En bref : en Suisse, les cookies relèvent à la fois de l'article 45c de la loi sur les télécommunications, qui exige d'informer l'utilisateur et de lui laisser la possibilité de refuser, et de la nouvelle LPD, qui impose un consentement exprès pour le profilage à risque élevé. Toute entreprise dont le site produit des effets en Suisse est concernée, y compris depuis la France. Les violations intentionnelles exposent les personnes responsables à des amendes pénales pouvant atteindre 250 000 francs.
nLPD : de quoi parle-t-on ?
La loi fédérale du 25 septembre 2020 sur la protection des données (LPD, RS 235.1), couramment appelée nLPD ou « RGPD suisse », est entrée en vigueur le 1er septembre 2023. Elle a abrogé la loi de 1992 et rapproché le droit suisse du standard européen, sans le copier : la Suisse garde ses propres notions, son autorité et un système de sanctions pénales.
Son champ territorial est défini à l'article 3 : la loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger. Un site hébergé en France qui suit le comportement d'internautes suisses entre donc dans son champ.
Pour les cookies, il faut lire la nLPD avec un second texte : l'article 45c de la loi sur les télécommunications (LTC, RS 784.10). Selon cet article, les données enregistrées sur des appareils appartenant à autrui ne peuvent être traitées par voie de télécommunication que pour fournir et facturer des services de télécommunication, ou lorsque l'utilisateur a été informé du traitement et de sa finalité et avisé qu'il a la possibilité de refuser ce traitement.
Le PFPDT a clarifié l'articulation de ces deux textes dans un guide relatif au traitement des données au moyen de cookies et de technologies similaires, publié le 22 janvier 2025. Ce guide explique notamment que l'article 45c LTC s'applique cumulativement avec les règles générales de la LPD.
Qui est concerné ?
- Les entreprises suisses qui exploitent un site ou une application ;
- les entreprises étrangères, y compris françaises, dont les traitements produisent des effets en Suisse, par exemple en vendant en Suisse romande ou en ciblant des internautes suisses ;
- les exploitants qui intègrent des services tiers : le guide du PFPDT précise leur responsabilité lorsqu'ils utilisent des services et des cookies tiers ;
- les organes fédéraux, soumis à des dispositions particulières.
La nLPD protège les personnes physiques dont les données personnelles font l'objet d'un traitement (article 1).
Ce que la nLPD impose pour les cookies et le consentement
Une règle de base d'information et d'opposition
Pour la plupart des cookies, le droit suisse ne pose pas d'obligation générale de consentement préalable comparable à celle de l'Union européenne. L'article 45c LTC exige :
- d'informer l'utilisateur du traitement et de sa finalité ;
- de l'aviser qu'il peut refuser ce traitement ;
- de lui donner un moyen effectif de le faire.
C'est pourquoi nous classons la Suisse en opt-out. Le devoir d'information de l'article 19 de la nLPD s'ajoute à cette règle : lors de la collecte, le responsable doit communiquer au moins son identité et ses coordonnées, la finalité du traitement et, le cas échéant, les destinataires ou catégories de destinataires des données.
Ce point compte pour les cookies tiers. Lorsque des données personnelles sont communiquées à l'étranger, ce qui est le cas de la plupart des outils d'analyse et de publicité, l'article 19 exige aussi d'indiquer le nom de l'État ou de l'organisme international destinataire et, le cas échéant, les garanties prévues ou l'exception invoquée. Votre politique de cookies doit donc préciser où partent les données de chaque service.
Les cas où le consentement devient obligatoire
Selon l'article 6 de la nLPD, lorsque le consentement est requis, il n'est valable que si la personne exprime librement sa volonté concernant un ou plusieurs traitements déterminés, après avoir été dûment informée. Il doit être exprès notamment :
- pour le traitement de données sensibles ;
- pour un profilage à risque élevé effectué par une personne privée, c'est-à-dire un profilage qui conduit à un appariement de données permettant d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique.
Le suivi publicitaire sur plusieurs sites et plateformes peut s'approcher de cette qualification. Le PFPDT l'a examiné dans l'affaire Ricardo et TX Group (voir plus bas) : il recommandait d'obtenir le consentement des utilisateurs avant de communiquer leurs données à des fins de publicité ciblée.
Les principes généraux
Le traitement doit être licite, conforme à la bonne foi et à la proportionnalité (article 6). Les données ne peuvent être collectées que pour des finalités déterminées et reconnaissables, et doivent être détruites ou anonymisées dès qu'elles ne sont plus nécessaires. Concrètement, cela plaide pour des durées de vie de cookies limitées et une politique de cookies à jour.
Retrait et preuve
Le droit suisse ne reproduit pas mot pour mot l'article 7 du RGPD, mais une personne peut toujours s'opposer au traitement, et l'article 30 de la nLPD considère comme une atteinte à la personnalité le fait de traiter des données contre la manifestation expresse de sa volonté. Conserver la trace des refus et des consentements reste la meilleure protection en cas de contestation.
Le bandeau de cookies conforme à la nLPD
Un bandeau adapté au droit suisse doit au minimum :
- informer clairement des finalités des cookies et des services tiers ;
- offrir un moyen simple de refuser, visible dès le premier niveau ;
- recueillir un consentement exprès avant tout profilage à risque élevé ou traitement de données sensibles ;
- renvoyer vers une politique de cookies et une déclaration de protection des données complètes.
Beaucoup de sites suisses visent aussi des internautes de l'Union. Dans ce cas, le RGPD s'applique à ces visiteurs et impose l'opt-in : le plus simple est d'appliquer le bandeau européen à tous, ou d'utiliser une CMP qui adapte le comportement selon la localisation. Notre guide du bandeau cookies conforme et notre modèle de politique de cookies vous aideront à construire ces éléments.
Sanctions et contrôles
L'autorité : le PFPDT surveille l'application de la loi. Il ouvre des enquêtes, d'office ou sur dénonciation (article 49), et peut ordonner la modification, la suspension ou la cessation d'un traitement ainsi que l'effacement des données (article 51). Il peut aussi dénoncer les infractions aux autorités de poursuite pénale.
Le plafond : la nLPD prévoit des amendes pénales de 250 000 francs au plus, prononcées sur plainte contre les personnes privées qui violent intentionnellement certaines obligations, comme le devoir d'informer (article 60), les devoirs de diligence (article 61) ou le devoir de discrétion (article 62). L'article 64 permet, lorsque l'amende n'excède pas 50 000 francs et que l'enquête serait disproportionnée, de condamner l'entreprise à la place des personnes responsables. La poursuite et le jugement incombent aux cantons (article 65).
Deux affaires suisses liées au suivi en ligne, tirées du rapport d'activité 2024/2025 du PFPDT :
- Ricardo et TX Group (tracking multiplateforme) : au printemps 2024, le PFPDT a clos sa procédure, menée sous l'ancien droit, sur le suivi publicitaire entre plateformes. Il recommandait à Ricardo d'informer clairement les utilisateurs du suivi effectué par TX et d'obtenir leur consentement avant de communiquer leurs données à des fins de publicité ciblée, et à TX de supprimer les données déjà transmises sans le consentement requis. Les deux sociétés contestent la qualification de données personnelles et ont fait savoir qu'elles ne suivraient pas ces recommandations ; le PFPDT s'est réservé la possibilité de faire procéder aux adaptations nécessaires. Une version caviardée du rapport final a été publiée en octobre 2024, puis la version complète en mars 2025 à la suite d'une demande d'accès.
- Digitec Galaxus : par des recommandations formelles du 15 avril 2024, le PFPDT a relevé que les clients ne pouvaient pas s'opposer à certains traitements, notamment marketing, et qu'il était impossible de commander sans créer de compte client. L'entreprise a accepté une recommandation, dont la mise en œuvre était prévue pour le deuxième trimestre 2025.
Checklist de conformité
- Déterminez si vos traitements produisent des effets en Suisse.
- Inventoriez vos cookies et services tiers, et identifiez ceux qui relèvent du profilage.
- Informez clairement des finalités, dès le premier niveau du bandeau.
- Offrez un refus simple et respectez-le techniquement.
- Recueillez un consentement exprès pour tout profilage à risque élevé.
- Complétez votre déclaration de protection des données selon l'article 19.
- Limitez la durée de vie des cookies au strict nécessaire.
- Conservez la trace des choix exprimés.
- Appliquez l'opt-in à vos visiteurs de l'Union européenne si vous les ciblez.
Comment FlowConsent vous aide à respecter la nLPD
FlowConsent vous permet d'afficher un bandeau qui informe et permet de refuser en un clic, de bloquer les scripts de profilage tant que le visiteur n'a pas donné son accord, et d'appliquer l'opt-in européen à vos visiteurs de l'Union avec la même installation. Le scan automatique dresse la liste de vos cookies pour votre déclaration de cookies, et chaque choix est conservé en preuve exportable. L'outil est hébergé en Europe.
Lancez notre scanner gratuit pour voir ce que votre site dépose, puis créez votre compte : gratuit jusqu'à 25 000 sessions par mois, installation en une dizaine de minutes.
Pour aller plus loin
La Suisse occupe une position intermédiaire entre l'opt-out et l'opt-in européen. Les articles ci-dessous expliquent comment gérer plusieurs régimes, comment rédiger votre politique de cookies et comment concevoir un bandeau qui convient aux deux côtés de la frontière.