Table des matières
Votre client vous demande si son site est « conforme ». Il vise la Suisse, mais une partie de ses visiteurs vient de France ou d'Allemagne, et ses campagnes Google Ads tournent tous les jours. Trois règles s'appliquent alors au même bandeau cookies : la LPD, le RGPD et la politique de consentement de Google.
En bref
LPD : amendes jusqu'à CHF 250'000 contre des personnes physiques, pour des violations intentionnelles.
Le RGPD peut viser une entreprise suisse qui cible des personnes dans l'UE ou suit leur comportement.
Google exige le consentement pour la publicité personnalisée, Suisse comprise, depuis le 31 juillet 2024.
Pour une agence, un standard unique aligné sur le RGPD est le plus simple à déployer et à maintenir.
LPD et RGPD : les différences qui comptent pour une agence
La LPD (loi fédérale sur la protection des données), en vigueur depuis le 1er septembre 2023, s'applique dès qu'un traitement déploie des effets en Suisse (art. 3). Ses amendes, jusqu'à CHF 250'000, sont prononcées par les autorités pénales cantonales contre les personnes physiques responsables, pour des violations intentionnelles (art. 60 à 66). Le PFPDT enquête et ordonne des mesures, mais n'inflige pas d'amendes.
Le RGPD vise aussi les entreprises hors UE qui proposent des biens ou services à des personnes dans l'UE, ou suivent leur comportement (art. 3, par. 2). Ses amendes frappent l'entreprise : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial (art. 83).
La différence la plus visible ? Le consentement. En Suisse, la LPD ne l'exige pas en règle générale (il doit être exprès pour les données sensibles ou le profilage à risque élevé, art. 6 al. 7) et l'art. 45c LTC impose pour les cookies une information et un droit de refuser (opt-out). Dans l'UE, les cookies non essentiels exigent un consentement préalable (opt-in). Détails dans notre guide complet de conformité LPD et RGPD.
Pourquoi aligner vos clients sur le standard le plus exigeant
« Le client est suisse, un opt-out suffit. » Parfois vrai en droit, rarement le bon calcul :
Les visiteurs européens sont partout. Frontaliers, clients en France, boutique qui livre dans l'UE : dès que le site cible ces personnes ou suit leur comportement, le RGPD entre en jeu. À analyser au cas par cas.
Google a tranché pour la Suisse. Sans signaux Google Consent Mode v2 valides, remarketing et mesure des conversions se dégradent (voir notre guide Consent Mode v2).
Un seul paramétrage pour tout le parc : moins d'erreurs, des contrôles plus rapides.
La confiance : un bandeau clair, qui respecte vraiment un refus, rassure le visiteur.
Pour un site 100 % suisse sans publicité personnalisée, l'opt-out reste défendable : c'est un choix de risque, à documenter avec le client.
Conseil A-Track
Si la CMP affiche un bandeau différent pour la Suisse et l'UE, gardez les valeurs par défaut du Consent Mode sur denied partout : Google demande aussi le consentement des visiteurs suisses.
Choisir la CMP : les critères qui comptent vraiment
Les plugins gratuits mal configurés déposent souvent des cookies avant le choix. Une bonne CMP (Consent Management Platform) offre un Consent Mode v2 natif avec ses quatre paramètres, un modèle Google Tag Manager, un vrai blocage avant le choix, un registre des consentements et un bandeau multilingue.
Nous avons testé les principales solutions (Cookiebot, Axeptio, Usercentrics) : toutes font le travail. Pour les parcs de sites d'agences, nous utilisons le plus souvent Cookie-Script.
Pourquoi Cookie-Script convient aux agences suisses
Un prix prévisible : Cookiebot facture selon le nombre de sous-pages par domaine ; Cookie-Script offre des pages vues illimitées sur ses plans payants, seul le volume de pages scannées variant selon le plan (grille tarifaire).
Des données hébergées en Europe, aux Pays-Bas selon l'éditeur.
Consent Mode v2 dans tous les plans, IAB TCF dans le plan PLUS (voir notre article sur l'IAB TCF 2.3).
Un modèle de balise GTM qui simplifie les déclencheurs basés sur le consentement.
Faire de la conformité un service d'agence
La conformité est une prestation à vendre, seul ou avec un partenaire spécialisé. Vos arguments :
Moins de risque juridique. L'art. 61 LPD punit aussi celui qui confie des données à un sous-traitant sans respecter l'art. 9. L'agence qui gère Google Tag Manager est souvent ce sous-traitant : formalisez-le par contrat.
Des données plus fiables. Un consentement mal branché fausse GA4 et Google Ads. En mode advanced, Google modélise les conversions manquantes : selon Google (2021), plus de 70 % des parcours clic vers conversion perdus à cause des refus, en moyenne.
Un client fidèle. Si un concurrent trouve des cookies déposés avant le clic « Accepter », vous risquez de perdre le compte.
Pour préparer un contrôle, lisez aussi les 5 documents que le PFPDT peut demander.
Conclusion : trois actions pour votre parc de sites
Cartographiez vos sites clients : marchés visés, outils publicitaires, CMP en place.
Testez le refus : après « Tout refuser », aucun cookie _ga, _gcl ou _fbp ne doit apparaître.
Clarifiez les rôles : qui maintient la CMP, qui valide les textes juridiques, quel contrat lie l'agence et son client.
Votre parc de sites clients passe-t-il le test du refus ?
A-Track audite les sites de vos clients (CMP, Consent Mode v2, cookies avant le choix) et corrige les écarts, en marque blanche ou en partenariat.
Commencez par un audit tracking et conformité offert sur un site, restitué en 48 h.
