Qui regarde quand vous ouvrez le site d'un hôpital ?

Le 2 septembre 2026, nous avons ouvert 40 sites suisses d'hôpitaux, de cliniques et de groupes hospitaliers, une seule fois, comme le fait n'importe quelle visiteuse, et enregistré les connexions établies par le navigateur. Aucun clic, aucune confirmation, aucune bannière écartée. La page, simplement ouverte.

32 sites étaient accessibles. Sur 25 d'entre eux, la simple ouverture a déclenché au moins une connexion vers Google ou Meta. Sur deux sites, tout est resté à l'interne.

L'ouverture d'une page de maternité se présentait ainsi dans la transmission (relevé original en allemand) :

Empfänger:   region1.analytics.google.com
Adresse:     https://www.[spital].ch/geburt
Seitentitel: «Ihre Begleitung bei Schwangerschaft und Geburt»
Einwilligung: keine

S'y ajoute l'adresse IP, transmise inévitablement à chaque connexion sur Internet. Google apprend ainsi : ce raccordement a consulté cette page de cet hôpital à ce moment précis.

Nous ne nommons pas les établissements examinés. Il ne s'agit pas ici de manquements individuels : le schéma est généralisé, et dans presque tous les cas, personne dans l'établissement n'en a probablement conscience.

Ce que nous avons mesuré

Constat	Nombre
Sites dans l'échantillon (32 accessibles)	40
Connexion vers Google ou Meta à la simple ouverture	25 sur 32
Examen détaillé : points de mesure avant tout consentement	13 sur 15
Dont pixels Meta sans consentement	6
Sans aucune connexion à un tiers	2
Aucun outil de consentement décelable	17 sur 32

Les outils utilisés se répartissaient entre OneTrust (5), Cookiebot (3), CookieYes (2), Usercentrics (2) ainsi que Klaro, Complianz et Iubenda, une fois chacun.

Un détail mérite une attention particulière. Chez un groupe de cliniques, l'appel adressé au serveur publicitaire de Google contenait le paramètre gcs=G111. C'est le message indiquant qu'un consentement a été donné pour l'analyse et la publicité. Personne n'avait cliqué. L'outil de consentement était installé, visible, fonctionnel, et il annonçait un accord avant que quiconque n'ait donné son accord.

C'est précisément le sujet de ce texte. La bannière n'est pas le problème. Elle n'est pas non plus la solution.

Pourquoi un hôpital n'est pas un magasin de meubles

Sur un site de mobilier de jardin, un traceur est une question de protection des données. Sur un site hospitalier, c'est peut-être autre chose.

Le PFPDT (Préposé fédéral à la protection des données et à la transparence) ne s'est jamais exprimé sur le tracking des sites de santé. Sur une question structurellement identique, en revanche, oui. Dans son aide-mémoire sur les formulaires destinés aux patients, daté du 30 septembre 2025, on lit (traduit de l'original allemand) :

« En lien avec la santé, la simple existence d'une relation avec une thérapeute ou un thérapeute peut déjà permettre de tirer des conclusions sur l'état de santé d'une personne ; cela vaut en particulier pour la communication avec des médecins spécialistes (un rendez-vous chez une oncologue, par exemple, laisse supposer qu'elle est consultée en raison d'une maladie oncologique potentielle). Par conséquent, l'échange purement administratif (p. ex. la prise de rendez-vous) doit lui aussi être qualifié de sensible. »

Le pas qui mène du rendez-vous chez l'oncologue à l'ouverture de la page /kliniken/onkologie est court. Le PFPDT ne l'a pas franchi, et l'honnêteté impose de le préciser.

D'autres l'ont franchi. L'autorité norvégienne de protection des données a statué le 10 juin 2025 sur un portail de santé équipé d'un pixel Meta et a retenu que la visite du site pouvait à elle seule suffire à constituer une catégorie particulière de données personnelles. Il n'est pas nécessaire que les données soient directement liées à un état de santé, ni que l'exploitant les recoupe avec d'autres données.

La Cour de justice de l'Union européenne a placé le seuil bas dans son arrêt Lindenapotheke du 4 octobre 2024 : il suffit que l'on puisse, « par combinaison intellectuelle ou par déduction, conclure à l'état de santé de la personne concernée » (traduit de la version allemande de l'arrêt). Que la déduction soit exacte, et que l'exploitant la recherche seulement, ne joue aucun rôle.

L'autorité de contrôle néerlandaise avait déjà détaillé cela pour les hôpitaux en 2016, après avoir examiné les 85 hôpitaux néerlandais : il ne s'agit pas seulement de la page d'accueil, mais des pages sous-jacentes consacrées à des maladies déterminées et à des services spécialisés.

La contre-épreuve, par souci d'équité : aucun tribunal suisse n'a jamais tranché la question. Dans toute l'Europe, il n'existe à ce jour aucune décision d'autorité de surveillance contre un hôpital en raison de Google Analytics ou du pixel Meta. Et l'autorité belge a rejeté un reproche comparable en 2022 précisément parce que le lien avec la page consultée n'était pas techniquement établi. Chez l'hôpital qui transmet lui-même l'adresse complète, cette preuve est en revanche disponible, et elle peut être apportée en deux minutes dans n'importe quel navigateur.

La conséquence juridique, si l'on franchit le pas

Qui qualifie les données de visite de données personnelles sensibles aboutit à une règle claire. Le PFPDT écrit dans son guide sur les cookies (ch. 3.10.1), traduit de l'original allemand :

« Pour l'utilisation de cookies non nécessaires dans le contexte de traitements à forte intensité d'atteinte, le responsable ne peut invoquer ni la prépondérance de son intérêt privé ni une conception optionnelle du traitement. Il doit bien plutôt recueillir un consentement exprès auprès des personnes concernées avant de procéder à ce traitement. »

Dans le radar des risques du guide, « données personnelles sensibles : oui » reçoit la valeur maximale 3, et à partir de 2,5 la règle est : opt-in obligatoire. L'art. 6 al. 7 let. a de la nLPD (nouvelle loi fédérale sur la protection des données) exige de toute manière le consentement exprès, et l'art. 30 al. 2 let. c LPD qualifie expressément d'atteinte à la personnalité la communication à des tiers de données personnelles sensibles.

S'y ajoute une couche que l'on néglige souvent dans le secteur de la santé. Le secret professionnel (art. 321 CP) protège, selon l'interprétation de l'ASSM et de la FMH, non seulement les diagnostics, mais aussi « l'identité de la patiente ou du patient et le fait qu'elle ou il se trouve en traitement médical ». Il est violé dès lors que des secrets parviennent à des personnes non autorisées, « quelle que soit la manière » (citations traduites de l'original allemand).

La préposée à la protection des données du canton de Zurich se montre très explicite dans son aide-mémoire de février 2026 consacré aux produits cloud américains (traduit de l'original allemand) :

« Pour les informations et les données personnelles soumises à une obligation de secret particulière, la possibilité de fait d'un accès des autorités américaines entraîne une violation de l'obligation de secret correspondante. »

Et plus loin : « Les collaborateurs d'entreprises américaines [ne sont] pas considérés comme des auxiliaires, en raison de la structure du groupe et de l'interconnexion internationale de leurs employeurs. » Les données périphériques elles aussi doivent être protégées.

Aucun tribunal n'a jamais décidé si la pose d'un traceur constitue pénalement une « révélation ». L'art. 321 CP exige l'intention. C'est un obstacle sérieux, mais un obstacle sur lequel personne ne devrait miser au moment de décider aujourd'hui.

D'où viennent les fournisseurs, et pourquoi c'est la mauvaise question

L'idée que les grands fournisseurs de solutions de consentement seraient tous extra-européens a la vie dure. Elle est fausse. Nous avons vérifié les entités juridiques à l'aide des mentions légales, des registres du commerce et des contrats de sous-traitance :

Fournisseur	Entité juridique	Siège	Propriétaires
Cookiebot	Usercentrics A/S	Copenhague, DK	Fait partie du groupe Usercentrics (fusion avec Cybot A/S, 2021)
Usercentrics	Usercentrics GmbH	Munich, DE	Détenue en privé, investisseurs dont Full In Partners (New York)
CookieYes	CookieYes Limited	Milton Keynes, UK	Deux personnes privées ; produit du groupe Mozilor, Kochi (Inde)
OneTrust	OT Technology, Inc.	Atlanta, USA	Privée, investisseurs dont Insight Partners, TCV, SoftBank

Deux des quatre sont donc établis dans l'UE. Qui argumente en disant « de toute façon, ils ne sont pas en Europe » argumente à faux.

La question plus instructive est la suivante : quel chemin prennent les données des visiteurs ? Et là, cela devient intéressant, car la réponse figure dans les documents des fournisseurs eux-mêmes.

Cookiebot écrit dans sa propre documentation d'assistance (citation originale en anglais) :

« Cookiebot uses Akamai, a US based company, as our CDN sub service provider. […] However, the way the Internet works, it cannot be avoided that Akamai will receive and log certain information about the Internet connection, including end user IP addresses. »

En français : Cookiebot recourt à Akamai, une entreprise établie aux États-Unis, comme sous-traitant pour son réseau de diffusion de contenu ; de par le fonctionnement même d'Internet, il est inévitable qu'Akamai reçoive et journalise certaines informations sur la connexion, y compris les adresses IP des utilisateurs finaux.

C'est pourquoi il existe une variante purement européenne, qu'il faut toutefois activer soi-même, en remplaçant dans la balise de script consent.cookiebot.com par consent.cookiebot.eu. Cookiebot décrit ce choix avec une remarquable franchise comme « a conscious choice on your part of compliance over performance », soit un choix conscient, de votre part, en faveur de la conformité plutôt que de la performance. La voie par défaut passe par les États-Unis. Nous l'avons mesuré : consent.cookiebot.com se résout via Akamai, consent.cookiebot.eu via un nœud à Zurich.

Pour les autres, le tableau est le suivant :

• CookieYes cite dans sa liste de sous-traitants ultérieurs Cloudflare, siège aux États-Unis, avec les catégories de données « IP address, User agent, Hostname ». Sa propre documentation parle d'une adresse IP masquée ; comment le masquage s'opère ne figure dans aucune source repérable. Le support passe par Mozilor Technologies en Inde. L'Inde ne figure pas sur la liste des États du Conseil fédéral (annexe 1 de l'OPDo), de sorte qu'une communication vers ce pays exige impérativement des garanties supplémentaires selon l'art. 16 al. 2 LPD.
• Usercentrics maintient la chaîne européenne pour la gestion du consentement (hébergement Google Cloud Dublin, CDN depuis la Slovénie), mais concède dans sa propre déclaration de protection des données qu'il ne peut être exclu que des données parviennent aux États-Unis et y soient soumises à un accès des autorités selon la section 702 du FISA.
• OneTrust est le seul à avoir une société mère américaine et en même temps le seul à proposer un centre de données Azure à Zurich au choix ainsi qu'une certification active au titre du Swiss-US Data Privacy Framework. Quant à savoir si l'adresse IP du visiteur est enregistrée, tronquée ou hachée dans le journal de consentement, OneTrust ne le dit dans aucune source publique.

Autrement dit : le fournisseur danois envoie par défaut des adresses IP via un groupe américain, et le fournisseur américain peut héberger à Zurich. Le siège de l'entreprise n'est pas un critère d'examen. Le chemin des données en est un.

Dissipons ici une erreur répandue : on entend parfois dire que Cookiebot aurait été interdit par les autorités. Le tribunal administratif de Wiesbaden a effectivement interdit à une haute école, en 2021, de l'intégrer. Mais la Cour administrative supérieure de Hesse a annulé cette décision en janvier 2022, pour des motifs de procédure. Aucune procédure au fond n'est connue à ce sujet. L'affirmation « interdit » est fausse.

Les hôpitaux publics sont dans une autre situation, plus stricte

Voici un point qui échappe presque toujours aux discussions. Pour les hôpitaux publics, ce n'est pas la LPD fédérale qui s'applique, mais le droit cantonal de la protection des données. Le PFPDT le précise lui-même : les hôpitaux cantonaux ne sont « pas directement concernés » par ses aide-mémoires fédéraux.

Et certains cantons sont nettement plus stricts. La préposée à la protection des données du canton de Zurich écrit dans son aide-mémoire sur les déclarations de protection des données des sites web des organes publics (octobre 2025), traduit de l'original allemand :

« Les organes publics conçoivent leur présence sur Internet conformément à la protection des données et renoncent aux analyses personnalisées du comportement des utilisateurs. Les déclarations de protection des données, bannières, pop-ups et autres mécanismes ne sont dès lors pas nécessaires. »

Et expressément : « Il ne faut pas recourir à des mécanismes qui font miroiter aux utilisateurs un consentement fictif. »

La logique qui sous-tend cette position est contraignante : en droit public de la protection des données, le consentement n'est pas un motif justificatif général. Ce qui compte, ce sont la mission légale et la nécessité. Un hôpital cantonal qui recourt à une bannière de consentement du commerce commet ainsi deux erreurs à la fois : il traque sans nécessité, et il demande un consentement qu'il n'a juridiquement pas la faculté de recevoir. Comme alternative admissible, l'autorité cite expressément des outils anonymisants tels que Matomo ou AWStats.

Cela ne vaut pas pour les cliniques privées, les cabinets et les groupes hospitaliers privés. Ils relèvent de la LPD et donc de la voie du consentement exprès.

Ce qu'un établissement devrait concrètement vérifier

1. Mesurer soi-même. Clic droit, « Inspecter », onglet « Réseau », recharger la page, et cela avant tout clic sur la bannière. Ce qui part déjà vers google-analytics.com, facebook.net ou doubleclick.net part sans consentement. Cela prend deux minutes et ne demande aucun budget.
2. Les sous-pages sensibles d'abord. Oncologie, psychiatrie, procréation médicalement assistée, médecine des addictions, obstétrique. Là, le chemin de la page est lui-même l'information.
3. Exiger la liste des sous-traitants ultérieurs. Pas le siège de l'entreprise. La liste, avec les lieux de traitement. Chez Cookiebot, clarifier en outre si la variante européenne est active. Elle ne l'est pas par défaut.
4. Vérifier si l'outil bloque réellement. Une bannière qui ne libère les scripts qu'après le consentement est tout autre chose qu'une bannière qui se contente de demander tout en laissant tout tourner.
5. Penser au secret professionnel. C'est une couche juridique à part entière, pas une note de bas de page du droit de la protection des données, et l'art. 9 al. 1 let. b LPD interdit expressément l'externalisation là où une obligation de garder le secret s'y oppose.

L'étalon existe déjà

Pour les contenus du dossier électronique du patient, le législateur a posé une règle sans équivoque. L'art. 12 al. 5 de l'ordonnance sur le dossier électronique du patient (ODEP), traduit de l'original allemand :

« Les mémoires de données doivent se trouver en Suisse et être soumis au droit suisse. »

Pour les données de visite de la même institution sur son propre site web, cette phrase ne s'applique pas. C'est le droit en vigueur, et non une lacune qu'il faudrait balayer d'un revers de main. Mais c'est un étalon d'appréciation que le législateur a lui-même posé. Qui connaît l'adresse de la page d'oncologie d'un hôpital en sait peut-être plus sur le visiteur que bien des entrées du dossier n'en révèlent.

---

Aiara est un fournisseur suisse de bannières de cookies et de textes juridiques. Notre application tourne sur des serveurs à Saint-Gall ; le script de la bannière ne se charge que depuis aiara.ch et ne contacte aucun tiers. Dans le journal de consentement, nous n'enregistrons pas l'adresse IP en clair, mais uniquement une empreinte SHA-256 salée. Que nous abordions ce sujet a un lien avec notre activité. Les mesures ci-dessus n'en restent pas moins vérifiables par chacune et chacun en deux minutes, et c'est précisément à cela que nous souhaitons inviter.

Méthodologie : consultation le 2 septembre 2026 depuis la Suisse, une page vue par site avec un profil de navigateur neuf, sans interaction avec la bannière de consentement, Chromium 148, langue de-CH. Toutes les requêtes réseau sortantes ont été enregistrées. N'ont été comptés comme « points de mesure » que les appels vers des points de terminaison de mesure et de publicité connus, et non le simple chargement d'une bibliothèque. Cinq adresses n'étaient pas résolvables, trois n'ont pas répondu dans les 30 secondes.