Pourquoi un communiqué de presse irréfléchi peut-il entraîner une responsabilité personnelle en cas de crise? Pourquoi les membres du conseil d'administration risquent-ils des amendes pouvant atteindre 250 000 CHF en cas de mauvaise communication de crise? Comment les entreprises suisses prospères naviguent-elles entre les exigences de la LPD, la publicité ad hoc et les exigences de conformité?

Dans le monde des affaires suisse, où la réputation et la confiance occupent traditionnellement une place importante, une crise peut détruire en quelques heures une crédibilité bâtie au fil de plusieurs décennies. Mais alors que les responsables de la communication sont soumis à une pression énorme en termes de temps, des pièges juridiques peuvent rapidement transformer une crise d'entreprise en une question de responsabilité personnelle pour les membres du conseil d'administration et la direction.

La loi révisée sur la protection des données (LPD), en vigueur depuis septembre 2023, a profondément modifié les règles du jeu. Selon le dernier rapport d'activité du Préposé fédéral à la protection des données et à la transparence (PFPDT), l'autorité a enregistré une augmentation de 53 % des demandes de médiation, ce qui témoigne clairement d'une sensibilité accrue aux questions de protection des données. Dans le même temps, les entreprises cotées en bourse doivent respecter les exigences strictes de la SIX Swiss Exchange en matière de publicité ad hoc, tandis que la responsabilité personnelle des organes dirigeants prévue à l'art. 754 CO pèse comme une épée de Damoclès sur chaque décision.

La nouvelle loi sur la protection des données comme facteur aggravant de crise

Une fuite de données ou une cyberattaque – et soudain, le temps presse. La LPD révisée exige des entreprises suisses qu'elles signalent «dès que possible» au PFPDT les violations de la sécurité des données lorsqu'il existe un risque élevé pour la personnalité des personnes concernées. Contrairement au RGPD européen avec son délai de 72 heures, le droit suisse laisse certes plus de marge d'interprétation, mais cet avantage apparent peut se transformer en piège.

Le problème réside dans les détails : alors que le RGPD prévoit une obligation de notification dès qu'il existe un risque potentiel, la LPD ne s'applique qu'en cas de «risque élevé». Ce seuil plus élevé ne signifie toutefois pas que les entreprises peuvent se reposer sur leurs lauriers. Au contraire, l'évaluation visant à déterminer s'il existe un risque élevé doit être documentée et justifiée en interne. Une erreur de jugement peut non seulement entraîner des amendes, mais aussi donner lieu à des actions en responsabilité civile.

En février 2025, le PFPDT a publié un guide détaillé sur la notification des violations de la sécurité des données, qui aide les entreprises à prendre cette décision cruciale. Point particulièrement sensible : l'information des personnes concernées doit également être mûrement réfléchie. Une communication précipitée peut semer la panique et aggraver l'atteinte à la réputation, tandis qu'une information tardive peut avoir des conséquences juridiques.

Pour les PME suisses, qui travaillent souvent sans service juridique spécialisé, cela représente un défi particulier. L'expérience tirée de notre pratique en matière de conseil montre que c'est précisément dans les premières heures suivant une violation de données que des erreurs décisives sont commises. Un plan de communication de crise structuré, qui tient compte des exigences de la DSG, n'est donc pas un luxe, mais une nécessité.

Publicité ad hoc: quand chaque minute compte

Des règles supplémentaires s'appliquent aux entreprises cotées à la SIX Swiss Exchange. L'obligation de publicité ad hoc exige la publication immédiate des faits susceptibles d'influencer le cours des actions – et une crise a presque toujours une incidence sur le cours.

La directive révisée de la SIX Exchange Regulation, en vigueur depuis juillet 2021, a encore renforcé les exigences. Les communications ad hoc doivent être explicitement identifiées comme telles («communication ad hoc conformément à l'art. 53 KR») et il n'existe plus de faits «en soi» susceptibles d'influencer le cours. Chaque cas doit être évalué individuellement.

Paradoxalement, cette flexibilité apparente augmente la pression sur les responsables. La décision quant à l'obligation de publier une information ad hoc doit être prise dans un délai très court, idéalement en dehors des heures de négociation, c'est-à-dire avant 7h30 ou après 17h40. Si une annonce tombe pendant une période critique pour les négociations, la SER doit en être informée au moins 90 minutes à l'avance.

Une violation de l'obligation de publicité ad hoc peut coûter cher. La commission des sanctions de la SIX inflige régulièrement des amendes à six chiffres en francs suisses. Mais ce n'est souvent que la partie émergée de l'iceberg: les actionnaires peuvent réclamer des dommages-intérêts en cas de pertes boursières dues à une information tardive.

Le piège de la responsabilité personnelle pour le conseil d'administration et la direction

Ce que beaucoup de membres de conseils d'administration et de directions d'entreprises sous-estiment: en cas de crise, ils sont personnellement et solidairement responsables des manquements à leurs obligations. L'art. 754 CO ne prévoit aucune exception pour les situations de stress.

Les conditions de responsabilité sont rapidement remplies: manquement à une obligation, préjudice, causalité et faute – une simple négligence suffit. Dans la communication de crise, les pièges sont nombreux: une déclaration précipitée qui s'avère fausse par la suite peut être considérée comme un manquement au devoir de diligence. Il en va de même pour la dissimulation d'informations essentielles.

La situation devient particulièrement délicate lorsqu'il s'agit de violations de la protection des données. Selon la jurisprudence actuelle , les amendes infligées à une entreprise suisse en vertu du RGPD peuvent donner lieu à des actions en responsabilité civile à l'encontre des membres du conseil d'administration si ceux-ci ont manqué à leurs obligations de surveillance. Avec des amendes pouvant atteindre 4 % du chiffre d'affaires annuel mondial, il ne s'agit pas d'un risque théorique.

La règle de l'appréciation commerciale offre certes une certaine protection, mais ses conditions sont strictes: la décision doit avoir été prise sur la base d'informations appropriées, être dans l'intérêt de l'entreprise et ne pas donner lieu à des conflits d'intérêts. Dans le tumulte d'une crise, ces exigences sont souvent difficiles à remplir.

La conformité, bouée de sauvetage en période de turbulences

Un système de conformité bien pensé peut faire toute la différence en cas de crise. Il ne s'agit pas seulement de respecter les exigences légales, mais aussi de mettre en place des processus structurés qui fonctionnent même sous pression.

Les éléments centraux d'un système de conformité résistant aux crises sont des responsabilités claires et des niveaux d'escalade. Qui décide de la publication d'un communiqué ad hoc? Qui communique avec le PFPDT? Ces questions doivent être clarifiées à l'avance, et non pas seulement lorsque la crise survient.

La documentation est essentielle. Chaque décision, chaque communication doit être consignée de manière compréhensible. Cela sert non seulement à justifier les mesures prises ultérieurement, mais aussi à clarifier la situation pendant la crise et à éviter les déclarations contradictoires.

L'intégration des principes «Privacy by Design» et «Privacy by Default», comme l'exige la LPD révisée, s'avère payante en période de crise. Les entreprises qui ont intégré la protection des données dès le départ dans leurs processus peuvent réagir plus rapidement et de manière plus sûre lorsque cela est nécessaire.

La voie suisse: quand précision rime avec pragmatisme

Le paysage juridique suisse, avec son mélange de particularités fédérales et d'obligations internationales, nécessite une approche sur mesure. Les PME de Zurich, Bâle ou Genève sont confrontées à des défis similaires, mais les spécificités locales et sectorielles doivent être prises en compte.

Un prestataire de services financiers à Zurich est soumis à des exigences réglementaires différentes de celles d'une start-up technologique à Lausanne. La FINMA a ses propres directives en matière de communication de crise pour les banques et les assurances, tandis que les entreprises pharmaceutiques à Bâle doivent également respecter des normes internationales.

L'expérience montre que les entreprises suisses qui investissent dans une communication de crise juridiquement sûre en période calme maîtrisent nettement mieux les phases turbulentes. Une cellule de crise qui connaît le cadre juridique et s'entraîne régulièrement peut faire la différence entre un incident surmonté et un scandale menaçant l'existence même de l'entreprise.

Recommandations pratiques pour une communication de crise conforme au droit

Une communication de crise efficace commence bien avant la crise elle-même. Un plan de crise juridiquement sûr doit contenir au moins les éléments suivants:

Un arbre décisionnel permettant d'évaluer les obligations de déclaration selon la LPD est indispensable. Définissez des critères clairs pour évaluer un «risque élevé» et documentez-les. Le contact avec le PFPDT doit être préparé, y compris les conditions techniques nécessaires à une transmission sécurisée des informations sensibles.

Pour les entreprises cotées en bourse, le processus de publicité ad hoc doit être infaillible. Désignez des suppléants pour tous les postes clés et assurez-vous que des mesures puissent être prises rapidement, même en dehors des heures de bureau. La plateforme de reporting Connexor de SIX doit être familière à toutes les parties prenantes.

L'interface entre la communication et le droit doit être clairement définie. Dans la pratique, un modèle de cellule de crise mixte composée de représentants des deux domaines a fait ses preuves. Des simulations régulières permettent d'identifier les points faibles et d'optimiser la collaboration.

Particulièrement important: créez des modèles de documents pour différents scénarios de crise. Une fuite de données nécessite des formulations différentes de celles utilisées pour un rappel de produit ou une violation de la conformité. Ces modèles doivent être régulièrement vérifiés afin de tenir compte des modifications juridiques en vigueur.

Le rôle des consultants externes dans la communication de crise

Pour les PME suisses en particulier, le recours à des conseillers spécialisés peut s'avérer décisif en période de crise. Les experts externes apportent non seulement leur savoir-faire, mais aussi la distance émotionnelle nécessaire pour prendre des décisions rationnelles.

Lors du choix des conseillers en gestion de crise, il convient de tenir compte des particularités suisses. La connaissance de la LPD et du paysage médiatique suisse est tout aussi importante que l'expérience des exigences de la SIX. Un conseiller qui ne dispose que d'une expertise en matière de RGPD peut rapidement se heurter à des limites dans la pratique suisse.

La collaboration avec des conseillers externes doit également être garantie juridiquement. Des accords de confidentialité et des mandats clairs sont essentiels. En particulier dans le cas de crises transfrontalières, les aspects liés à la protection des données doivent être pris en compte lors de la transmission d'informations.

Enseignements tirés de cas actuels

Le monde des entreprises suisses a connu plusieurs crises retentissantes ces dernières années, qui offrent de précieux enseignements pour l'avenir. Sans citer de noms, on peut dégager des tendances claires.

Les entreprises qui ont communiqué de manière transparente et proactive ont souvent pu rétablir leur réputation plus rapidement. Il est apparu que la première communication ne doit pas nécessairement être parfaite, mais qu'elle doit être faite en temps utile et respecter les exigences légales essentielles.

En revanche, les tactiques dilatoires et les tentatives de dissimulation entraînent presque toujours un durcissement des sanctions et une atteinte durable à la réputation. Le public et les autorités suisses apprécient l'honnêteté et la prise de responsabilité, pour autant qu'elles soient conformes à la loi.

Regard vers l'avenir: l'IA et les nouveaux défis

La numérisation et l'utilisation de l'intelligence artificielle créent de nouveaux défis pour la communication de crise. En 2025, le PFPDT a précisé que la loi sur la protection des données en vigueur s'applique directement au traitement des données basé sur l'IA . Cela signifie que les incidents liés à l'IA peuvent également être soumis à l'obligation de notification.

Les décisions basées sur des algorithmes qui s'avèrent erronées ou discriminatoires peuvent rapidement dégénérer en crise. Les exigences légales relatives à la communication de tels incidents sont complexes et nécessitent des connaissances techniques et juridiques.

Dans le même temps, la technologie offre également des opportunités. Les systèmes de surveillance automatisés peuvent signaler plus tôt les crises potentielles. Les outils d'analyse basés sur l'IA aident à évaluer plus rapidement la portée d'un incident. Mais là encore, la décision finale et la responsabilité incombent à l'être humain, c'est-à-dire au conseil d'administration et à la direction.

La communication de crise comme avantage concurrentiel

Les entreprises suisses qui mettent en place une communication de crise juridiquement sûre s'assurent un véritable avantage concurrentiel. Sur un marché qui repose sur la confiance et la réputation, une gestion de crise professionnelle peut faire la différence entre un revers temporaire et un préjudice durable.

Investir dans une communication de crise juridiquement sûre est doublement profitable : cela minimise les risques en matière de responsabilité, protège la réputation et renforce la confiance des clients, des partenaires et des investisseurs. Cela revêt une importance inestimable, notamment en Suisse, où les relations personnelles et les partenariats commerciaux à long terme comptent beaucoup.

Maîtriser la communication de crise dans le respect de la législation?

Vous souhaitez asseoir votre communication de crise sur une base juridique solide tout en maîtrisant parfaitement les exigences de la LPD, la publicité ad hoc et les exigences de conformité ? Brand Affairs vous aide à élaborer un plan de communication de crise sur mesure qui tient compte du paysage juridique suisse. Grâce à notre expérience de plus de 15 ans sur le marché suisse et à notre réseau d'experts en communication et en droit, nous veillons à ce que vous communiquiez en toute sécurité juridique, même en période de turbulences.

Contactez-nous pour un entretien-conseil sans engagement. Ensemble, nous élaborerons une stratégie de communication de crise adaptée à votre entreprise et qui vous protégera des pièges juridiques, à Zurich, Bâle, Berne, Genève et dans toute la Suisse.