Droit · 7 novembre 2026 · 5 min de lecture
Suivi de sites web en Suisse : revDSG et FMG
Ce qui s'applique aux cookies et au suivi en Suisse : revDSG depuis le 1.9.2023, art. 45c FMG, devoir d'information art. 19 DSG et quand le RGPD s'ajoute.
En Suisse, un autre modèle qu'en Allemagne et en Autriche s'applique aux cookies et au suivi. Il n'existe pas d'obligation générale de consentement pour chaque script. Il existe en revanche des obligations d'information et de possibilité de refus. Dans certains cas, un consentement est malgré tout nécessaire. Cet article classe les règles et montre quand les entreprises suisses doivent en plus respecter le RGPD.
Deux lois qui agissent ensemble
La loi sur la protection des données (DSG). La DSG entièrement révisée, en français LPD, est en vigueur depuis le 1er septembre 2023. Elle régit tout traitement de données personnelles, y compris avec des cookies et des techniques similaires. Le texte figure sur Fedlex.
La loi sur les télécommunications (FMG). L'art. 45c FMG, en français LTC, est une règle spéciale pour le stockage et la lecture sur des appareils tiers et s'applique depuis 2007. Selon le guide du Préposé fédéral à la protection des données et à la transparence (PFPDT, en allemand EDÖB), les exploitants de sites web doivent informer les visiteurs de l'utilisation de telles technologies et de la finalité. Ils doivent en outre indiquer que et comment les visiteurs peuvent refuser le traitement. Les deux lois s'appliquent l'une à côté de l'autre. Vous trouvez la FMG chez Fedlex.
Ce que cela signifie en pratique
Le PFPDT a publié en 2025 un guide sur les cookies et technologies similaires, dans une version remaniée en octobre 2025. Ce n'est pas une source de droit, mais il montre comment l'autorité lit les lois. Trois éléments en découlent.
- Information. Selon l'art. 19 DSG, vous devez informer les personnes concernées lors de la collecte de données personnelles. Indiquez le responsable, la finalité et le cas échéant les destinataires. Là où des tiers collectent des données via votre site à leurs propres fins, cela doit aussi être révélé.
- Pouvoir refuser. Dans la mesure où un consentement n'est pas nécessaire, les visiteurs doivent pouvoir s'opposer à l'utilisation de cookies non nécessaires. Le guide exige que cette possibilité soit aménagée de façon bien visible et de bonne foi. De plus, l'utilisation doit d'ici là être limitée par des préréglages au minimum nécessaire.
- Consentement dans certains cas. Le PFPDT considère un consentement comme nécessaire par exemple en cas de suivi particulièrement intrusif, comme le profilage à haut risque. Là où il est nécessaire, il doit être exprès.
Une mise en balance des intérêts est construite différemment en droit suisse que dans le RGPD. La DSG n'exige pas de base juridique pour chaque traitement pour les responsables privés. Ce n'est que si un traitement porte atteinte à la personnalité qu'il faut un motif justificatif comme le consentement ou un intérêt prépondérant (art. 30 et 31 DSG).
Suisse, Allemagne et Autriche en comparaison
| Suisse | Allemagne | Autriche | |
|---|---|---|---|
| Règle pour l'appareil terminal | Art. 45c FMG | § 25 TDDDG | § 165, al. 3 TKG 2021 |
| Modèle de base | Information et possibilité de refus | Consentement | Consentement |
| Consentement nécessaire ? | Seulement dans certains cas | En principe | En principe |
| Règle générale de protection des données | DSG | RGPD | RGPD |
Les règles des deux pays voisins sont expliquées dans § 25 TDDDG : cookies et suivi en Allemagne et Cookies en Autriche : le § 165 TKG 2021 expliqué.
Quand le droit de l'UE s'applique malgré tout
Une entreprise suisse peut aussi relever du RGPD. L'art. 3, par. 2 RGPD vise les responsables sans établissement dans l'UE lorsque le traitement est lié
- à l'offre de biens ou de services à des personnes concernées dans l'Union, ou
- au suivi de leur comportement, dans la mesure où il a lieu dans l'Union.
C'est ce qu'on appelle le principe du lieu de marché. Une boutique en ligne de Zurich qui livre ciblément l'Allemagne ou l'Autriche offre des biens dans l'Union. Un site purement suisse sans orientation vers des utilisateurs de l'UE ne remplit plutôt pas la condition, mais c'est une question de cas particulier. Savoir si la monnaie, la langue, les pays de livraison et la publicité visent l'UE fournit des indices typiques.
Savoir si les règles sur les cookies d'un pays de l'UE s'appliquent en plus dépend du cas particulier. Clarifiez-le avec votre conseil en protection des données si votre offre vise ciblément l'UE.
Liste de contrôle pour les sites suisses
- Recensez tous les scripts et finalités de votre site.
- Informez dans la déclaration de confidentialité selon l'art. 19 DSG, y compris sur les tiers.
- Affichez un avis bien visible avec possibilité de refus.
- Recueillez un consentement exprès si vous pratiquez un profilage à haut risque.
- Vérifiez si vous adressez des offres à des personnes dans l'UE. Le RGPD s'applique alors en plus.
Questions fréquentes
N'ai-je pas besoin de bannière de cookies en Suisse ? Il n'existe pas d'obligation générale de bannière de consentement. Vous devez toutefois informer et permettre le refus. Dans la pratique, cela se fait souvent par une bannière. Pour les groupes cibles dans l'UE, elle est de toute façon courante.
Un simple avis sans option de refus suffit-il ? Selon le guide du PFPDT, non, si des cookies non nécessaires sont posés. L'avis doit aussi expliquer comment les visiteurs peuvent refuser. Comment le faire techniquement, la loi ne le détermine pas.
La revDSG s'applique-t-elle aussi aux données d'entreprises ? La DSG protège les données personnelles de personnes physiques. Les données de personnes morales n'en relèvent plus depuis la révision. Qui reconnaît une entreprise mais pas une personne ne touche donc la DSG que dans la mesure où les indications se rapportent à une personne identifiable. Plus sur la délimitation dans Reconnaissance des visiteurs et RGPD : une analyse sobre.
