TLDR — Le régime suisse des cookies ne vient pas de la LPD mais de l’art. 45c LTC (RS 784.10) : informer du traitement et de sa finalité, et rendre l’utilisateur attentif au fait qu’il peut le refuser. C’est un opt-out avec information préalable, pas un opt-in : aucun texte suisse n’impose un bandeau qui bloque le site tant qu’on n’a pas cliqué « accepter ». Un point a pourtant basculé : lorsque le traçage porte sur des données sensibles (art. 5 let. c LPD) ou constitue un profilage à risque élevé (art. 5 let. g), l’art. 6 al. 7 LPD exige un consentement exprès — le PFPDT l’a écrit dans son guide sur les cookies, version 1.1 du 6 octobre 2025. Et l’exception des « cookies strictement nécessaires » n’existe pas en droit suisse sous la forme que vous croyez : la let. a de l’art. 45c vise les services de télécommunication, pas votre panier d’achat. Défaut d’information : amende jusqu’à 250 000 francs, contre une personne physique (art. 60 LPD).
La disposition applicable n’est pas celle que cite votre bandeau
Presque tous les bandeaux romands renvoient au RGPD, parfois à la LPD. Ni l’un ni l’autre n’est le siège de la matière. Le texte qui autorise ou interdit de déposer un cookie, un pixel ou un identifiant sur la machine d’un visiteur est l’art. 45c de la loi sur les télécommunications (LTC, RS 784.10), « Données enregistrées sur des appareils appartenant à autrui » :
« Les données enregistrées sur des appareils appartenant à autrui ne peuvent être traitées par voie de télécommunication que dans les cas suivants: a. pour fournir et facturer des services de télécommunication; b. lorsque l’utilisateur a été informé du traitement et de sa finalité et avisé qu’il a la possibilité de refuser ce traitement. »
Le champ est plus large que la LPD. L’art. 45c vise les données enregistrées sur l’appareil, personnelles ou non. Un identifiant qui n’identifie personne reste couvert — l’inverse du réflexe habituel, qui consiste à se demander d’abord s’il y a donnée personnelle.
L’obligation est une obligation d’information, pas de consentement. La let. b exige trois choses cumulatives : informer du traitement, informer de sa finalité, rendre attentif à la possibilité de refuser. Elle n’exige pas d’accord préalable. Le PFPDT le formule ainsi dans son aide-mémoire du 31 mars 2026 : le droit suisse « met l’accent sur une information transparente des utilisateurs et sur leur droit de s’opposer ».
L’information doit être préalable. Un bandeau qui s’affiche après que le script de mesure d’audience a tourné ne satisfait pas la let. b. C’est le défaut le plus courant, et le plus facile à constater depuis l’onglet réseau d’un navigateur.
La let. a ne dit pas ce que dit le RGPD
Le réflexe importé découpe les traceurs en deux : les « strictement nécessaires », exemptés, et les autres. Cette exemption vient de la directive ePrivacy européenne, qui dispense les cookies nécessaires à la transmission technique ou à la fourniture d’un service expressément demandé par l’utilisateur.
Le droit suisse n’a pas cette exception. La let. a de l’art. 45c vise le traitement « pour fournir et facturer des services de télécommunication » : c’est l’exception du fournisseur de télécommunications, pas celle de l’exploitant de site. Le PFPDT en tire la conséquence dans son guide : pour les cookies indispensables au fonctionnement technique d’une application, « une opposition à de tels cookies en application de l’art. 45c LTC n’est donc possible qu’indirectement, en renonçant dans ce cas à l’application dans son ensemble ».
Le résultat converge en pratique — pas d’interrupteur à prévoir pour le cookie de session ou le jeton anti-CSRF — mais avec une conséquence concrète : ces cookies doivent quand même être décrits dans votre information. Le guide y range le panier d’achat, la session d’authentification, le choix de la langue, la mémorisation du choix en matière de cookies, la répartition de charge, la prévention des attaques par force brute et les captchas.
Le point qui a changé : le consentement exprès de l’art. 6 al. 7 LPD
L’art. 45c LTC règle l’accès à l’appareil. Il ne règle pas ce que vous faites ensuite des données. Dès que le traçage constitue un traitement de données personnelles, la LPD s’ajoute — et elle contient une règle que la quasi-totalité des bandeaux suisses ignore :
« Le consentement doit être exprès dans les cas suivants: a. il s’agit d’un traitement de données sensibles; b. il s’agit d’un profilage à risque élevé effectué par une personne privée; c. il s’agit d’un profilage effectué par un organe fédéral. » (art. 6 al. 7 LPD)
Les données sensibles de l’art. 5 let. c comprennent notamment les données sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales, sur la santé, la sphère intime ou l’origine raciale ou ethnique, ainsi que les données génétiques et biométriques. Le profilage à risque élevé de l’art. 5 let. g est celui « entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu’il conduit à un appariement de données qui permet d’apprécier les caractéristiques essentielles de la personnalité d’une personne physique ».
Le guide du PFPDT relatif aux traitements de données au moyen de cookies et de technologies similaires, version 1.1 du 6 octobre 2025 (première version du 22 janvier 2025) en tire la règle : dans ces situations, le responsable « ne peut invoquer ni la prépondérance de son intérêt privé ni une mise en œuvre optionnelle du traitement. Au contraire, il doit obtenir le consentement exprès des personnes concernées ». Le guide voit par ailleurs dans le traçage multi-domaines une situation susceptible de conduire à un profilage à risque élevé.
Certains usages basculent donc en opt-in, alors que le reste du site demeure en opt-out.
| Traceur | Régime suisse | Fondement |
|---|---|---|
| Session, panier, langue, captcha | Information seule ; pas d’opposition praticable | Art. 45c LTC ; guide PFPDT, cookies techniquement indispensables |
| Mesure d’audience limitée au domaine, sans recoupement | Information préalable et possibilité de refus (opt-out) | Art. 45c let. b LTC |
| Pixel publicitaire, retargeting, identifiant partagé entre sites | Consentement exprès (opt-in) | Art. 6 al. 7 let. b LPD, profilage à risque élevé |
| Ciblage déduisant santé, sphère intime, religion, appartenance syndicale | Consentement exprès (opt-in) | Art. 6 al. 7 let. a LPD, données sensibles |
Un traitement susceptible d’entraîner un risque élevé impose en outre une analyse d’impact préalable (art. 22 al. 1 LPD), le recours à de nouvelles technologies étant un facteur expressément visé à l’al. 2.
Ce qui est exigé, et ce qui ne l’est pas
C’est ici que le bandeau copié coûte de l’argent sans rien protéger.
| Exigence | Droit suisse |
|---|---|
| Informer avant le dépôt du traceur | Oui — art. 45c let. b LTC |
| Indiquer la finalité du traitement | Oui — art. 45c let. b LTC |
| Rendre attentif à la possibilité de refuser | Oui — art. 45c let. b LTC |
| Respecter effectivement le refus exprimé | Oui — art. 45c let. b LTC ; art. 30 al. 2 let. b LPD |
| Bloquer l’accès au site tant que l’utilisateur n’a pas répondu | Non |
| Bouton « Tout refuser » au premier niveau du bandeau | Non exigé par un texte suisse |
| Cases précochées pour les traitements à faible risque | Admises — mais la désélection ne doit pas être plus compliquée que la sélection (guide PFPDT) |
| Consentement préalable exprès | Oui, mais seulement pour données sensibles et profilage à risque élevé (art. 6 al. 7 LPD) |
| Révocation du consentement | Oui — simple et sans justification (guide PFPDT) |
| Réglages par défaut minimisant les traceurs | Oui — art. 7 al. 3 LPD, protection des données par défaut |
La croyance à corriger. « Le bandeau RGPD est plus strict, donc nous sommes couverts » est faux deux fois. Il est plus strict sur la forme du consentement, mais il ne délivre pas l’information de l’art. 45c let. b quand le texte affiché parle de « bases légales » sans jamais dire au visiteur qu’il peut refuser, ni comment. Et il est inutilement coûteux : imposer un mur de consentement à des visiteurs suisses pour une mesure d’audience qui relève de l’opt-out, c’est perdre en conversion ce que rien n’exige.
Quand le RGPD s’applique quand même
Son art. 3 par. 2 le rend applicable au traitement des données de personnes qui se trouvent dans l’Union par un responsable non établi dans l’Union, lorsque les activités sont liées soit à l’offre de biens ou de services à ces personnes, qu’un paiement soit exigé ou non, soit au suivi de leur comportement au sein de l’Union. Le traçage publicitaire d’un visiteur français depuis un site suisse suffit à remplir la seconde hypothèse.
Une PME vaudoise qui vend en France est donc soumise aux deux régimes en parallèle : LTC et LPD pour les visiteurs en Suisse, RGPD et ePrivacy pour ceux qui se trouvent dans l’Union. Deux réponses : aligner tout le monde sur le standard le plus strict, simple mais coûteux en conversion sur le marché suisse ; ou différencier par géolocalisation, licite mais à maintenir et à documenter.
Les deux régimes prévoient un représentant, et les entreprises confondent régulièrement les deux.
| Représentant en Suisse (art. 14 LPD) | Représentant dans l’UE (art. 27 RGPD) | |
|---|---|---|
| Qui doit en désigner un | Le responsable privé ayant son siège ou son domicile à l’étranger | Le responsable ou sous-traitant non établi dans l’Union visé par l’art. 3 par. 2 |
| Conditions | Quatre conditions cumulatives : lien avec l’offre de biens ou de services ou le suivi du comportement en Suisse, traitement à grande échelle, régulier, à risque élevé | Obligation de principe, sauf traitement occasionnel, sans traitement à grande échelle de catégories particulières et peu susceptible d’engendrer un risque |
| Rôle | Point de contact des personnes concernées et du PFPDT ; nom et adresse à publier | Point de contact des personnes concernées et des autorités de contrôle |
Autrement dit : une société vaudoise n’a pas à désigner de représentant en Suisse, puisqu’elle y est établie. C’est le représentant dans l’UE qu’elle oublie, dès qu’elle vend ou traque dans l’Union.
Google Analytics et les pixels publicitaires
Poser une balise d’audience ou un pixel de régie déclenche trois obligations, dont deux ne se règlent pas dans le bandeau.
Un transfert de données à l’étranger. Le fournisseur reçoit l’adresse IP, l’identifiant du visiteur et le parcours. Le régime des art. 16 et 17 LPD s’applique, avec la vérification de l’annexe 1 OPDo et, pour un destinataire américain, de la certification Swiss-U.S. Data Privacy Framework. Nous l’avons traité dans Cloud, États-Unis et annexe 1 OPDo.
Une mention dans la déclaration de protection des données. L’art. 19 al. 2 let. c impose d’indiquer les destinataires ou catégories de destinataires, et l’al. 4 l’État concerné et les garanties. Le contenu minimal et les erreurs de copier-coller sont détaillés dans Déclaration de protection des données : ce qu’un site suisse doit réellement afficher.
Une qualification à faire. Une mesure d’audience sans identifiant publicitaire, sans recoupement entre sites et sans transmission au fournisseur pour ses propres finalités reste en opt-out. La même balise reliée à un compte publicitaire, avec audiences de remarketing et conversions enrichies, produit du profilage à risque élevé et bascule en opt-in. Ce n’est pas le nom de l’outil qui décide, c’est sa configuration — et c’est à vous de pouvoir la documenter.
Cinq choses à faire ce mois-ci
- Inventorier les traceurs réellement posés. Ouvrez l’onglet réseau et le stockage local en session neuve, avant toute interaction avec le bandeau. La liste réelle diffère presque toujours de celle qu’affiche votre outil de consentement, dès qu’un thème, un formulaire ou une vidéo intégrée charge ses propres scripts.
- Classer chaque traceur en trois catégories : techniquement indispensable, non nécessaire à faible risque, profilage à risque élevé ou données sensibles. Seule la troisième impose l’opt-in.
- Écrire l’information préalable. Une phrase visible avant le chargement : ce qui est traité, pourquoi, et que l’on peut refuser — avec un lien vers le détail. Pas un renvoi implicite à une politique de douze pages.
- Rendre le refus effectif. Après avoir refusé, vérifiez qu’aucune requête ne part vers le domaine du traceur. Un bandeau qui enregistre le refus mais laisse le script s’exécuter est la non-conformité la plus fréquente, et la plus simple à prouver contre vous.
- Documenter. Inventaire daté, capture de la configuration, journal des consentements exprès, dans le registre de l’art. 12 LPD. Sans trace, vous ne pourrez pas démontrer que le consentement exprès a été recueilli là où il était exigé.
La sanction n’est pas théorique : l’art. 60 al. 1 LPD punit, sur plainte, d’une amende de 250 000 francs au plus la personne privée qui omet intentionnellement d’informer la personne concernée conformément à l’art. 19 al. 1, ou de lui fournir les informations de l’art. 19 al. 2. La poursuite vise une personne physique ; l’entreprise n’est condamnée à sa place que dans le cas de l’art. 64 al. 2, jusqu’à 50 000 francs.
Sources primaires
- LTC, RS 784.10, état le 1er septembre 2023 — art. 45c « Données enregistrées sur des appareils appartenant à autrui ».
- LPD, RS 235.1, état le 7 juillet 2025 — art. 5 let. c, f et g ; art. 6 al. 6 et 7 ; art. 7 al. 3 ; art. 12 ; art. 14 ; art. 19 ; art. 22 ; art. 30 ; art. 60 al. 1 ; art. 64 al. 2.
- OPDo, RS 235.11 — annexe 1, États assurant un niveau de protection adéquat.
- PFPDT, Guide relatif aux traitements de données au moyen de cookies et de technologies similaires, version 1.1 du 6 octobre 2025 (première version du 22 janvier 2025).
- PFPDT, aide-mémoire « Utilisation des cookies et autres technologies similaires dans le contexte du suivi en ligne (tracking) », 31 mars 2026.
- Règlement (UE) 2016/679 (RGPD) — art. 3 par. 2, champ d’application territorial ; art. 27, représentant dans l’Union.
Avertissement — La FVN est une fédération professionnelle, pas une étude d’avocats. Ce texte est une information générale, non un conseil juridique. État des textes consultés : LTC au 1er septembre 2023, LPD au 7 juillet 2025. Ce qui n’a pas pu être vérifié, nommément : premièrement, aucune version consolidée de la LTC postérieure au 1er septembre 2023 n’a pu être ouverte sur Fedlex aux dates testées (1.1.2024, 1.3.2024, 1.1.2025, 1.1.2026) — une modification ultérieure de l’art. 45c ne peut donc pas être exclue ; deuxièmement, l’art. 45c a été lu dans la version PDF de Fedlex et recoupé avec la version italienne, la version HTML étant tronquée par notre outil de lecture avant cet article ; troisièmement, les art. 3 par. 2 et 27 RGPD n’ont pas pu être reproduits verbatim depuis EUR-Lex, dont le document se tronque avant les articles : ils sont restitués ici en substance, sans guillemets ; quatrièmement, nous n’avons pas vérifié l’existence d’une sanction pénale propre à la LTC pour la violation de l’art. 45c — les montants cités relèvent de la seule LPD. Pour une configuration précise, adressez-vous à un mandataire qualifié ou au PFPDT.
