LPD suisse : les règles cookies en Suisse

Qu’est-ce que la LPD suisse ?

La loi fédérale sur la protection des données (LPD, en allemand DSG) a été entièrement révisée par le Parlement le 25 septembre 2020 et la nouvelle version est entrée en vigueur le 1er septembre 2023, avec l’ordonnance sur la protection des données. Elle a rapproché le droit suisse du RGPD sur la transparence, les droits des personnes concernées, l’annonce des violations et les transferts de données, ce qui a aidé la Suisse à conserver sa décision d’adéquation de l’UE. La règle sur les cookies elle-même se trouve ailleurs, à l’article 45c de la loi sur les télécommunications (LTC, en allemand FMG), en vigueur depuis 2007. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a publié le 22 janvier 2025 un guide sur les cookies et technologies similaires, mis à jour le 6 octobre 2025, qui lit les deux lois ensemble.

À qui s’applique-t-elle ?

L’article 3 LPD applique la loi aux états de fait qui déploient des effets en Suisse, même s’ils ont été initiés à l’étranger. Un site étranger qui suit des visiteurs en Suisse est couvert. L’article 45c LTC protège de la même façon les utilisateurs des réseaux de télécommunication suisses. Il n’y a pas de seuil de taille, et les obligations s’appliquent aux personnes privées et aux entreprises comme aux organes fédéraux.

Qu’exigent les lois pour les cookies et les traceurs ?

L’article 45c LTC prévoit que le traitement de données sur des appareils tiers par transmission de télécommunication n’est permis que pour les services de télécommunication et la facturation, ou si les utilisateurs sont informés du traitement et de son but, et du fait qu’ils peuvent le refuser. C’est un devoir d’information plus un droit de refuser, pas une exigence de consentement. Le guide du PFPDT en tire les conséquences pratiques :

• Les cookies techniquement nécessaires (session, connexion, panier, sécurité, mémorisation du choix de cookies lui-même) n’exigent pas de consentement distinct et ne peuvent être refusés qu’indirectement, en quittant le site.
• Les cookies non essentiels exigent l’information de l’article 45c et une opposition qui fonctionne : les visiteurs doivent savoir, avant le dépôt des cookies, ce qu’ils font et comment les refuser, et refuser doit être possible en quelques clics. Le PFPDT considère l’opt-out comme obligatoire et comme la mesure qui rend le traitement proportionné.
• Le consentement exprès (opt-in) est requis là où la LPD l’exige : traitement de données sensibles, profilage à risque élevé par une personne privée (article 6, alinéa 7) et tout profilage par un organe fédéral. Le guide décrit les profils publicitaires intrusifs entre sites comme le cas typique. Le consentement n’est valable que s’il est donné librement, pour un traitement déterminé, après une information appropriée (article 6, alinéa 6) ; il doit prendre la forme d’un clic actif sur un bouton ou une case lors de la première visite, et un avis bien visible doit permettre de le retirer à tout moment.
• Les cookie paywalls (consentir ou payer) peuvent être admissibles si le prix est proportionné et ne vide pas de sa substance le droit à la protection des données.

Le devoir général d’informer (article 19 LPD) s’applique par-dessus : identité et coordonnées du responsable de traitement, finalités, destinataires et pays vers lesquels les données sont envoyées, en général dans la politique de confidentialité. Google Analytics, les pixels publicitaires et les outils similaires transfèrent des données aux États-Unis et doivent être couverts par le Swiss-US Data Privacy Framework ou des clauses contractuelles types.

Que doit faire un bandeau conforme ?

Pour la Suisse seule, une configuration conforme est un avis clair avec une option Refuser qui fonctionne avant le dépôt des cookies non essentiels, et une politique de confidentialité qui satisfait à l’article 19. Le PFPDT demande des réglages par défaut favorables à la vie privée, un emplacement bien visible et une option de refus impossible à manquer, le consentement préalable étant réservé au suivi intrusif. En pratique, cela signifie :

• un premier niveau qui nomme les finalités (statistiques, publicité, contenus embarqués) et les tiers impliqués ;
• une option Refuser à ce premier niveau, pas derrière un lien de réglages ;
• une option Accepter, ou des interrupteurs par catégorie, pour les usages qui exigent un consentement exprès ;
• un lien vers la politique de confidentialité et un moyen de changer de choix plus tard.

La plupart des sites suisses déploient néanmoins un bandeau de consentement à l’européenne, parce qu’ils servent aussi des visiteurs de l’UE et parce qu’un bandeau avec Accepter et Refuser de même poids satisfait les deux régimes.

Contrôles et sanctions

Le contrôle fonctionne autrement que dans l’UE. Le PFPDT enquête, peut ordonner à un responsable de traitement de modifier, de suspendre ou de cesser un traitement, et peut publier ses constats, mais il ne peut pas infliger d’amende. Les amendes sont pénales : sur plainte, une personne privée qui fournit intentionnellement des informations fausses ou incomplètes, n’informe pas les personnes concernées comme l’exige l’article 19, viole les devoirs de diligence sur les transferts à l’étranger, les sous-traitants et la sécurité minimale, ignore une décision du PFPDT ou viole le secret professionnel encourt une amende jusqu’à 250 000 CHF (articles 60 à 63). L’amende vise la personne responsable, généralement un dirigeant ; lorsque l’identification de cette personne exigerait des efforts disproportionnés et que l’amende envisagée ne dépasse pas 50 000 CHF, l’entreprise peut être condamnée à payer à sa place (article 64). Les ministères publics cantonaux conduisent ces procédures. Aucune amende liée aux cookies n’a été publiée à ce jour ; le risque pratique pour un site est une enquête du PFPDT et une décision publique.

Comment Cookiequiet gère le droit suisse

La Suisse figure dans la liste des pays réglementés de Cookiequiet : les visiteurs suisses voient le bandeau quand le ciblage géographique est activé. La conception par défaut, avec « Tout accepter » et « Tout refuser » de même taille et de même poids et rien de précoché, répond au socle d’opposition du PFPDT et vous donne le consentement préalable là où la LPD l’exige. Les scripts et contenus embarqués non essentiels restent bloqués jusqu’au choix du visiteur, le registre des consentements enregistre le choix comme preuve, et le générateur de politique de confidentialité comprend un modèle LPD suisse avec les éléments de l’article 19 et le PFPDT comme autorité. Les textes existent en allemand, en français et en italien, choisis selon le navigateur du visiteur. Les politiques sont des modèles, pas des conseils juridiques. Voir aussi Google Fonts et le RGPD pour la question des transferts.