Cookies et traçage : règles pour les sites d'entreprise

Chaque site d’entreprise utilise des cookies et des outils de traçage, souvent sans que celui qui le gère sache exactement quelles règles s’appliquent. En Suisse, le cadre diffère de celui de l’Europe, mais il n’est pas pour autant permissif : la nouvelle loi sur la protection des données impose des obligations précises, et pour de nombreuses entreprises suisses s’ajoute aussi le RGPD. Clarifier ce qui est réellement nécessaire évite les bannières inutiles d’un côté et les violations de l’autre. Voyons le cadre de manière pratique.

Le cadre suisse : la nouvelle LPD

Depuis le 1er septembre 2023 est en vigueur la nouvelle Loi fédérale sur la protection des données (LPD), qui a modernisé les règles suisses en les rapprochant des standards européens sans les copier. La logique de fond : le traitement de données personnelles est licite, mais il doit être transparent et respecter les principes de finalité et de proportionnalité.

Les cookies et les outils de traçage collectent des données personnelles (comportements de navigation, adresse IP, identifiants). Ils tombent donc sous la LPD et imposent, au minimum, une obligation d’information claire envers l’utilisateur.

Consentement préalable : ce que dit le modèle suisse

C’est là que réside la différence la plus importante avec l’Europe. Le modèle suisse est conçu de manière moins rigide que le consentement préalable obligatoire qui caractérise l’approche de l’UE pour de nombreux cookies non essentiels.

En termes pratiques, le droit suisse valorise la transparence : l’utilisateur doit être informé de manière compréhensible sur quelles données sont collectées, à quelles fins et par qui. Pour certains traitements, la loi prévoit en outre la possibilité de s’opposer (opt-out). Cela ne signifie pas « aucune obligation » : cela signifie que l’accent est mis sur l’information et sur la possibilité de contrôle, plus que sur le consentement préalable généralisé.

Attention toutefois : c’est là la lecture sur le seul plan suisse. Pour beaucoup d’entreprises, cela ne suffit pas.

Pourquoi le RGPD concerne aussi de nombreuses entreprises suisses

Le Règlement européen RGPD a une portée extraterritoriale. Il s’applique aussi à une entreprise établie en Suisse lorsque celle-ci offre des biens ou des services à des personnes dans l’Union européenne ou surveille leur comportement.

Concrètement, si un site d’entreprise suisse :

s’adresse aussi à des clients dans l’UE (langues, monnaies, livraisons) ;
trace les visiteurs européens avec des outils d’analyse ou de profilage ;

alors il est réaliste qu’il doive respecter aussi le RGPD, qui, pour les cookies non techniques, exige en général un consentement préalable, libre et spécifique, recueilli au moyen d’une bannière offrant une réelle possibilité de refus.

C’est pourquoi de nombreux sites suisses adoptent une bannière de consentement de style européen : non parce que la LPD l’impose toujours, mais parce que leur public inclut des utilisateurs de l’UE.

Les types de cookies : distinguer est la clé

Tous les cookies ne se valent pas, et la distinction détermine les obligations.

Cookies techniques / nécessaires : indispensables au fonctionnement du site (session, panier, sécurité). Ce sont les moins problématiques.
Cookies d’analyse / statistique : ils mesurent le trafic et le comportement des utilisateurs.
Cookies de marketing / profilage : ils construisent des profils pour une publicité ciblée, souvent de tiers.

Plus le cookie se déplace vers le profilage et les tiers, plus grandit l’exigence d’une information détaillée et, lorsque le RGPD s’applique, d’un consentement préalable.

Ce que doit avoir un site d’entreprise conforme

Un dispositif solide, qui tient ensemble la LPD et — là où c’est nécessaire — le RGPD, repose sur quelques éléments :

une déclaration de protection des données claire et à jour, indiquant quelles données sont collectées, à quelles fins, qui sont les destinataires et comment exercer ses droits ;
une politique de cookies qui énumère les cookies utilisés, leur fonction et leur durée ;
une bannière qui, si le public inclut des utilisateurs de l’UE, permette d’accepter ou de refuser les cookies non essentiels avec la même facilité ;
une attention aux transferts de données à l’étranger, thème central lorsqu’on utilise des outils d’analyse et de marketing de fournisseurs étrangers.

Les erreurs les plus fréquentes

Celui qui gère un site d’entreprise tend à tomber dans deux extrêmes opposés :

Sous-estimer : aucune information, cookies de tiers actifs sans aucune transparence. C’est le profil le plus exposé, surtout s’il y a des utilisateurs de l’UE.
Copier au hasard : bannières et politiques reprises d’autres sites, non alignées sur les outils effectivement utilisés. Une information qui décrit des traitements différents des traitements réels ne protège pas ; au contraire, elle documente l’incohérence.

La bonne voie consiste à partir d’une cartographie réelle des outils installés sur le site et à construire l’information sur cette base.

Notre approche

Chez SIH ONE, nous aidons les entreprises à comprendre quel cadre s’applique à leur site — seulement la LPD ou aussi le RGPD — en partant du public effectif et des outils réellement utilisés. Nous mettons en place l’information, la politique de cookies et la logique du consentement de manière cohérente, sans bannières superflues mais sans lacunes envers les clients européens.

Vous voulez mettre en règle les cookies et la protection des données de votre site ? Parlons-en avec notre desk legal.