Site suisse et visiteurs européens : nLPD, RGPD, ou les deux ?

L'équipe AlpiStats · Publié le 16 octobre 2026 · Mis à jour le 17 octobre 2026

Réponse courte : souvent les deux. Une entreprise suisse reste soumise à la nLPD, mais le RGPD s'applique aussi à elle si elle propose des biens ou des services à des personnes dans l'UE, ou si elle suit leur comportement en ligne (art. 3 al. 2 RGPD). Pour ces visiteurs, les règles européennes sur les cookies exigent en principe un consentement préalable pour tout cookie non indispensable, mesure d'audience comprise, alors que la Suisse se contente d'un droit de refus. La solution la plus simple : appliquer les règles européennes à tous les visiteurs, avec votre propre bandeau ou avec un outil qui le fait d'emblée (au prix de statistiques limitées aux visiteurs qui acceptent).

Dernière vérification des sources : 16 octobre 2026. Texte mis à jour le 17 octobre 2026 (régime d'AlpiStats). Cet article informe ; il ne remplace pas un avis juridique.

Quand le RGPD s'applique-t-il à une entreprise suisse ?

Le Règlement général sur la protection des données (RGPD) s'applique d'abord aux organisations établies dans l'UE. Une entreprise sans établissement dans l'UE y est aussi soumise dans deux cas (art. 3 al. 2 RGPD) :

Elle offre des biens ou des services à des personnes qui se trouvent dans l'UE, gratuitement ou non.
Elle suit le comportement de ces personnes, dans la mesure où ce comportement a lieu dans l'UE.

Le critère de l'offre ciblée

Le simple fait que votre site soit accessible depuis Lyon ou Munich ne suffit pas. Ce qui compte, selon les lignes directrices du Comité européen de la protection des données (CEPD), c'est l'intention de viser des personnes dans l'UE. Les indices typiques :

prix affichés en euros, livraison ou prestation dans un pays de l'UE ;
version linguistique ou nom de domaine destinés à un pays de l'UE (.fr, .de) ;
campagnes publicitaires ciblant des pays de l'UE ;
mention de clients ou de numéros de téléphone dans l'UE.

Une PME vaudoise qui livre en France, un hôtel valaisan qui fait de la publicité en Allemagne ou un éditeur de logiciel genevois qui vend en euros sont typiquement concernés. Un artisan qui ne travaille qu'en Suisse romande, en général non.

Le critère du suivi du comportement

Le CEPD considère que le suivi en ligne d'une personne, notamment par des cookies ou des techniques similaires, pour analyser ou prédire son comportement, peut constituer un « suivi du comportement ». Les outils publicitaires et de profilage sont clairement visés. Pour une simple mesure d'audience agrégée, la question est plus débattue, mais le risque n'est pas nul dès que l'outil reconnaît les visiteurs d'une visite à l'autre.

Ce que cela change concrètement

1. Les cookies : consentement préalable pour les visiteurs de l'UE

Dans l'UE, les cookies relèvent de la directive « ePrivacy », transposée dans chaque pays (en France, l'article 82 de la loi Informatique et Libertés). Règle générale : tout cookie non indispensable exige un consentement préalable, donné par un acte positif, avec un refus aussi simple que l'acceptation.

La mesure d'audience n'échappe pas à cette règle, sauf exemptions nationales étroites. La CNIL, par exemple, dispense de consentement les outils de mesure d'audience qui respectent des conditions strictes : finalité limitée à la mesure du site lui-même, données servant uniquement à produire des statistiques anonymes, pas de recoupement avec d'autres traitements, pas de suivi sur d'autres sites, durée de vie des traceurs et durée de conservation limitées. Google Analytics, dans sa configuration standard, ne remplit pas ces conditions.

	Visiteurs en Suisse	Visiteurs dans l'UE
Cookies techniquement nécessaires	Pas de consentement	Pas de consentement
Mesure d'audience avec cookies	Information + droit de refus	Consentement préalable (sauf exemption nationale stricte)
Publicité, profilage	Opt-out ou opt-in selon le risque	Consentement préalable
Outil sans cookie ni accès à l'appareil	Information dans la déclaration de confidentialité	Pas de règle cookies ; le RGPD s'applique s'il y a données personnelles

2. La déclaration de confidentialité

Le RGPD exige une information plus détaillée que la nLPD, notamment la base juridique de chaque traitement (consentement, intérêt légitime, contrat…) et la durée de conservation. Une déclaration rédigée pour satisfaire le RGPD couvre en général aussi la nLPD ; l'inverse n'est pas vrai.

3. Un représentant dans l'UE

Une entreprise suisse soumise au RGPD au titre de l'article 3 al. 2 doit en principe désigner un représentant établi dans l'UE (art. 27 RGPD). Une exception existe pour les traitements occasionnels, qui ne portent pas à grande échelle sur des données sensibles et ne présentent pas de risque pour les personnes. Beaucoup de PME suisses ignorent cette obligation.

4. Les transferts de données vers la Suisse

Bonne nouvelle : la Commission européenne reconnaît la Suisse comme pays offrant un niveau de protection adéquat, et a confirmé cette décision en janvier 2024. Les données de visiteurs européens peuvent donc être hébergées en Suisse sans garanties supplémentaires.

Trois façons de s'organiser

Option 1 : un bandeau différent selon le pays du visiteur.
Les plateformes de gestion du consentement (CMP) savent afficher un opt-out en Suisse et un opt-in dans l'UE. C'est la solution qui préserve le plus de données, mais elle est plus complexe à configurer et à tester, et la géolocalisation n'est pas toujours fiable (VPN, frontaliers).

Option 2 : appliquer les règles européennes à tout le monde.
Un seul bandeau opt-in pour tous les visiteurs. Simple et prudent, mais vous perdez une partie des statistiques de vos visiteurs suisses, qui n'avaient pas besoin de consentir.

Option 3 : choisir un outil qui applique d'emblée la règle la plus stricte pour tous.
Un outil de mesure qui demande l'accord de chaque visiteur avant toute mesure, quel que soit son pays, vous évite de gérer deux régimes ou de deviner la localisation des visiteurs, et n'a qu'un seul fonctionnement à décrire dans votre déclaration de confidentialité. L'inconvénient est assumé : les statistiques ne couvrent que les visiteurs qui acceptent, et ne sont jamais exhaustives. À combiner avec des vidéos en mode « deux clics » et l'absence de pixels publicitaires sur les pages courantes.

Ce qui pourrait bouger côté UE

En novembre 2025, la Commission européenne a proposé, dans un paquet appelé Digital Omnibus, d'intégrer les règles sur les cookies dans le RGPD. Le texte prévoit notamment une exemption de consentement pour une mesure d'audience agrégée, réalisée par l'exploitant pour son propre service et à usage interne. Les outils qui suivent les visiteurs à travers plusieurs services ou clients resteraient soumis au consentement. Il s'agit d'une proposition, encore en négociation : rien ne change tant qu'elle n'est pas adoptée et entrée en application.

Comment AlpiStats gère ce cas

AlpiStats, l'outil de statistiques suisse, applique la règle la plus stricte à tous les visiteurs, en Suisse comme dans l'UE : aucune différence de traitement selon le pays, aucune détection géographique. La mesure d'audience n'a lieu qu'après l'accord du visiteur, dans ses deux modes, avec le bandeau AlpiStats (boutons « Accepter » et « Refuser » identiques, badge permanent pour changer d'avis) ou avec votre propre bannière reliée à AlpiStats. Si le visiteur refuse, aucune mesure d'audience AlpiStats n'est effectuée, et il n'y a aucun repli vers un comptage plus simple. Le mode Essentiel mesure l'audience (pages, provenance, appareil, pays) sans identifiant persistant d'audience dans le navigateur. Le mode Complet y ajoute la reconnaissance des visiteurs qui reviennent, grâce à un identifiant aléatoire, sans cookie, gardé six mois au plus dans le navigateur ; les visites détaillées sont alors pseudonymisées. Le visiteur peut retirer son accord à tout moment par le badge : la mesure s'arrête, l'identifiant est effacé et les données pseudonymisées qui lui sont rattachées sont supprimées. Les statistiques ne couvrent que les visiteurs qui ont accepté et ne sont pas exhaustives. Les données de fréquentation sont hébergées et traitées en Suisse. Découvrir AlpiStats.

Questions fréquentes

Mon entreprise est en Suisse, le RGPD peut-il vraiment s'appliquer à moi ?

Oui, si vous ciblez des personnes dans l'UE (offre de biens ou de services) ou suivez leur comportement en ligne. L'emplacement de l'entreprise ne suffit pas à l'exclure.

Suffit-il d'avoir quelques visiteurs français pour être soumis au RGPD ?

Non. Des visites occasionnelles sur un site qui ne vise pas l'UE ne suffisent pas. Ce qui compte est l'intention de s'adresser à des personnes dans l'UE.

Faut-il le consentement des visiteurs européens pour Google Analytics ?

Oui, en règle générale : ses cookies ne sont pas indispensables et sa configuration standard ne remplit pas les conditions des exemptions nationales.

Puis-je héberger les données de visiteurs européens en Suisse ?

Oui. L'UE reconnaît la Suisse comme pays adéquat ; aucun mécanisme de transfert supplémentaire n'est nécessaire.

Quelle loi est la plus stricte ?

Pour les cookies et l'information des personnes, le RGPD et les règles ePrivacy sont plus exigeants que le droit suisse. Respecter le RGPD couvre généralement aussi la nLPD sur ces points.