Faut-il un bandeau cookies en Suisse ?

L'équipe AlpiStats · Publié le 16 octobre 2026 · Mis à jour le 17 octobre 2026

Réponse courte : le droit suisse n'impose pas forcément un bandeau de consentement. La Suisse applique en principe un système d'opt-out : pour les cookies non indispensables, vous devez informer les visiteurs et leur permettre de refuser, de façon visible dès la première visite (art. 45c LTC). Un consentement préalable (opt-in) n'est obligatoire que dans certains cas : données sensibles, profilage à risque élevé, contenus politiques ou religieux, organes fédéraux, et visiteurs de l'Union européenne. Un site sans cookie non indispensable n'est pas tenu d'afficher de bandeau au titre de la LTC, mais doit toujours avoir une déclaration de confidentialité. Rien n'empêche d'appliquer partout la règle la plus stricte, c'est-à-dire l'accord préalable pour tous les visiteurs : c'est le choix d'AlpiStats.

Dernière vérification des sources : 16 octobre 2026. Texte mis à jour le 17 octobre 2026 (régime d'AlpiStats). Cet article informe ; il ne remplace pas un avis juridique.

Ce que dit la loi suisse

Deux textes s'appliquent en même temps :

L'article 45c de la loi sur les télécommunications (LTC) vise tout traitement de données sur l'appareil d'autrui, comme le dépôt ou la lecture d'un cookie. Il impose d'informer l'utilisateur, d'indiquer la finalité et de lui permettre de refuser. Ne pas le respecter est passible d'une amende.
La loi sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, s'applique dès que les cookies servent à traiter des données personnelles, ce qui est presque toujours le cas.

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a publié en janvier 2025 un guide consacré aux cookies et technologies similaires, mis à jour le 6 octobre 2025. Il ne crée pas de nouvelles obligations, mais il dit comment l'autorité de surveillance lit la loi. C'est aujourd'hui la référence pratique en Suisse.

Le tableau à retenir

Type de cookie ou de traitement	Ce qu'il faut faire en Suisse
Cookies techniquement nécessaires (panier, connexion, langue, mémorisation du choix cookies, sécurité, répartition de charge)	Aucun consentement. Les limiter au strict nécessaire et les mentionner dans la déclaration de confidentialité.
Cookies fonctionnels de confort, mesure d'audience, publicité avec profilage « normal »	Information + droit de refus (opt-out), visible dès la première visite et facile à exercer.
Profilage à risque élevé (combinaison de données permettant d'évaluer des aspects essentiels de la personnalité)	Consentement exprès (opt-in) avant tout dépôt.
Données sensibles (santé, religion, opinions politiques, etc.) ou contenus politiques, syndicaux ou religieux	Consentement exprès (opt-in).
Sites des organes fédéraux	Consentement exprès même pour un profilage normal.
Visiteurs situés dans l'Union européenne	Consentement préalable (opt-in) pour tout cookie non indispensable, mesure d'audience comprise (sauf exemptions nationales strictes).

Synthèse établie à partir du guide du PFPDT (ch. 3.5 à 3.13 et annexe A).

Point important : le PFPDT demande de présumer un risque élevé tant que l'exploitant ne peut pas l'exclure. Concrètement, les outils publicitaires qui suivent les visiteurs d'un site à l'autre ou croisent plusieurs sources de données doivent être traités prudemment, avec un opt-in.

La mesure d'audience a-t-elle besoin d'un consentement ?

En Suisse, en principe non, mais elle n'est pas libre pour autant.

Le guide du PFPDT admet que l'analyse de la fréquentation d'un site peut se justifier par un intérêt prépondérant de l'exploitant, à trois conditions : anonymiser les données dès que la finalité le permet, ne transmettre à des tiers que des données qui ne permettent pas d'identifier les personnes, et publier les résultats sous une forme non identifiante. Si une analyse anonymisée atteint le même but, elle doit être préférée.

Même dans ce cas, le droit de refus de l'art. 45c LTC reste obligatoire dès lors que l'outil dépose des cookies. C'est pour cela que la plupart des sites suisses qui utilisent Google Analytics affichent au minimum un bandeau d'information avec un bouton de refus.

Un outil de statistiques sans cookie et qui ne lit rien sur l'appareil du visiteur n'entre pas dans le mécanisme cookies de l'art. 45c LTC. La nLPD continue de s'appliquer s'il traite des données personnelles (même brièvement, comme une adresse IP) : il faut alors le mentionner dans la déclaration de confidentialité. Voir nLPD et statistiques de site web. Cela décrit le droit suisse ; un outil reste libre d'exiger davantage, comme le fait AlpiStats (voir plus bas).

À quoi doit ressembler un bandeau qui respecte les exigences ?

Le guide du PFPDT donne des indications précises. Selon le cas :

Pour un simple opt-out (cas le plus fréquent en Suisse)

Une information claire sur les cookies utilisés et leurs finalités, accessible dès la première visite et lors des suivantes.
Un moyen de refuser qui s'exerce en quelques clics, sans parcours dissuasif.
Un refus qui bloque réellement les cookies concernés (à tester !).
Un lien vers la déclaration de confidentialité.

Un bandeau discret en bas de page suffit généralement. Le PFPDT recommande une fenêtre plus visible (pop-up) pour les traitements d'intensité plus élevée.

Pour un opt-in (consentement exprès)

Aucun cookie soumis au consentement avant l'action de l'utilisateur : le blocage doit être technique, pas seulement affiché.
Un acte positif : un clic clair. Le silence ou la poursuite de la navigation ne valent pas consentement.
Un choix par finalité : le PFPDT considère qu'une fenêtre qui ne propose que « tout accepter » ou « tout refuser » ne donne pas une déclaration de volonté suffisamment claire.
Pas de cases précochées difficiles à décocher : désélectionner ne doit pas être plus compliqué que sélectionner.
Pas de manipulation (dark patterns, nudging) : un bouton « refuser » caché, grisé ou enfoui dans un sous-menu peut rendre le consentement nul.
Une révocation aussi simple que le consentement : un lien permanent (par exemple en pied de page) pour modifier son choix.

Les erreurs les plus courantes sur les sites suisses

Copier un bandeau européen sans l'adapter. Il est souvent plus contraignant que ce que le droit suisse exige, ce qui fait perdre des données. C'est un choix possible (voir plus bas), à condition de le faire en connaissance de cause.
Afficher un bandeau qui ne bloque rien. Les cookies sont déposés dès l'arrivée sur la page, quel que soit le choix. C'est le défaut le plus fréquent, et le plus facile à constater.
Oublier la déclaration de confidentialité. Le bandeau ne la remplace pas : la nLPD exige une information complète (identité du responsable, finalités, destinataires, pays étrangers concernés).
Ne pas tenir compte des visiteurs européens. Un site qui vend ou communique vers la France, l'Allemagne ou l'Italie doit appliquer les règles de l'UE à ces visiteurs.
Ne jamais revoir la liste des cookies. Un nouveau plugin, une vidéo intégrée ou un pixel publicitaire ajoutent des cookies sans que personne ne le remarque.

Peut-on se dispenser de tout bandeau ?

Du seul point de vue de la LTC, oui : si votre site n'utilise que des cookies techniquement nécessaires, ou aucun cookie, la loi ne vous impose ni information spécifique ni droit de refus au titre de l'art. 45c. C'est le cas d'un site vitrine qui :

n'utilise aucun outil de mesure d'audience qui dépose des cookies ;
n'intègre ni pixel publicitaire, ni bouton de réseau social qui dépose des cookies tiers ;
intègre les vidéos en mode « deux clics » ou en mode sans cookie.

Une déclaration de confidentialité reste nécessaire dans tous les cas (nLPD). Et dès que vous voulez mesurer votre audience, la question de l'accord se repose, selon l'outil choisi et le public visé : le droit suisse pose un minimum, l'UE exige l'accord préalable, et un outil peut décider de s'imposer partout la règle la plus stricte.

C'est le choix d'AlpiStats, l'outil de statistiques suisse : il applique la règle la plus stricte à tous les visiteurs, en Suisse comme dans l'UE, et ne mesure l'audience qu'après l'accord du visiteur, dans ses deux modes. Le bandeau AlpiStats propose deux boutons identiques, « Accepter » et « Refuser », et un badge permanent permet de changer d'avis ; un site qui a déjà sa propre bannière peut la relier à AlpiStats. Si le visiteur refuse, aucune mesure d'audience AlpiStats n'est effectuée, sans repli vers un comptage plus simple. Le mode Essentiel mesure l'audience (pages, provenance, appareil, pays) sans identifiant persistant d'audience dans le navigateur. Le mode Complet y ajoute la reconnaissance des visiteurs qui reviennent, grâce à un identifiant aléatoire, sans cookie, gardé six mois au plus dans le navigateur ; les visites détaillées sont alors pseudonymisées. Retirer son accord par le badge arrête la mesure, efface l'identifiant et supprime les données pseudonymisées rattachées au visiteur. La contrepartie est assumée : les statistiques ne couvrent que les visiteurs qui ont accepté, elles ne sont pas exhaustives. Le choix du visiteur vaut six mois ; les données détaillées sont gardées six mois au plus, et seuls des totaux mensuels et quotidiens réellement anonymes sont conservés 25 mois. Les données de fréquentation sont hébergées et traitées en Suisse. En savoir plus sur les statistiques sans cookie.

Questions fréquentes

Le bandeau cookies est-il obligatoire en Suisse ?

Non, pas en tant que tel. Ce qui est obligatoire, c'est d'informer et de permettre de refuser les cookies non indispensables. Un bandeau est simplement le moyen le plus courant de le faire.

La Suisse est-elle en opt-in ou en opt-out ?

En opt-out pour la plupart des cookies. L'opt-in s'impose pour les données sensibles, le profilage à risque élevé, certains contenus et les organes fédéraux.

Faut-il un bouton « Refuser » sur le bandeau ?

En opt-out, il faut un moyen simple et visible de refuser ; un bouton est la solution la plus claire. En opt-in, le refus doit être aussi facile que l'acceptation.

Les cookies de Google Analytics sont-ils « nécessaires » ?

Non. Ce sont des cookies de mesure d'audience. En Suisse, ils demandent au minimum une information et un droit de refus.

Quelle amende en cas de non-respect ?

L'art. 45c LTC est assorti d'une amende. La nLPD prévoit en outre des amendes jusqu'à CHF 250'000 contre les personnes physiques responsables, notamment en cas de violation intentionnelle du devoir d'information.