Conformité LPD & RGPD : Le Guide Complet pour les Entreprises Suisses & Européennes en 2026

Le guide pratique pour mettre votre site en conformité sans perdre vos données marketing. LPD ou RGPD, amendes réelles, bandeau cookies qui fonctionne, Consent Mode v2 et stratégie selon votre taille, avec une checklist en 8 questions.

Table des matières

1. La conformité est devenue un sujet marketing

Schéma des trois risques d'un bandeau cookies mal branché : risque juridique (amende jusqu'à CHF 250'000 contre la personne responsable), risque publicitaire (Google exige le consentement pour la Suisse depuis le 31 juillet 2024) et risque de confiance.

Pendant longtemps, le bandeau cookies était vu comme une formalité juridique. Ce n'est plus le cas : un bandeau mal branché expose l'entreprise à trois risques en même temps.

  • Le risque juridique : la LPD prévoit des amendes jusqu'à CHF 250'000, prononcées contre les personnes responsables.

  • Le risque publicitaire : depuis le 31 juillet 2024, Google applique sa politique de consentement aux visiteurs suisses. Sans signaux de consentement, le remarketing et la mesure des conversions se dégradent.

  • Le risque de confiance : un visiteur qui voit des traceurs partir avant son choix ne revient pas.

Chez A-Track, nous traitons ces trois risques ensemble : ce qui est juste juridiquement doit aussi fonctionner techniquement.

2. LPD ou RGPD : quelle loi s'applique à votre site ?

Tableau comparatif LPD et RGPD : entrée en vigueur, personne sanctionnée, amende maximale (CHF 250'000 contre 20 millions d'euros ou 4 % du chiffre d'affaires mondial), autorité, régime des cookies et cadre des transferts vers les États-Unis.

Souvent, les deux. La LPD révisée est en vigueur depuis le 1er septembre 2023. Le RGPD s'applique aussi à une entreprise suisse dès qu'elle propose ses produits ou services à des personnes dans l'Union européenne, ou qu'elle suit leur comportement en ligne (article 3 RGPD).

  • Qui est sanctionné ? La LPD vise surtout les personnes physiques responsables, et seulement en cas de violation intentionnelle (art. 60 à 63 LPD). Le RGPD vise l'entreprise, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

  • Les cookies : en Suisse, la loi sur les télécommunications (art. 45c LTC) impose d'informer le visiteur et de lui permettre de refuser. Dans l'UE, un consentement préalable est requis pour tout traceur non essentiel. Dès que vous avez des visiteurs européens ou que vous utilisez Google Ads, visez le standard le plus exigeant.

  • Les transferts vers les États-Unis : ils sont possibles vers les entreprises certifiées au Swiss-U.S. Data Privacy Framework, en vigueur depuis le 15 septembre 2024. Il faut les documenter dans votre déclaration de protection des données.

3. D'une plainte à une sanction : comment ça se passe

Schéma en cinq étapes d'une procédure LPD : plainte, enquête du PFPDT, décision avec mesures sans amende, poursuite par l'autorité pénale cantonale, amende jusqu'à CHF 250'000 en cas de violation intentionnelle.

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) peut ouvrir une enquête d'office ou sur dénonciation, par exemple après la plainte d'un client ou d'un concurrent. Il peut ordonner des mesures, mais il ne prononce pas lui-même d'amende.

Les amendes relèvent des autorités pénales cantonales. Elles visent notamment la violation intentionnelle des devoirs d'information, le non-respect d'une décision du PFPDT ou des manquements au devoir de diligence. Si l'amende ne dépasse pas CHF 50'000 et que l'identification de la personne responsable serait disproportionnée, l'entreprise peut être condamnée à sa place (art. 64 LPD).

À retenir : votre meilleure protection est de pouvoir prouver ce que fait votre site. Journaux de consentement, liste des traceurs à jour et déclaration de protection des données cohérente avec la réalité technique.

4. Le bandeau cookies qui fonctionne vraiment

Schéma du consentement : le visiteur fait son choix dans le bandeau (CMP), qui informe, bloque les traceurs avant le choix et garde la preuve ; le Consent Mode v2 transmet quatre signaux ; si le visiteur accepte, les balises fonctionnent pleinement ; s'il refuse, rien n'est envoyé en mode basic et seuls des signaux sans cookie partent en mode advanced pour la modélisation.

Un bandeau qui s'affiche mais ne bloque rien est décoratif. Une CMP (Consent Management Platform) doit faire trois choses : informer, bloquer les traceurs tant que le visiteur n'a pas choisi, et conserver la preuve de son choix.

Le Google Consent Mode v2 relie ce choix à vos balises Google au travers de quatre signaux : ad_storage, analytics_storage, ad_user_data et ad_personalization.

  • Mode basic : les balises Google ne se chargent qu'après acceptation. Rien n'est envoyé en cas de refus.

  • Mode advanced : en cas de refus, les balises envoient des signaux sans cookie, qui permettent à Google de modéliser une partie des conversions. Selon Google, cette modélisation retrouve plus de 70 % des parcours clic-conversion perdus à cause des refus.

Dans les deux cas, le choix du visiteur est respecté. La différence se joue sur la qualité de la mesure, et doit être expliquée dans votre déclaration de protection des données.

5. Quelle stratégie selon la taille de votre entreprise ?

Trois niveaux de stratégie de conformité : petites entreprises (CMP certifiée Google, liste de traceurs exacte, déclaration claire), PME et e-commerce (CMP multilingue, Consent Mode v2, tracking server-side), grands comptes et secteurs régulés (cartographie des flux, hébergement en Suisse ou dans l'UE, documentation technique).

Petites entreprises et indépendants

Un site vitrine, un formulaire, peu d'outils. L'essentiel : une CMP certifiée par Google, une liste de traceurs exacte et une déclaration de protection des données claire.

PME et e-commerce

Vous investissez en publicité et vos décisions dépendent des chiffres. Il vous faut une CMP multilingue, le Consent Mode v2 correctement paramétré, un contrôle régulier des traceurs et, souvent, un tracking server-side pour fiabiliser les conversions.

Grandes entreprises et secteurs régulés

Finance, santé, industrie : plusieurs domaines, des équipes compliance et des données sensibles. Il faut cartographier les flux de données, maîtriser les destinataires, choisir l'hébergement (Suisse ou UE) et fournir une documentation technique exploitable par le conseiller à la protection des données.

6. Les 5 étapes de la mise en conformité avec A-Track

Les cinq étapes de mise en conformité A-Track : audit de tout ce que le site charge, choix d'une CMP certifiée Google, paramétrage (blocage préalable, Consent Mode v2, Tag Manager), documents juridiques fidèles au réel, surveillance après chaque mise à jour.

  1. Audit : nous relevons tout ce que votre site charge avant et après le choix du visiteur.

  2. Choix de la CMP : un outil certifié par Google, adapté à votre CMS, vos langues et votre budget.

  3. Paramétrage technique : blocage préalable, Consent Mode v2 et Google Tag Manager.

  4. Documents : déclaration de protection des données et politique cookies alignées sur ce qui tourne réellement.

  5. Surveillance : un contrôle régulier, parce qu'un nouveau plugin ou une mise à jour suffit à tout remettre en cause.

7. Votre site est-il conforme ? 8 questions à vous poser

  1. Des traceurs publicitaires se chargent-ils avant que le visiteur ait choisi ?

  2. Le bouton « Refuser » est-il aussi visible que le bouton « Accepter » ?

  3. Votre CMP figure-t-elle parmi les CMP certifiées par Google ?

  4. Le Consent Mode v2 transmet-il bien les quatre signaux ?

  5. Conservez-vous la preuve des consentements ?

  6. Votre déclaration de protection des données cite-t-elle tous les prestataires réellement présents sur le site ?

  7. Savez-vous vers quels pays partent vos données ?

  8. Quelqu'un vérifie-t-il le site après chaque mise à jour ?

Une seule réponse incertaine suffit à justifier un contrôle. Demandez votre audit gratuit en 48 h, ou découvrez nos services et nos prix. Pour l'impact sur la mesure marketing, lisez notre guide Performance marketing et tracking.

Actualité Tracking et Conformité

Voir tout

Suivez l'évolution technique et juridique du tracking de données marketing et les dernières mises à jour en conformité Suisse et Européenne.

Questions fréquemment posées

Qu'est-ce que le "Privacy by Design" imposé par la LPD ?

▾
Cela signifie que la protection des données doit être intégrée dès la conception de votre site ou de vos campagnes marketing, et non ajoutée à la fin. Le tracking doit être configuré pour collecter le minimum de données nécessaires.

Quelle est la différence majeure entre la LPD (Suisse) et le RGPD (UE) pour un site web ?

▾
Bien que très proches, la LPD (loi fédérale sur la protection des données) privilégie une approche basée sur la transparence et le risque, tandis que le RGPD impose un cadre plus strict sur le consentement préalable. Toutefois, si vous ciblez des clients européens, vous devez respecter le RGPD, qui est le standard le plus élevé.

Quelle est la valeur ajoutée d'un expert suisse pour la LPD ?

▾
La connaissance des subtilités locales. Par exemple, savoir comment configurer la géolocalisation pour appliquer les règles strictes du RGPD aux visiteurs de l'UE tout en gardant plus de flexibilité pour les visiteurs suisses (si la stratégie le permet).

Quels sont les risques financiers en cas de non-conformité LPD ?

▾
Le RGPD prévoit des amendes contre les entreprises, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (art. 83 RGPD). La LPD fonctionne autrement : elle prévoit des amendes pénales jusqu'à CHF 250'000 contre les personnes physiques responsables, en cas de violation intentionnelle de certains devoirs (information, collaboration, diligence, secret professionnel, art. 60 à 63 LPD).

Ces amendes sont prononcées par les autorités pénales cantonales ; le PFPDT enquête et ordonne des mesures, mais n'inflige pas d'amendes. S'y ajoutent des coûts indirects : mise en conformité dans l'urgence, atteinte à la réputation, fonctions publicitaires limitées.

Le Meta Pixel est-il conforme à la LPD en Suisse?

▾
Il peut l'être, à condition d'être bien configuré. En Suisse, l'art. 45c LTC impose d'informer le visiteur sur les cookies et de lui permettre de refuser ; la LPD exige de la transparence sur les finalités et les destinataires des données, dont Meta. Pour les visiteurs de l'UE, le RGPD et la directive ePrivacy exigent un consentement préalable.

En pratique, le plus simple est de déclencher le Pixel uniquement après accord, via votre CMP. Un tracking server-side permet de contrôler et de limiter les données envoyées à Meta, mais il ne remplace pas le consentement : un refus reste un refus.

La conformité des données est-elle un frein à la performance marketing ?

▾
Non, c'est l'inverse. Un tracking "propre" et conforme (surtout via Server-Side) améliore la qualité des données collectées car elles sont filtrées et structurées, augmentant la confiance des algorithmes publicitaires.

Une CMP suffit-elle à être conforme?

▾
Non. La CMP doit être connectée au reste du site (tags, analytics, CRM) pour bloquer réellement les cookies non essentiels avant consentement.

Quels documents le PFPDT demande-t-il lors d'un contrôle LPD ?

▾
Le PFPDT n'a pas de liste fixe, mais lors d'une enquête (art. 49 et 50 LPD), cinq documents reviennent souvent :

1) Le registre des activités de traitement (art. 12 LPD), dont les entreprises de moins de 250 collaborateurs sont en partie dispensées.
2) La preuve des choix de consentement, lorsque vous vous appuyez sur un consentement (visiteurs de l'UE, politique de Google).
3) Les garanties pour les transferts de données hors de Suisse (art. 16 LPD, par exemple Swiss-U.S. DPF ou clauses types) et, si le traitement présente un risque élevé, une analyse d'impact (art. 22 LPD).
4) La preuve technique que les traceurs non essentiels respectent le choix du visiteur (protection des données dès la conception et par défaut, art. 7 LPD).
5) Les contrats de sous-traitance avec vos prestataires (art. 9 LPD).