Bannière de cookies en Suisse, quand elle est nécessaire et comment la rendre équitable

Suisse et UE, deux régimes différents

Un cookie est un petit fichier que votre site dépose dans le navigateur du visiteur. Il sert à retenir une langue, à garder un panier, à mesurer les visites ou à suivre quelqu'un d'un site à l'autre pour la publicité. Des techniques voisines (stockage local, pixels de suivi) relèvent des mêmes règles.

En Suisse, la base est l'article 45c de la loi sur les télécommunications (LTC) : le traitement de données sur l'appareil d'un visiteur est permis si celui-ci est informé de ce qui est fait et dans quel but, et s'il peut le refuser. S'y ajoute le devoir d'informer de la nLPD, que votre politique de confidentialité remplit. En règle générale, le droit suisse n'exige donc pas de consentement préalable pour les cookies non essentiels, mais de l'information et une possibilité de refus. Pour certains traitements (données sensibles, profilage à risque élevé), un consentement explicite peut être nécessaire.

Dans l'UE, la directive ePrivacy et le RGPD posent le principe inverse : les cookies non essentiels exigent le consentement préalable du visiteur, donné librement, en connaissance de cause et par un geste actif. Des cases précochées ne suffisent pas, la Cour de justice de l'Union européenne l'a jugé en 2019. Seuls les cookies strictement nécessaires au service demandé en sont dispensés.

Le droit de l'UE peut aussi toucher une PME suisse dont le site s'adresse activement à des personnes de l'UE, par exemple en livrant en France ou en Allemagne. Dans ce cas, le plus simple est d'appliquer partout le standard européen : un seul réglage pour tous les visiteurs, moins de zones grises. Pour un site purement suisse, ce n'est pas une obligation. Cet article ne constitue pas un conseil juridique.

Avez-vous besoin d'une bannière ?

Cela dépend de ce que charge votre site, pas de sa taille. Procédez ainsi :

1. Listez ce qui est chargé. Ouvrez le site dans une fenêtre de navigation privée, ouvrez les outils du navigateur (touche F12) et regardez l'onglet « Réseau » ou « Stockage » : quels cookies sont déposés, quels services extérieurs sont appelés ?2. Triez. Les cookies strictement nécessaires (session, panier, langue, sécurité, mémorisation du choix de cookies) ne demandent pas d'accord. Les cookies de statistiques, de publicité et la plupart des contenus intégrés (cartes interactives, vidéos, boutons de réseaux sociaux, pixel publicitaire) en demandent un dans l'UE, et au moins une information avec possibilité de refus en Suisse.
2. Décidez. Si votre site ne dépose que des cookies strictement nécessaires et n'intègre aucun service de suivi, vous n'avez pas besoin de bannière. Mentionnez-le dans la politique de confidentialité. Si vous utilisez des statistiques, de la publicité ou des contenus intégrés qui envoient des données à des tiers, il vous faut une bannière ou un dispositif équivalent.
3. Simplifiez si possible. Une carte ou une vidéo qui ne se charge qu'après un clic, des polices hébergées sur votre propre serveur ou un outil de mesure qui fonctionne sans cookies réduisent le besoin de bannière. Ils ne dispensent pas d'informer dans la politique de confidentialité. Moins de scripts de suivi, c'est aussi un site plus rapide (voir la vitesse du site web).

Rendre la bannière équitable

Une bannière équitable ne cherche pas à piéger le visiteur. Ces règles s'imposent dans l'UE et sont recommandées en Suisse :

• Deux boutons de même poids. « Tout accepter » et « Tout refuser » sur le même niveau, de même taille et de même couleur.
• Rien de précoché. Les catégories facultatives sont désactivées par défaut.
• Pas de mur. Le visiteur qui refuse peut quand même consulter le site.
• Un langage clair. Quelques phrases en bon français : ce qui est utilisé, à quoi cela sert, qui reçoit les données, avec un lien vers la politique de confidentialité.
• Rien avant le choix. Les outils de suivi ne se chargent qu'après l'accord du visiteur. C'est la règle dans l'UE et la solution la plus sûre en Suisse.
• Un choix modifiable. Un lien « Paramètres des cookies » dans le pied de page permet de changer d'avis à tout moment, aussi facilement qu'on a accepté.
• Pas de harcèlement. Ne reposez pas la question à chaque page.
• Une trace du choix. Dans l'UE, vous devez pouvoir prouver le consentement : conservez la date et la version du texte affiché.

Tester avant de publier

1. Ouvrez le site dans une fenêtre de navigation privée, sans rien cliquer. Aucun cookie non essentiel ne doit apparaître (outils du navigateur, onglet « Stockage »).
2. Cliquez sur « Tout refuser », puis rechargez la page. Rien de nouveau ne doit se charger, et la bannière ne doit pas revenir.
3. Cliquez sur « Tout accepter », puis changez d'avis avec le lien du pied de page. Le retour en arrière doit fonctionner.
4. Testez sur téléphone : la bannière ne couvre pas tout l'écran et les boutons se touchent sans effort.
5. Vérifiez que chaque outil nommé dans la bannière figure aussi dans la politique de confidentialité, et inversement.

Refaites ce test chaque fois que vous ajoutez un outil au site. Les mentions légales sont le troisième texte à garder cohérent avec les deux autres.

Une bannière réglée dès la construction du site

Une bannière bien réglée coûte peu d'effort quand elle est prévue dès la conception, et beaucoup quand on la bricole la veille de la mise en ligne. D'autres sujets se trouvent dans la vue d'ensemble des conseils.

Questions fréquentes

Mon site utilise seulement un outil de statistiques, ai-je besoin d'une bannière ?

Un outil de statistiques comme Google Analytics dépose des identifiants et peut transférer des données à l'étranger. En Suisse, il faut informer, permettre le refus et nommer les pays concernés dans la politique de confidentialité. Dans l'UE, l'accord préalable est requis. Une bannière est donc la solution habituelle.

Un site sans cookies a-t-il besoin d'une bannière ?

Non. Si votre site ne dépose que des cookies strictement nécessaires et ne charge aucun service de suivi, une bannière ne sert à rien. Expliquez-le dans la politique de confidentialité, qui reste nécessaire dès que le site traite des données personnelles.

Les cookies de session ou de panier demandent-ils un accord ?

Non. Les cookies strictement nécessaires au service que le visiteur demande, comme garder un panier ou rester connecté, sont dispensés d'accord, en Suisse comme dans l'UE.

Puis-je mettre un bandeau « En continuant, vous acceptez » ?

Un tel bandeau informe, mais il ne laisse pas de vrai choix au visiteur. Dans l'UE, il ne vaut pas consentement. En Suisse, il reste fragile si le refus n'est pas possible.