- Le PFPDT a durci sur plusieurs points sa directive relative aux cookies et technologies de suivi similaires en 2025.
- Quiconque utilise des produits publicitaires Google (Google Ads, GA4) et traite du trafic UE/EEE doit implémenter Consent Mode v2 depuis mars 2024.
- Oui, dès que des cookies non essentiels (marketing, analyse, personnalisation) sont déposés.
- Le PFPDT a nettement durci sa directive sur les cookies en 2025.
1. Ce que la directive PFPDT 2025 a concrètement changé
Jusqu’à l’ancienne directive, un «consentement implicite» suffisait souvent: lorsque l’utilisateur continuait à naviguer après avoir vu un avis, cela était interprété comme un accord. Cette pratique n’est plus acceptée dans la nouvelle directive — une évolution alignée sur la pratique des autorités de surveillance européennes et sur la jurisprudence.
Les trois principaux durcissements
- Refus par défaut: aucun cookie non essentiel ne peut être chargé avant le consentement. Les cases précochées sont interdites.
- Symétrie: le bouton Refuser doit être tout aussi visible que le bouton Accepter. Les «dark patterns» (Accepter en couleur vive, Refuser caché dans le pied de page) ne sont plus autorisés.
- Granularité: l’utilisateur doit pouvoir choisir les catégories de cookies individuellement — un unique bouton «Accepter» n’est pas autorisé dès lors qu’il existe plusieurs catégories.
Sources: directive du PFPDT sur les cookies, LPD révisée (RS 235.1).
2. Catégories de cookies et obligation de consentement
| Catégorie | Consentement nécessaire? | Par défaut | Exemples |
|---|---|---|---|
| Techniquement indispensable / fonctionnel | Non | Actif | Connexion de session, jeton CSRF, panier d’achat |
| Préférences | Recommandé | Optionnel | Langue, préférences de mise en page |
| Statistiques / analyse | Oui | Inactif | Google Analytics, Matomo Cloud, Plausible (auto-hébergé: pas toujours) |
| Marketing / suivi | Oui | Inactif | Meta Pixel, Google Ads, LinkedIn Insight |
| Contenus externes | Oui (la plupart du temps) | Inactif | Intégration YouTube, Google Maps, intégrations réseaux sociaux |
Précision importante: l’obligation de consentement ne découle pas directement de la LPD, mais de l’article 45c de la loi sur les télécommunications (LTC) ainsi que de la pratique du PFPDT. La directive PFPDT 2025 est la référence centrale pour les entreprises suisses.
3. Exigences concrètes pour la bannière de cookies
Une bannière de cookies conforme aux exigences du PFPDT doit présenter au minimum ces sept caractéristiques:
- Visible dès la première visite: la bannière apparaît avant que des cookies non essentiels ne soient chargés.
- Catégories claires: au moins trois catégories (Nécessaire / Statistiques / Marketing) avec des bascules individuelles.
- Boutons symétriques: «Tout accepter» et «Tout refuser» aussi visibles l’un que l’autre — même taille, même positionnement, même poids visuel de couleur.
- Vue détaillée: lien vers une liste des cookies avec fournisseur, finalité, durée de conservation.
- Possibilité de retrait: l’utilisateur peut à tout moment (p. ex. via le lien de pied de page «Paramètres des cookies») modifier son choix.
- Aucune donnée avant le consentement: les pixels de suivi et scripts marketing ne doivent se charger qu’après le consentement.
- Documentation: les consentements sont enregistrés avec horodatage, hachage IP anonymisé et catégories choisies.
4. Consent Mode v2 en Suisse
Consent Mode v2 met à disposition quatre signaux de consentement que vous transmettez à Google:
ad_storage— indique si des cookies publicitaires peuvent être déposésad_user_data— indique si des données personnelles peuvent être envoyées à Google à des fins publicitairesad_personalization— indique si les données peuvent être utilisées pour de la publicité personnaliséeanalytics_storage— indique si des cookies analytiques peuvent être déposés
La configuration par refus par défaut
Dans le <head> avant tout le reste, avant le script gtag:
Après le consentement de l’utilisateur (p. ex. clic sur «Tout accepter»), vous mettez à jour:
Bonus: en cas de consentement refusé, Google envoie dans Consent Mode v2 ce que l’on appelle des «cookieless pings» sans données personnelles. Google en déduit alors algorithmiquement les conversions manquantes (Modeled Conversions) — ce qui améliore sensiblement le reporting en cas de faible taux de consentement.
5. Textes types et exemple de configuration
En-tête de bannière (FR)
«Nous respectons votre vie privée»
Nous utilisons des cookies et technologies similaires pour améliorer votre expérience, analyser de manière anonyme l’utilisation de notre site web et vous montrer des contenus pertinents. Vous pouvez à tout moment choisir entre les catégories ou retirer votre consentement. Détails dans notre déclaration de protection des données.
Boutons
- Bouton principal: «Tout accepter»
- Bouton symétrique: «Tout refuser»
- Lien secondaire: «Personnaliser les paramètres»
Vue détaillée (extrait)
Cookies nécessaires (toujours actifs)
Ces cookies sont indispensables au fonctionnement du site web. Ils enregistrent les informations de session, protègent contre les attaques de type Cross-Site-Request-Forgery et mémorisent votre choix de langue.
Cookies statistiques (optionnels)
Des statistiques d’utilisation anonymes nous aident à améliorer le site web. Nous utilisons [outil], les données sont anonymisées et stockées sur des serveurs [UE/CH].
Cookies marketing (optionnels)
Ces cookies nous permettent de vous montrer des publicités plus pertinentes sur d’autres sites web. Fournisseurs: [liste]. Vous pouvez retirer votre choix à tout moment sous «Paramètres des cookies» dans le pied de page.
Lien de pied de page pour le retrait
Dans le pied de page du site web, faites un lien avec le texte «Paramètres des cookies» ou «Paramètres de confidentialité» qui rouvre la bannière. Les utilisateurs peuvent ainsi modifier leur choix à tout moment.
6. Comparatif d’outils pour PME
| Outil | Prix (PME) | Conforme PFPDT? | Consent Mode v2? | Remarque |
|---|---|---|---|---|
| Cookiebot | dès CHF 12/mois | Oui, configurable | Oui | Scan automatique, multilingue |
| Usercentrics | dès CHF 39/mois | Oui | Oui | Fournisseur allemand, très granulaire |
| Iubenda | dès CHF 8/mois | Oui | Oui | Abordable, générateurs de déclaration de protection des données intégrés |
| Borlabs (WP) | dès CHF 50/an | Oui | Oui | Spécifique à WordPress, licence unique |
| Klaro! (open source) | Gratuit | Oui, avec la bonne configuration | Manuel | Auto-hébergé, mise en place technique nécessaire |
| Solution maison | Temps de développement | Oui, avec une mise en œuvre propre | Manuel | Pour cas particuliers / sites simples |
Recommandation pour les PME: Cookiebot ou Iubenda pour les sites standards. Borlabs pour WordPress. Solution maison uniquement si vous gardez une stack de tracking réduite et disposez de ressources de développement.
7. Erreurs fréquentes chez les PME suisses
Erreur 1: charger des scripts avant le consentement
Classique: Google Tag Manager dans <head>, qui charge directement toutes les balises marketing — y compris le pixel Meta et la balise Google Ads — avant même que la bannière de cookies ne soit affichée. C’est une infraction manifeste.
Erreur 2: boutons asymétriques
«Tout accepter» dans la couleur de la marque, «Refuser» comme simple petit lien texte sous la bannière: ce n’est pas autorisé.
Erreur 3: bannière de cookies mais aucun blocage effectif du tracking
Afficher une bannière tout en ignorant techniquement le choix de l’utilisateur (les scripts se chargent quand même): infraction grave. La configuration technique doit réellement respecter le consentement.
Erreur 4: absence de documentation
En cas de litige, vous devez pouvoir prouver qu’une personne donnée a bien consenti. Standard minimal: horodatage, identifiant anonyme, catégories choisies.
Erreur 5: suivi vers des pays tiers sans clauses contractuelles types
Si vous utilisez des outils américains (Google, Meta) et que des données sont transférées vers les États-Unis, vous avez besoin de clauses contractuelles types (CCT) ou du EU-US Data Privacy Framework. Pour les données suisses, une logique analogue s’applique avec le Swiss-US DPF.