Bandeau cookies en Suisse : en faut-il un pour votre site ?

Chaque propriétaire de site a déjà vu ces bandeaux qui recouvrent le bas de l’écran, avec un bouton vert bien visible et un lien discret pour refuser. Beaucoup en concluent que la loi impose d’en poser un. Pour un site suisse, c’est souvent faux. Et lorsque c’est vrai, la raison n’est pas celle que l’on croit.

Ce que dit la loi suisse

La règle qui vise les cookies figure dans la loi sur les télécommunications, à l’article 45c, en vigueur depuis le 1er avril 2007.¹ Elle protège l’appareil du visiteur : tout traitement de données sur cet appareil doit servir à la transmission par télécommunication ou, à défaut, pouvoir être contrôlé par l’utilisateur. Concrètement, l’exploitant du site doit informer les visiteurs de l’usage de ces technologies et de leur but, indiquer qu’ils peuvent refuser le traitement, et dire comment.²

Ce n’est donc pas un régime de consentement préalable. C’est un régime d’information et d’opposition. Le Préposé fédéral à la protection des données le dit sans détour dans son guide : ni la loi sur la protection des données ni l’article 45c ne demandent de recueillir un consentement pour que l’usage de cookies non essentiels soit légal.³ Le consentement n’est qu’un des motifs qui justifient un traitement portant atteinte à la personnalité, à côté d’autres.

Ce qui n’a besoin de rien

Le même guide range parmi les cookies essentiels ceux dont le site ne peut se passer pour fonctionner : le panier d’une boutique, la connexion à un espace protégé, le choix de la langue, les données saisies dans un formulaire en cours de remplissage, ou encore l’enregistrement du choix fait sur un bandeau.⁴ Le Préposé précise qu’il n’existe pas de catalogue contraignant des cookies nécessaires, et que la nécessité s’apprécie aussi sur le contenu et la durée de conservation. Dans ces cas, le guide n’exige aucune fenêtre de choix : l’information figure dans la politique de confidentialité.

Un site qui ne dépose que cela n’a donc, en règle générale, rien à afficher en plus d’une mention dans sa politique de confidentialité. C’est le cas du nôtre : il ne dépose aucun cookie.

Ce qui demande une information et un refus visibles

Dès qu’un site utilise des cookies qui ne sont pas indispensables, par exemple une mesure d’audience ou des réglages de confort, l’exploitant doit rendre le droit d’opposition facile à trouver, dès la première visite comme lors des suivantes, de sorte que le refus tienne en quelques clics.⁵ Il doit aussi veiller à ce que, tant que le visiteur n’a pas pu s’informer et choisir, l’usage des cookies reste limité au minimum nécessaire.

Là où le consentement redevient la règle

Le régime d’opposition a des limites, que le Préposé fixe dans son guide, dont la version révisée date du 6 octobre 2025. Lorsque des cookies non essentiels s’inscrivent dans un traitement d’intensité élevée, c’est-à-dire des données sensibles ou un profilage à risque élevé, l’exploitant ne peut plus se retrancher derrière son intérêt privé ni derrière un simple droit de refus : il doit obtenir le consentement exprès du visiteur avant de commencer.⁶ La collecte de données de localisation peut en relever, selon sa durée, lorsqu’elle permet de dresser des profils de déplacement précis. Le Préposé qualifie aussi d’atteinte particulièrement grave à la personnalité l’intégration de cookies tiers qui alimentent un profilage à risque élevé à travers plusieurs sites. Le guide ajoute que, tant qu’une analyse n’a pas exclu ce seuil, il faut présumer le risque élevé. Un site qui intègre un pixel publicitaire ou un outil de suivi d’un site à l’autre doit donc s’attendre à devoir recueillir un consentement exprès.

La différence avec l’Union européenne

La directive européenne sur la vie privée et les communications électroniques demande un consentement préalable, éclairé et libre, avant tout dépôt ou lecture d’information sur l’appareil de l’utilisateur, sauf pour ce qui est strictement nécessaire au service demandé.⁷ C’est de là que les autorités européennes tirent, dans leur pratique, l’exigence d’un refus aussi simple que l’acceptation, et l’interdiction de déposer quoi que ce soit de non nécessaire avant le choix.

Cette règle peut vous concerner si votre site vise un public européen. Le critère du public visé, plutôt que le lieu de l’hébergement, vient du règlement général sur la protection des données ; pour les cookies eux-mêmes, ce sont les lois nationales qui transposent la directive qui s’appliquent, et leur portée à l’égard d’un site établi hors de l’Union varie d’un État à l’autre. Nous avons détaillé ce critère dans le dossier sur le droit européen et dans l’article qui décrit comment les deux régimes de protection des données se superposent. Par prudence, un site suisse qui vend à des clients allemands ou français a intérêt à raisonner comme un site européen.

Trois cas concrets

Une vitrine qui présente une activité, sans outil de suivi ni cookie non essentiel, n’a en principe besoin d’aucun bandeau. Une politique de confidentialité claire suffit, et le dossier sur le droit suisse en résume les points obligatoires.

Une boutique en ligne pose un cookie de panier et parfois un cookie de connexion. Ils sont essentiels, donc sans bandeau. Tout change dès que la boutique ajoute une mesure d’audience détaillée, un pixel publicitaire ou un module de réseau social : il faut alors afficher de manière visible la possibilité de refuser, ce qui prend le plus souvent la forme d’un bandeau, et un consentement préalable devient en principe nécessaire si elle vise des clients de l’Union.

Une association qui publie son agenda et ses photos n’a besoin de rien de plus qu’une vitrine, tant qu’elle n’embarque ni vidéo hébergée chez un tiers ni bouton de partage qui déposent leurs propres témoins. Ces intégrations sont la source la plus fréquente de cookies que le responsable du site ignorait avoir.

Que faire lundi matin

Commencez par savoir ce que votre site dépose réellement. Ouvrez-le dans un navigateur, consultez la liste des cookies et des autres données qu’il enregistre, et notez ceux qui ne sont pas des cookies de fonctionnement. Si la liste est vide, vous n’avez rien à afficher et il suffit de vérifier que votre politique de confidentialité le dit. Si elle ne l’est pas, décidez pour chaque cookie s’il est vraiment utile ; ceux qui ne le sont pas se retirent, ce qui règle la question à la racine.

Le plus simple, pour un indépendant ou une petite entreprise, reste de choisir un site qui ne dépose rien. Les prix de la maison sont affichés, et un site conçu ainsi n’a ni bandeau à entretenir, ni consentement à collecter, ni gestionnaire de consentement à payer. Si vous voulez qu’on regarde ce que dépose votre site actuel, écrivez-nous.

Notes

1. Loi du 30 avril 1997 sur les télécommunications (RS 784.10), art. 45c. Date d’entrée en vigueur de la disposition rappelée dans le guide du PFPDT, ch. 2.1. ↩

2. Loi sur les télécommunications, art. 45c, let. b, tel que résumé par le PFPDT, guide sur les cookies, ch. 2.1. ↩

3. PFPDT, guide sur le traitement des données au moyen de cookies et de technologies similaires, version du 6 octobre 2025, ch. 3.12. Le consentement est l’un des motifs justificatifs de l’art. 31, al. 1, de la loi fédérale sur la protection des données (RS 235.1). ↩

4. PFPDT, guide sur les cookies, ch. 3.5.2 (tableau des utilisations considérées comme essentielles) et note sur l’absence de catalogue contraignant. ↩

5. PFPDT, guide sur les cookies, ch. 3.9 (octroi du droit d’opposition et paramètres par défaut). ↩

6. PFPDT, guide sur les cookies, ch. 3.10.1 (atteinte d’intensité élevée) ; sur la qualification d’atteinte particulièrement grave, communiqué du PFPDT sur la mise à jour du guide. ↩

7. Directive 2002/58/CE du 12 juillet 2002, art. 5, par. 3. ↩