Le choix entre Cookiebot, OneTrust et une solution souveraine dépend de votre profil et du lieu où sont stockées les données de consentement. Cookiebot couvre la plupart des PME, OneTrust les secteurs réglementés, une solution hébergée en Suisse les organisations qui veulent garder ces données dans le pays.
Une plateforme de gestion du consentement (CMP) recueille, stocke et respecte les choix des visiteurs sur les cookies. En Suisse, l’art. 45c LTC impose d’informer les visiteurs sur les cookies non essentiels et de leur permettre de les refuser, de façon bien visible et en quelques clics. Lorsqu’un consentement est recueilli, il doit être libre, éclairé, donné par finalité et pouvoir être retiré facilement.
Obligations de la nLPD sur les cookies
La nouvelle loi fédérale sur la protection des données, en vigueur depuis septembre 2023, n’exige pas une bannière cookies pour tous les sites. Elle s’applique dès que vous utilisez des traceurs qui traitent des données personnelles, typiquement Google Analytics, Meta Pixel, outils de retargeting ou scripts tiers d’analyse comportementale.
Un site conforme nLPD sans traceur n’a pas besoin de bannière de consentement.
Dès qu’un traceur est présent, le droit suisse impose au minimum une information et une possibilité de refus bien visible (art. 45c LTC). Pour un site qui vise aussi l’UE, ou pour un traitement qui exige un consentement, trois règles s’appliquent :
- Le visiteur doit pouvoir refuser aussi facilement qu’accepter : bouton « Refuser tout » aussi visible que « Accepter tout ».
- Aucune case précochée : les consentements par catégorie s’affichent décochés par défaut.
- Aucun cookie non essentiel ne se charge avant que le visiteur ait fait son choix.
Cette dernière règle est fréquemment enfreinte : le site affiche une bannière, mais Google Analytics se charge déjà à l’affichage de la page.
Cookiebot, OneTrust et solution souveraine : comparatif
| Critère | Cookiebot | OneTrust | Solution souveraine (ex. Anorac Consent) |
|---|---|---|---|
| Coût mensuel | Gratuit jusqu’à 1 domaine/100 sous-pages, puis à partir d’env. CHF 12/mois | À partir de CHF 50/mois, tarification sur devis pour les PME | Inclus dans une prestation agence ou licence fixe |
| Conformité nLPD | Compatible IAB TCF, selon la configuration | Oui, conçu pour les grandes réglementations mondiales | Oui, conçu pour la nLPD et le marché suisse |
| Où vont les données de consentement | Serveurs Cookiebot (Danemark, UE) | Serveurs OneTrust (États-Unis, UE optionnelle) | Suisse, selon l’hébergeur du site |
| Performance | Script externe chargé à chaque page, impact variable | Script lourd, conçu pour les grandes entreprises | Hébergé avec le site, aucun appel tiers |
| Pour qui | PME avec un site simple, besoin basique | Grandes entreprises, multinationales, secteur réglementé lourd | PME et institutions qui veulent garder leurs données en Suisse |
| Prise en main | Rapide | Complexe, courbe d’apprentissage notable | Dépend du prestataire qui la configure et la maintient |
| Scan automatique des cookies | Oui | Oui | Selon la solution, souvent manuel au départ |
Transfert des données de consentement
Une CMP est censée protéger les données des visiteurs, mais certaines envoient elles-mêmes des informations à l’étranger.
Cookiebot transmet les données de consentement à ses serveurs au Danemark, dans l’UE : c’est légal pour les sites soumis au RGPD. Pour un site suisse soumis à la nLPD, ce transfert est aussi admis : le Danemark figure sur la liste des États qui offrent un niveau de protection adéquat (annexe 1 OPDo). Il doit être mentionné dans la politique de confidentialité (art. 19, al. 4 LPD).
OneTrust repose par défaut sur une infrastructure américaine, ce qui complique la situation des organisations suisses attachées à la souveraineté de leurs données.
Une solution hébergée en Suisse supprime ce transfert : les données de consentement restent dans le pays, sans dépendance à un acteur étranger. En contrepartie, elle suppose un prestataire technique qui la met en place et la maintient à jour quand les réglementations évoluent.
Choix selon le profil
Vous avez un site vitrine sans marketing actif ? Sans traceurs publicitaires et avec une analyse de trafic fondée sur un outil sans cookies (Umami, Plausible), vous n’avez peut-être pas besoin de CMP. Vérifiez d’abord votre situation au regard de la nLPD.
Une PME avec un budget marketing actif (Google Analytics, Meta Pixel, Google Ads) a besoin d’une CMP. Cookiebot couvre la majorité des cas, à partir d’environ CHF 12 par mois. Si les données de consentement doivent rester en Suisse, une solution souveraine gérée par votre agence est plus cohérente avec cette exigence.
Une institution ou une organisation d’un secteur réglementé (santé, finances, services publics) n’a aucune tolérance au risque. OneTrust couvre les contextes complexes : politiques multi-domaines, DPA automatisées, audits. Son coût et sa complexité se justifient à cette échelle. Une solution souveraine reste pertinente si l’organisation exige un hébergement entièrement en Suisse.
Erreurs fréquentes
La bannière non conforme se reconnaît à un bouton « Refuser » gris, petit ou caché dans un menu : le PFPDT demande que les polices, images et couleurs de la bannière n’induisent pas en erreur, et une présentation trompeuse peut rendre le consentement nul.
Les cookies sont parfois chargés avant le choix : la bannière s’affiche, mais les scripts tiers sont déjà actifs dans le code source. Aucune CMP ne résout ce problème si l’intégration n’est pas faite correctement : il faut conditionner chaque script au choix du visiteur.
Une CMP installée puis oubliée devient un risque. Les outils que vous utilisez évoluent, et un pixel ajouté six mois plus tard sans mise à jour de la bannière crée une non-conformité invisible. La gestion du consentement est un processus continu.
Dans l’UE, le consentement implicite n’est pas valable : continuer à naviguer ne vaut pas consentement au sens du RGPD. En Suisse, le consentement n’est soumis à aucune forme, mais il doit être exprès, donc donné par un acte actif, pour les données sensibles et le profilage à risque élevé (art. 6, al. 7 LPD).
Mise en œuvre sur votre site
La conformité repose sur trois éléments qui fonctionnent ensemble : une bannière où le refus est bien visible (aussi visible qu’accepter si le site vise l’UE), le blocage des scripts tant que le visiteur n’a pas fait son choix, et la mise à jour régulière quand vos outils évoluent.
Chez Anorac Studio, nous avons développé Anorac Consent, une CMP hébergée en Suisse, intégrée aux sites que nous concevons. Elle ne collecte aucune donnée pour un tiers et reste alignée sur la nLPD. Si vous gérez un site WordPress en autonomie et que Cookiebot suffit à votre situation, il n’y a pas de raison de changer.
Une refonte de site ou un doute sur la conformité de votre bannière actuelle sont l’occasion de la vérifier. Les autres choix de conception à faire au lancement figurent dans l’article un site conforme nLPD dès le départ.
À lire aussi : Utiliser l’IA sans exposer ses données, Cloud souverain suisse pour votre PME, Analytics sans cookies en Suisse, Hébergement suisse : quand c’est nécessaire
Questions fréquentes
Mon site a une bannière cookies : suis-je conforme à la nLPD ?
Cela dépend de trois points : le refus est bien visible et accessible en quelques clics, aucun cookie non essentiel ne se charge avant que le visiteur puisse faire son choix, et la liste des traceurs est à jour. Pour un site qui vise aussi l’UE, le refus doit en plus être aussi simple que l’acceptation. Un audit de votre site sert à le vérifier.
Quelle est la différence entre la nLPD suisse et le RGPD européen ?
Les deux lois convergent sur les principes (transparence, droit d’accès, droit à l’effacement), mais la nLPD relève du droit suisse. Un site suisse soumis uniquement à la nLPD n’est pas tenu par le RGPD, sauf s’il propose des biens ou des services à des personnes qui se trouvent dans l’UE ou l’EEE, ou suit leur comportement (art. 3, par. 2 RGPD). Les outils certifiés RGPD couvrent souvent la nLPD, mais pas toujours complètement : il reste utile de vérifier où les données sont hébergées.
Cookiebot est-il légal pour un site suisse ?
Oui. Cookiebot est un acteur danois (UE), et ses conditions d’utilisation prévoient un traitement conforme au RGPD et des garanties pour les transferts de données. Pour la nLPD, le transfert vers le Danemark est couvert par la liste des États offrant une protection adéquate, fixée par le Conseil fédéral (annexe 1 OPDo). Cela ne signifie pas que les données restent en Suisse.
Faut-il une CMP si j’utilise Google Analytics ?
En pratique, oui : dès que vous utilisez Google Analytics (sous toutes ses versions), vous traitez des données personnelles. En Suisse, vous devez informer les visiteurs et leur permettre de refuser (art. 45c LTC), et une CMP est le moyen le plus simple de le faire. Si votre site vise aussi l’UE, Google Analytics ne doit se charger qu’après l’accord explicite du visiteur. Google propose le Consent Mode pour conditionner le suivi au consentement : votre CMP doit être compatible avec ce protocole. Notre article GA4 et nLPD détaille cette configuration.
Une solution souveraine coûte-t-elle plus cher ?
Le coût dépend du prestataire qui la gère : la solution peut être incluse dans une prestation globale (refonte de site, maintenance) ou facturée séparément. Elle est rarement moins chère qu’un abonnement Cookiebot de base, mais elle supprime l’abonnement à un tiers et garde les données de consentement sous votre contrôle.
Comment savoir si ma CMP est configurée correctement ?
Ouvrez votre site en navigation privée, activez l’inspecteur réseau de votre navigateur et rechargez la page sans accepter les cookies. Si des scripts Google, Meta ou autres s’exécutent avant que vous ayez cliqué sur quoi que ce soit, la configuration n’est pas conforme.
Vous souhaitez vérifier la conformité de votre bannière ou changer de solution ? Discuter de votre projet.
