Site internet et nLPD : ce que la loi suisse impose (cookies, déclaration de confidentialité)

Votre site a un formulaire de contact, une mesure d'audience, peut-être un bandeau cookies copié d'un site français. Que demande vraiment la loi suisse ? Réponse directe : la loi fédérale sur la protection des données (LPD), en vigueur depuis le 1er septembre 2023, impose surtout d'informer clairement vos visiteurs dans une déclaration de confidentialité facile à trouver. Pour les cookies, la Suisse n'exige pas en général de consentement préalable comme l'Union européenne : elle exige d'informer et de permettre de refuser, sauf pour le suivi publicitaire et les données sensibles. Si votre site vise aussi des clients dans l'UE, les règles européennes, plus strictes, peuvent s'ajouter.

Ce guide s'appuie sur les textes officiels et le guide du Préposé fédéral (PFPDT) sur les cookies, consultés le 6 novembre 2026. Il ne remplace pas un avis juridique pour un cas particulier.

L'obligation principale : informer

La LPD demande d'informer de manière adéquate toute personne dont vous collectez les données (art. 19). Au minimum : votre identité et vos coordonnées, la finalité du traitement et, le cas échéant, les destinataires des données. Si des données partent à l'étranger, il faut aussi nommer le pays et les garanties prévues. L'ordonnance précise la forme : une information concise, transparente, compréhensible et facilement accessible (art. 13).

Le PFPDT va plus loin dans son guide sur les cookies (version du 6 octobre 2025) : une déclaration placée dans une rubrique cachée du site ne suffit pas, et une information présentée en plusieurs niveaux (un résumé, puis le détail) est indispensable.

Ce que doit contenir votre déclaration de confidentialité

La loi n'impose pas de modèle. En combinant l'article 19 et la liste du Portail PME de la Confédération, une déclaration complète indique :

• qui est responsable et comment le contacter ;
• quelles données vous collectez (formulaires, mesure d'audience, cookies, assistant de discussion) et pourquoi ;
• à qui elles sont transmises : hébergeur, outil d'e-mailing, outil d'analyse, et dans quels pays ;
• combien de temps vous les gardez ;
• les droits des visiteurs et comment les exercer, en particulier le droit d'accès ;
• les mesures de sécurité prises.

Le droit d'accès est gratuit, et la réponse doit en règle générale être donnée dans les 30 jours (art. 25 LPD).

Cookies : ce que la Suisse exige, et ce qu'elle n'exige pas

La règle de base est dans la loi sur les télécommunications : un traitement de données sur l'appareil du visiteur n'est admis que s'il est informé du traitement et de sa finalité, et averti qu'il peut le refuser (art. 45c). Le guide du PFPDT en tire les conséquences pratiques :

• Pas de consentement préalable en général : ni la LPD ni la LTC n'imposent de recueillir un consentement pour les cookies non essentiels. Le refus, en revanche, doit toujours être possible.
• Un refus visible et simple : il doit être repérable dès la première visite et lors des suivantes, et s'exercer en quelques clics.
• Un consentement exprès dans certains cas : pour les données sensibles et le profilage à risque élevé, comme le suivi publicitaire sur plusieurs sites. Ces traceurs ne doivent pas s'activer par défaut ; pour les boutons de réseaux sociaux et les pixels, le guide recommande une solution en deux clics.
• La mesure d'audience peut se passer de consentement si les données sont anonymisées très rapidement et si le fournisseur de l'outil ne les utilise pas pour ses propres fins.
• Les cookies essentiels (panier, sécurité, répartition de charge) sont admis sans formalité particulière.

Quand le RGPD européen s'ajoute

Le règlement européen s'applique aussi à une entreprise suisse quand elle offre des biens ou des services à des personnes qui se trouvent dans l'UE, payants ou non, ou quand elle suit leur comportement (art. 3, al. 2 RGPD, texte sur le site de la CNIL). Un site genevois qui vise clairement des clients en France est concerné. Côté cookies, le droit européen exige un consentement préalable au dépôt des traceurs non essentiels, rappelle la CNIL : un bandeau avec « Accepter » et « Refuser » au même niveau, et rien de chargé avant le choix. Dans le Grand Genève, c'est souvent la solution la plus simple pour tout le monde.

Hébergeur, outils américains et données à l'étranger

Vos données partent souvent à l'étranger sans que vous y pensiez : hébergement, e-mailing, outil d'analyse, assistant IA. La LPD autorise l'envoi vers les pays dont le Conseil fédéral a reconnu le niveau de protection, dont tous les États de l'UE (art. 16 et annexe 1 de l'OPDo). Pour les États-Unis, seules les entreprises certifiées dans le cadre du Swiss-US Data Privacy Framework sont couvertes, depuis le 15 septembre 2024 (communiqué du Conseil fédéral). Vérifiez la certification de chaque prestataire américain et citez les pays concernés dans votre déclaration. Avec chaque prestataire qui traite des données pour vous, il faut aussi un contrat qui garantit la sécurité des données (art. 9).

Les autres obligations, en bref

• Protection dès la conception : les réglages par défaut doivent limiter les données au strict nécessaire (art. 7). Un formulaire de contact ne demande que ce qui sert à vous répondre.
• Registre des activités : les entreprises de moins de 250 collaborateurs en sont dispensées, sauf traitement à grande échelle de données sensibles ou profilage à risque élevé (art. 12 LPD, art. 24 OPDo).
• Conseiller à la protection des données : facultatif pour une entreprise privée (art. 10).
• Violation de sécurité : à annoncer au PFPDT dans les meilleurs délais si elle entraîne vraisemblablement un risque élevé pour les personnes (art. 24).
• Sanctions : une amende jusqu'à 250 000 CHF peut frapper les personnes responsables, par exemple pour une information omise ou inexacte, et seulement en cas d'infraction intentionnelle (art. 60 et suivants) ; l'entreprise peut être condamnée à leur place si l'amende ne dépasse pas 50 000 CHF (art. 64).

Si votre site utilise un assistant IA, notre guide un chatbot IA sur votre site détaille les points propres à ces outils.

Questions fréquentes

Un bandeau cookies est-il obligatoire en Suisse ?

La loi suisse exige d'informer les visiteurs et de leur permettre de refuser les cookies, de façon visible dès la première visite. Un consentement préalable n'est exigé que pour les données sensibles et le profilage à risque élevé, comme le suivi publicitaire. Si votre site vise des clients dans l'UE, les règles européennes imposent un consentement préalable pour les cookies non essentiels.

Que doit contenir une déclaration de confidentialité selon la nLPD ?

Au minimum l'identité et les coordonnées du responsable, la finalité du traitement, les destinataires des données et, en cas de transfert à l'étranger, le pays et les garanties prévues (art. 19 LPD). Ajoutez la durée de conservation, les droits des visiteurs et les mesures de sécurité.

Google Analytics est-il autorisé en Suisse ?

Le PFPDT n'a pas publié de position spécifique sur cet outil. Les règles générales s'appliquent : informer, permettre de refuser, vérifier que le transfert vers les États-Unis est couvert (entreprise certifiée au Data Privacy Framework) et demander un consentement si vous l'utilisez à des fins publicitaires.

Quelle amende en cas de non-respect de la nLPD ?

Jusqu'à 250 000 CHF, visant en principe les personnes responsables et seulement pour des infractions intentionnelles, comme une information omise ou inexacte. L'entreprise peut être condamnée à leur place si l'amende ne dépasse pas 50 000 CHF.