Ouvrir l'espace

Guide · Réglementation suisse

FADP : la loi suisse sur les données expliquée pour ceux qui vivent de la publicité

La Suisse ne fait pas partie de l'Union européenne et a sa propre loi sur les données, révisée en 2023. Elle est plus souple que le GDPR sur certains points et plus dure sur un autre : l'amende frappe la personne responsable. Voyez ce qui s'applique aux cookies, aux bannières et aux publicités Google avec des visiteurs suisses.

Auditer mon trafic de SuisseLire le guide
  • ✓Basé sur la loi fédérale et sur les orientations officielles du régulateur suisse
  • ✓Exemples de sites avec publicités, y compris brésiliens
  • ✓Lecture sans modifier le site
CHF 250 000amende maximale, appliquée à la personne responsable et non à l'entreprise
2023année où la loi révisée est entrée en vigueur, le 1er septembre, sans période d'adaptation
250employés : en dessous de ce seuil, les entreprises avec un traitement à faible risque peuvent se dispenser du registre des activités
CHF 5 000amende maximale de la loi sur les télécommunications pour qui ne respecte pas la règle des cookies

Définition

Une loi propre, proche du GDPR, mais pas identique

La Loi fédérale sur la protection des données de la Suisse, connue sous le sigle FADP en anglais, nLPD en français et nDSG en allemand, a été révisée par le Parlement en 2020 et est entrée en vigueur le 1er septembre 2023. La nouvelle version a rapproché la loi suisse du GDPR européen, mais a gardé une logique propre.

Dans le GDPR, tout traitement de données personnelles a besoin d'une base juridique. En Suisse, le traitement est permis tant qu'il respecte les principes de la loi, comme la transparence, la finalité et la proportionnalité. Le motif justificatif, comme le consentement ou l'intérêt prépondérant, n'est exigé que lorsque le traitement porte atteinte à ces principes ou à la personnalité de la personne.

Le contrôle revient au Préposé fédéral à la protection des données et à la transparence, le FDPIC, appelé PFPDT en français et EDÖB en allemand. Il enquête, donne des ordres et publie des orientations, mais n'inflige pas d'amendes. Les amendes sont pénales et relèvent des autorités des cantons.

Les cookies suivent aussi une règle de la loi sur les télécommunications. Elle exige que le site informe de l'utilisation et de la finalité des cookies et offre au visiteur la possibilité de les refuser. L'orientation du FDPIC explique comment ces deux lois se combinent.

Checklist

Ce que vous devez respecter

Voici les points que les orientations du PFPDT et Google exigent d'un site avec publicités qui reçoit des visiteurs de Suisse.

  1. Utilisez une CMP certifiée par Google

    Depuis le 31 juillet 2024, Google exige une CMP certifiée et intégrée à l'IAB TCF pour afficher des annonces personnalisées en Suisse. Sans elle, le trafic suisse ne peut recevoir que des annonces non personnalisées ou limitées.

    Exemple

    Incluez la Suisse dans les régions de la CMP, car elle ne fait partie ni de l'Union européenne ni de l'EEE.

  2. Permettez toujours de refuser les cookies

    Le PFPDT indique que le site doit toujours donner au visiteur la possibilité de refuser les cookies non essentiels. L'option de refus doit apparaître clairement.

    Exemple

    Le bandeau affiche un bouton Refuser visible, et pas seulement un petit lien dans le texte.

  3. N'utilisez pas un bandeau avec seulement tout accepter

    Pour le PFPDT, une fenêtre qui ne permet que de tout accepter n'est pas une déclaration claire de consentement. C'est encore plus grave quand elle mélange cookies essentiels et cookies qui exigent un consentement.

  4. Demandez un consentement explicite dans les cas à haut risque

    Les données sensibles et le profilage à haut risque exigent un consentement explicite. Le PFPDT explique que le suivi publicitaire sur plusieurs sites peut atteindre ce niveau. En cas de doute, vérifiez avec votre service juridique.

    Exemple

    Les cookies publicitaires de tiers ne sont enregistrés qu'après un clic actif sur accepter.

  5. Informez au moment de la collecte

    Le visiteur doit être informé lorsque les données sont collectées, par niveaux, avec l'essentiel en premier. Il ne suffit pas de placer la politique de confidentialité dans un coin caché du site.

    Exemple

    Le bandeau résume l'utilisation des cookies et mène en un clic à la politique complète.

  6. Dites qui reçoit les données et dans quel pays

    La politique doit indiquer quand les données vont à des tiers ou à des prestataires, avec la finalité. Si les données quittent la Suisse, le pays de destination doit aussi être indiqué.

    Exemple

    Dans la politique : nous utilisons Google et d'autres régies publicitaires, et les données peuvent être envoyées aux États-Unis.

  7. Ne compliquez pas le retrait du consentement

    Exiger beaucoup plus d'efforts pour retirer le consentement que pour le donner porte atteinte au caractère libre du consentement, selon le PFPDT. Les cases précochées ne sont acceptées que là où un consentement explicite n'est pas exigé.

    Exemple

    Un lien fixe dans le pied de page rouvre les préférences en un clic.

En pratique

Ce qui est correct et ce qui ne l'est pas

Outils officiels

CMP certifiées et liens officiels

Pour des annonces personnalisées en Suisse, Google exige une CMP certifiée, et voici les pages officielles pour choisir et configurer.

À qui elle s'applique et définitions

Ce que couvre la loi

La loi regarde l'effet en Suisse, pas l'adresse de l'entreprise. Voici les concepts qui pèsent le plus pour un site avec publicités.

Effet en Suisse

La loi s'applique aux situations qui produisent un effet dans le pays, même si le site est hébergé et administré ailleurs.

Personnes physiques uniquement

La nouvelle version ne protège que les données de personnes physiques. Les données d'entreprises ne sont plus couvertes.

Données sensibles

Elles incluent la santé, l'origine ethnique, la religion, l'opinion politique, les données génétiques et biométriques et les procédures pénales. Elles exigent des précautions et, souvent, un consentement exprès.

Profilage à risque élevé

C'est le croisement de données qui permet d'évaluer des aspects essentiels de la personnalité de quelqu'un. Le suivi publicitaire entre plusieurs sites peut atteindre ce niveau.

Responsable du traitement et sous-traitant

Le responsable du traitement décide de la finalité et des moyens, comme le propriétaire du site. Le sous-traitant traite des données en son nom, comme un hébergeur.

Représentant en Suisse

Les entreprises étrangères qui offrent des produits ou surveillent des personnes dans le pays doivent avoir un représentant local quand le traitement est régulier, à grande échelle et à risque élevé.

Consentement et cookies

Quand il suffit d'informer et quand il faut demander

La règle de base pour les cookies en Suisse est d'informer et de laisser refuser. Le site doit indiquer, au moment de la collecte, qu'il utilise des cookies et pour quoi, et rappeler au visiteur qu'il peut dire non. L'orientation du FDPIC précise que le droit de refuser est obligatoire dans tous les scénarios.

Le consentement exprès, avec un clic actif sur un bouton ou une case, est exigé dans les cas à risque plus élevé : traitement de données sensibles et profilage à risque élevé. Il vaut aussi pour les sites à contenu politique, syndical ou religieux quand les cookies vont au-delà de ce qui est attendu.

La version actualisée de l'orientation, publiée en octobre 2025, traite de la publicité. Elle explique que les cookies tiers répartis sur plusieurs sites, qui livrent des données de visiteurs en échange d'un paiement, peuvent constituer un profilage à risque élevé. Si le site ne peut pas écarter ce risque, il doit le considérer comme élevé et demander un consentement exprès.

Concernant la bannière, le FDPIC indique qu'une fenêtre qui propose uniquement de tout accepter ne produit pas de consentement clair, que le refus doit être visible et que retirer son consentement ne peut pas être plus difficile que de le donner. Les cases précochées ne sont acceptées que pour des usages qui n'exigent pas de consentement exprès.

Droits des personnes

Ce que le visiteur suisse peut demander

Le site doit avoir un contact pour recevoir les demandes et répondre dans le délai.

Accès

Savoir si le site traite des données sur la personne et recevoir les informations prévues par la loi, en règle générale dans un délai de 30 jours et gratuitement.

Rectification et suppression

Demander que les données erronées soient corrigées et que les données traitées de façon irrégulière soient effacées.

Opposition

S'opposer à un traitement, y compris refuser les cookies. Pour la loi sur les télécommunications, ce refus doit toujours être possible.

Portabilité

Recevoir les données qu'on a fournies dans un format électronique courant ou demander qu'elles soient envoyées à une autre entreprise.

Révision humaine

Être informé des décisions prises uniquement par un système qui ont un effet important et demander qu'une personne les réexamine.

Information à la collecte

Être informé de qui collecte, pour quoi, avec qui les données sont partagées et vers quels pays elles vont.

Obligations

Ce qu'un site avec des visiteurs suisses doit faire

  1. Informer au moment de la collecteAyez une politique de confidentialité avec l'identité et le contact du responsable, les finalités, les destinataires et les pays vers lesquels les données vont. L'orientation demande une information en couches, avec l'essentiel d'abord, et jamais cachée dans un coin de la page.
  2. Offrir le refus des cookiesAffichez un avis de cookies avec une option claire de refus. Pour les publicités avec suivi entre sites, privilégiez le consentement exprès, qui est aussi ce que Google exige pour les publicités personnalisées.
  3. Commencer par le minimumLa loi demande la protection dès la conception et par défaut. En pratique, rien qui ne soit pas essentiel ne doit s'exécuter simplement parce que la page s'est chargée.
  4. Évaluer le risqueFaites une analyse d'impact avant les traitements à risque élevé et tenez un registre des activités, sauf si l'entreprise a moins de 250 employés et uniquement des traitements à faible risque.
  5. Signaler les fuitesInformez le FDPIC dès que possible quand une fuite peut présenter un risque élevé pour les personnes, et prévenez les personnes concernées quand c'est nécessaire pour les protéger.
  6. Encadrer les transfertsL'envoi de données hors de Suisse exige un pays offrant une protection adéquate ou des garanties comme des clauses contractuelles. Pour les États-Unis, les entreprises certifiées au Swiss-U.S. Data Privacy Framework sont acceptées depuis le 15 septembre 2024.

Contrôle et amendes

En Suisse, c'est la personne qui paie

Contrairement au GDPR, l'amende suisse n'est pas calculée sur le chiffre d'affaires de l'entreprise. Elle est pénale et vise l'individu qui a décidé ou commis l'infraction.

Jusqu'à CHF 250 000

Amende pour la personne physique responsable qui viole, intentionnellement, des obligations comme informer, répondre aux demandes d'accès ou protéger les données lors de leur transfert.

L'entreprise seulement par exception

Quand retrouver la personne responsable exigerait une enquête disproportionnée, l'entreprise peut être sanctionnée à sa place, à condition que l'amende ne dépasse pas CHF 50 000.

Ordres du FDPIC

Le préposé enquête et peut ordonner que le traitement soit corrigé, suspendu ou que les données soient effacées. Désobéir à l'ordre est aussi une infraction.

Règle des cookies

La loi sur les télécommunications prévoit une amende pouvant aller jusqu'à CHF 5 000 pour qui ne respecte pas, intentionnellement ou par négligence, l'obligation d'informer et de laisser refuser.

Chronologie

Les dates qui comptent

De l'adoption de la loi révisée à la mise à jour la plus récente de l'orientation sur les cookies.

  1. 25 septembre 2020

    Loi révisée adoptée

    Le Parlement suisse adopte la révision complète de la loi sur la protection des données.

  2. 1er septembre 2023

    Entrée en vigueur

    La nouvelle loi et l'ordonnance qui la réglemente commencent à s'appliquer, sans période de transition pour la plupart des règles.

  3. 31 juillet 2024

    Google exige une CMP certifiée

    Pour les publicités personnalisées aux visiteurs de la Suisse, AdSense et Ad Manager exigent désormais une CMP certifiée et intégrée à l'IAB TCF.

  4. 15 septembre 2024

    Accord avec les États-Unis

    Les entreprises américaines certifiées au Swiss-U.S. Data Privacy Framework sont désormais considérées comme une destination adéquate pour les données.

  5. Janvier 2025

    Orientation sur les cookies

    Le FDPIC publie l'orientation sur le traitement de données avec des cookies et des technologies similaires.

  6. Octobre 2025

    Orientation actualisée

    La version 1.1 détaille la publicité personnalisée, les données de localisation et le modèle payer ou accepter.

Pour ceux qui ont AdSense ou Ad Manager

Ce qui change concrètement pour les revenus

Depuis le 31 juillet 2024, Google exige pour les visiteurs de la Suisse la même chose que pour l'Espace économique européen et le Royaume-Uni : une CMP certifiée et intégrée à l'IAB TCF. Sans elle, le trafic suisse ne reçoit que des publicités non personnalisées ou limitées.

Cela signifie que, même si la loi suisse se contente d'informer et de laisser refuser dans certains cas, celui qui veut des publicités personnalisées de Google a besoin d'un consentement enregistré dans la TC string. En pratique, la norme de Google finit par être la plus exigeante.

Un exemple courant : un site brésilien d'offres d'emploi en français qui reçoit des visiteurs de Genève et de Lausanne. Si la CMP a été configurée uniquement pour l'Union européenne, la Suisse est laissée de côté, car elle n'est membre ni de l'Union ni de l'EEE. Le résultat est un trafic suisse sans TC string et avec des publicités limitées.

Le Message de confidentialité d'AdSense et d'Ad Manager est déjà certifié et permet d'inclure la Suisse. Avec une autre CMP, vérifiez que la Suisse figure dans la liste des régions et que Google est parmi les fournisseurs.

En pratique

Ce qui est permis et ce qui ne l'est pas avec des visiteurs suisses

Exemples du quotidien de sites de contenu, d'offres d'emploi et de finance avec un public en Suisse.

Autorisé

  • Utiliser des cookies essentiels, comme celui qui conserve le choix de la bannière, sans demander de consentement
  • Informer de l'utilisation des cookies en couches, avec le résumé dans la bannière et le détail dans la page de confidentialité
  • Inclure la Suisse dans la même configuration de CMP que celle utilisée pour l'EEE et le Royaume-Uni
  • Afficher des publicités non personnalisées à ceux qui ont refusé
  • Proposer un lien permanent dans le pied de page pour que le visiteur change son choix

Interdit

  • Afficher une bannière avec uniquement le bouton tout accepter
  • Déclencher des pixels de remarketing tiers avant toute réponse
  • Oublier la Suisse parce qu'elle ne fait pas partie de l'Union européenne
  • Rendre le retrait du consentement plus difficile que l'acceptation
  • Cacher la politique de confidentialité dans un coin difficile à trouver

Erreurs courantes

Où les sites trébuchent le plus

Défauts qui apparaissent fréquemment sur les sites avec du trafic suisse.

Suisse absente de la liste des régions

La CMP affiche le message pour l'Union européenne, mais pas pour la Suisse. Google reçoit des demandes sans consentement valide et limite les publicités.

Se fier uniquement à l'opt-out

La loi accepte d'informer et de laisser refuser dans certains cas, mais le suivi publicitaire entre sites peut exiger un consentement exprès, et Google exige un consentement pour personnaliser.

Croire que l'amende est un problème de l'entreprise

En Suisse, l'amende pénale frappe la personne qui a décidé. Le propriétaire du site, le gestionnaire ou le responsable technique peuvent en répondre personnellement.

Politique sans pays de destination

La loi exige d'indiquer vers quels pays les données vont. Beaucoup de textes citent Google et oublient de dire que les données quittent la Suisse.

Bannière qui ne reconnaît pas le refus

Le visiteur clique sur refuser et les cookies publicitaires sont toujours là. L'orientation indique qu'un refus empêché par le site ne peut pas être utilisé contre le visiteur.

Payer ou accepter sans précaution

Conditionner l'accès à l'acceptation du suivi ou au paiement d'un abonnement est traité dans l'orientation avec des conditions propres. Copier le modèle d'un autre pays sans le revoir est risqué.

Dans ConsentMode

Ce que l'audit vérifie pour la Suisse

  • Ouvre le site comme un visiteur de la Suisse et note si la bannière apparaît, quels boutons elle propose et si le refus est visible.
  • Identifie la CMP grâce au code de la page et vérifie si elle figure dans la liste des CMP certifiées de Google.
  • Lit la TC string et les signaux de Consent Mode envoyés dans les demandes de publicité.
  • Compare les cookies et les requêtes réseau avant et après le choix et signale ce qui se déclenche trop tôt.
  • Vérifie que la politique de confidentialité indique le responsable, les finalités, les destinataires et les pays de destination.
Lancer un auditVoir tout ce qui est vérifié

Questions fréquentes

Mon site est brésilien. La loi suisse s'applique-t-elle à moi ?

La loi couvre les situations ayant un effet en Suisse, même lorsqu'elles sont initiées à l'étranger. Si le site suit des visiteurs suisses pour la publicité, il y a un effet dans le pays. Et Google exige une CMP certifiée pour personnaliser les publicités pour ce public, quel que soit l'endroit où se trouve le site.

En Suisse, la bannière peut-elle être uniquement informative ?

Pour les cookies à faible risque, la loi accepte d'informer et d'offrir le refus. Pour le suivi publicitaire entre sites, les données sensibles ou le profilage à risque élevé, un consentement exprès est nécessaire. Pour les publicités personnalisées de Google, la CMP certifiée avec consentement est obligatoire.

Qui contrôle et qui inflige les amendes ?

Le FDPIC enquête, oriente et peut donner des ordres. Les amendes sont infligées par les autorités pénales des cantons.

L'amende peut-elle atteindre le propriétaire du site ?

Oui. L'amende pouvant aller jusqu'à CHF 250 000 est infligée à la personne physique responsable de la violation intentionnelle. L'entreprise n'est sanctionnée que dans des cas exceptionnels.

Ai-je besoin d'un représentant en Suisse ?

Seulement si l'entreprise se trouve hors du pays et traite des données de personnes en Suisse de manière régulière, à grande échelle et à risque élevé. La plupart des sites de contenu petits et moyens n'atteignent pas ce niveau, mais cela vaut la peine d'évaluer.

J'utilise la même CMP que pour le GDPR. Ai-je besoin d'autre chose ?

Normalement non. Il suffit de confirmer que la Suisse figure dans les régions configurées et que les textes de la bannière et de la politique répondent aussi à la loi suisse, comme la mention des pays de destination.

Bibliothèque

Sources officielles

Ce guide a été rédigé à partir de ces pages officielles. Lisez directement à la source :

Voyez comment votre site apparaît à un visiteur suisse

L'audit ouvre le site depuis la Suisse, enregistre la bannière, la TC string et les cookies, et montre ce qu'il faut corriger, sans rien modifier.

Lancer l'audit