg, a voulu lancer sa première campagne Google Ads pour promouvoir son nouveau site. Sa campagne a été refusée automatiquement, sans explication détaillée au premier abord. Après vérification, la cause était simple : son site n'avait aucune page de confidentialité, une exigence que Google impose systématiquement avant d'autoriser la diffusion de publicités, en particulier pour tout site qui utilise un pixel de suivi ou collecte des emails.

Marc a dû mettre sa campagne en pause, créer dans l'urgence une page de confidentialité, puis attendre une nouvelle validation — plusieurs jours perdus, sur un lancement où chaque jour comptait. Ce genre de blocage est plus fréquent qu'on ne le pense, et illustre bien que ces obligations ne sont pas qu'une question de conformité abstraite : elles ont un impact direct et concret sur votre capacité à faire de la publicité.

Ce que vous pouvez vérifier dès aujourd'hui

Votre site a-t-il une page "Mentions légales" accessible depuis le pied de page ?
Cette page mentionne-t-elle votre identité complète et vos qualifications professionnelles ?
Avez-vous une page "Confidentialité" qui explique ce qui est fait des données collectées ?
Si vous utilisez des cookies de suivi (Analytics, pixel publicitaire), le visiteur en est-il informé, avec un vrai choix d'accepter ou refuser ?
Si vous vendez un produit ou une prestation en ligne, des conditions générales existent-elles, avec une clause claire sur le droit de rétractation pour le contenu numérique ?
Si vous avez une newsletter, l'inscription repose-t-elle sur un consentement explicite, avec une désinscription facile à chaque email ?
Si vous partagez un cabinet ou un site avec d'autres praticiens, la question de la responsabilité sur les données a-t-elle été clarifiée entre vous ?

Si l'une de ces réponses est non, ce n'est pas une catastrophe — c'est une liste de choses à corriger, dans l'ordre qui vous convient, sans urgence disproportionnée mais sans la remettre indéfiniment non plus.

Où trouver un vrai conseil

Cet article donne un point de départ, pas une validation juridique de votre situation. Chaque activité a ses particularités : un statut d'indépendant diffère d'une société, un cabinet partagé a des implications différentes d'un cabinet individuel, et certaines associations professionnelles (ASCA, RME) ont leurs propres exigences en plus de la loi elle-même. Pour une réponse fiable et adaptée à votre cas, plusieurs pistes existent :

Un avocat spécialisé en protection des données, en particulier si une partie de votre clientèle se trouve hors de Suisse
Votre association professionnelle, qui a souvent déjà des modèles ou des recommandations pour ses membres
Le Préposé fédéral à la protection des données et à la transparence (PFPDT), dont le site propose des ressources d'information générale accessibles à tous

Ce que je peux faire, en revanche, c'est m'assurer que votre site a la structure technique pour accueillir ces pages correctement — mentions légales, confidentialité, gestion des cookies — et vous signaler ce qui semble manquant quand je construis ou audite un site. Réservez votre audit gratuit ici si vous voulez qu'on fasse ce point ensemble.

À retenir

Les mentions légales, la confidentialité et les cookies ne sont pas des formalités décoratives : elles protègent à la fois vos visiteurs et votre propre sérénité, et elles conditionnent parfois directement votre capacité à faire de la publicité en ligne. La bonne nouvelle, c'est que la plupart de ces points se règlent une fois pour toutes, avec l'aide d'un professionnel si votre situation le demande, et n'ont ensuite plus besoin d'être reconsidérés qu'en cas de changement important dans votre activité — un déménagement, un nouvel outil tiers, l'ouverture d'un cabinet partagé, ou le lancement d'une nouvelle campagne publicitaire.

Pour aller plus loin sur la structure générale d'un bon site de thérapeute, cet article peut vous intéresser : Les pages indispensables à inclure sur un site de thérapeute. Et si vous voulez qu'on vérifie ensemble l'état de votre site actuel, la page contact est le point de départ le plus simple.

Questions fréquentes

Un indépendant sans société est-il concerné par ces obligations ?

Oui. Ces obligations dépendent de l'activité exercée sur le site (collecte de données, vente en ligne), pas du statut juridique de la personne qui l'exploite.

Dois-je avoir un bandeau de cookies même si je n'utilise que Google Analytics ?

Dans la plupart des cas, oui : Google Analytics dépose des cookies et collecte des données de navigation, ce qui déclenche une obligation d'information, voire de consentement selon la configuration utilisée.

La LPD suisse s'applique-t-elle si mes clients sont aussi en France ou en Belgique ?

Si vous avez des clients ou visiteurs dans l'Union européenne, le RGPD peut aussi s'appliquer en complément de la LPD suisse. C'est une situation à clarifier avec un professionnel si une partie significative de votre clientèle vient de l'étranger.

Que risque-t-on concrètement en cas d'oubli ?

Cela va d'une simple demande de mise en conformité à des sanctions plus sérieuses en cas de manquement grave et répété. Dans la pratique, le risque le plus fréquent pour un petit indépendant reste réputationnel ou publicitaire (blocage de compte Google Ads ou Meta) plutôt que judiciaire — mais ça ne dispense pas de la démarche.

Un modèle générique de mentions légales trouvé en ligne suffit-il ?

Ça vaut mieux que rien, mais un modèle générique ne reflète pas toujours votre situation exacte (statut, association professionnelle, pays des clients). Il est préférable de le faire relire ou adapter par un professionnel, au moins une fois.

Qui doit rédiger ces pages : moi, mon prestataire web, ou un avocat ?

Le prestataire web peut structurer les pages et les rendre accessibles correctement sur le site, mais le contenu juridique précis — surtout la politique de confidentialité — gagne à être relu par un professionnel du droit, au moins pour une première version.

Faut-il refaire ces pages à chaque changement mineur sur le site ?

Non, seulement en cas de changement significatif : un nouvel outil qui collecte des données, une nouvelle activité de vente en ligne, un déménagement, ou l'ouverture d'un cabinet partagé. Un simple changement de couleur ou de texte marketing ne les concerne pas.