Règlement général sur la protection des données (RGPD)
Qu’est-ce que le RGPD ?
C’est l’un des textes clés sur la protection des données qui s’applique aux acteurs européens et internationaux de manière générale, sous ces deux conditions :
lorsque des entités proposent des produits et des services à des personnes DANS l’Union européenne, même si le siège social est situé en dehors de l’UE.
lorsque des organisations d’un pays européen traitent des données personnelles de personnes à l’intérieur ou à l’extérieur de l’UE.
À qui s’applique le RGPD ?
Les lignes directrices du RGPD s’appliquent à tout organisme public ou privé, quelle que soit sa taille et son secteur d’activité.
Entreprises (TPE, PME, grandes entreprises...)
Administrations
Collectivités
Associations
Territoires définis par défaut
Voir tous les pays ici
Intégrations
Particularités juridiques sur le consentement dans différents pays
✔️ Oui !
❌ Non !
❓ Non précisé / Données peu claires
⚙️ Plus de détails sur les normes du pays
* Renvois à la fin de l’article, vers la section consacrée aux DPA (autorités de protection des données) et à leurs lignes directrices respectives
Dernière mise à jour : 13 avril 2022
📆 En décembre 2020, l’Autorité italienne de protection des données (le « Garante per la Protezione dei Dati Personali ») a réexaminé les lignes directrices italiennes relatives aux cookies, car elles ne respectent pas toujours le RGPD entré en vigueur auparavant : des changements importants pourraient intervenir à l’avenir. Vous pourrez les consulter et anticiper ces changements potentiels (cf.🔎).
Des boutons explicites « Accepter » et « Refuser » sont-ils requis dans une notice de consentement ?
France
✔️
⚙️ Les boutons d’acceptation et de refus doivent être également visibles.
Royaume-Uni
✔️
⚙️ Aucun bouton « tout refuser » n’est obligatoire, bien que préférable ; une alternative identique (en ce qui concerne la non-utilisation du consentement) convient. Elle doit aussi être aussi visible que l’option granulaire et les boutons « Accepter ».
Espagne
✔️
⚙️ 2 choix selon l’AEPD* : soit des boutons « Accepter » et « Refuser » OU « Accepter » et un lien dans la notice de consentement vers la politique relative aux cookies permettant un choix granulaire par finalité.
Irlande
✔️
⚙️ Les boutons d’acceptation et de refus doivent être également visibles pour l’autorité irlandaise de protection des données*.
Belgique
❓
⚙️ La possibilité de retirer son consentement doit être aussi simple que de le donner : l’utilisateur doit en être informé au moment où il donne son consentement.
Allemagne
✔️
Portugal
✔️
⚙️ De préférence, notamment pour obtenir la preuve du consentement.
Italie
✔️
Pologne
❓
⚙️ Pas précisément spécifié : le consentement doit être librement donné (action active de l’utilisateur), spécifique, éclairé et sans ambiguïté. Il peut être recueilli par d’autres moyens : s’il l’est via une case à cocher appropriée, l’utilisateur doit pouvoir retirer son consentement aussi facilement.
Croatie
❓
⚙️ Non spécifié : le consentement doit être donné librement (action active de l’utilisateur), spécifique, éclairé et sans ambiguïté. Il peut être recueilli par d’autres moyens : s’il l’est via une case à cocher appropriée, l’utilisateur doit pouvoir la décocher aussi facilement.
Danemark
✔️
⚙️La forme de la boîte de consentement est standard : tout accepter / tout refuser ou seulement accepter les cookies essentiels, avec un 2e écran plus précis.
Finlande
✔️
⚙️La forme de la boîte de consentement est standard : tout accepter / tout refuser ou seulement accepter les cookies essentiels, avec un 2e écran plus précis.
Norvège
✔️
⚙️La forme de la boîte de consentement est standard : tout accepter / tout refuser ou seulement accepter les cookies essentiels, avec un 2e écran plus précis.
Suède
✔️
⚙️La forme de la boîte de consentement est standard : tout accepter / tout refuser ou seulement accepter les cookies essentiels, avec un 2e écran plus précis.
Est-il nécessaire de bloquer les cookies avant d’obtenir le consentement de l’utilisateur pour les cookies ?
France
✔️
Royaume-Uni
✔️
Espagne
✔️
Irlande
✔️
Belgique
✔️
Allemagne
✔️
Portugal
✔️
Italie
✔️
Pologne
✔️
Croatie
✔️
CEPD
✔️
Danemark
✔️
Finlande
✔️
Suède
✔️
Norvège
✔️
Les cookie walls sont-ils légaux ?
France
✔️
⚙️ Incertitude juridique pour le moment : légalité au cas par cas. En cas de plainte des utilisateurs, la CNIL* peut enquêter et les invalider si nécessaire.
Royaume-Uni
❌
⚙️ « Peu probable qu’ils soient valides » selon l’ICO*.
Espagne
❌
⚙️ « Les cookie walls ne sont acceptables que si l’utilisateur dispose d’une alternative pour accéder au service sans accepter les cookies. »
Irlande
❓
Probablement non légal, mais non précisé.
Belgique
❌
Allemagne
❌
Portugal
❌
Italie
❌
🔎 Il faudra peut-être proposer aux utilisateurs la possibilité d’accéder à un contenu/service équivalent sans avoir à donner leur consentement (au cas par cas).
Pologne
❌
⚙️ cf. les lignes directrices du CEPD* : si un fournisseur de site web bloque l’affichage du contenu tant que l’utilisateur n’a pas cliqué sur « Accepter les cookies », le consentement n’est pas librement donné.
Croatie
❌
CEPD
❌
Danemark
❓
Finlande
❓
Suède
❓
Norvège
❓
Quelle est la durée de validité des choix de consentement une fois recueillis ?
France
6 mois
⚙️ Les cookies analytiques ne peuvent pas durer plus de 13 mois. Les informations recueillies par les cookies peuvent être conservées pendant un maximum de 25 mois.
Royaume-Uni
6 mois
⚙️ La durée du consentement doit être justifiable au regard de la finalité indiquée du cookie. Les utilisateurs doivent être informés de la durée des cookies.
Espagne
24 mois maximum
⚙️ L’AEPD* indique que le consentement devrait être redemandé au plus tard 24 mois après avoir été recueilli.
Irlande
6 mois
Belgique
❓
⚙️ Le consentement à un cookie ne peut pas être conservé plus longtemps que nécessaire pour atteindre la finalité indiquée, selon l’autorité belge de protection des données*.
Allemagne
❓
Portugal
❓
Italie
6 mois
Pologne
❓
⚙️ Aucun délai spécifique pour l’UODO*, qui suit les bonnes pratiques recommandées par le CEPD : renouvellement du consentement à intervalles appropriés. Fournir à nouveau toutes les informations aide à s’assurer que la personne concernée reste bien informée sur la manière dont ses données sont traitées et sur la façon d’exercer ses droits.
Croatie
❓
⚙️ Les cookies de session, par exemple, qui sont conçus pour fonctionner uniquement pendant la durée d’une session de navigation ou un peu plus longtemps, devraient avoir une durée de vie courte et être configurés pour expirer une fois leur finalité limitée atteinte. La date d’expiration d’un cookie doit être proportionnée à sa finalité.
CEPD
❓
⚙️ Lignes directrices du CEPD*: « En principe, il peut être suffisant de demander le consentement d’une personne concernée une seule fois. Toutefois, les responsables du traitement doivent obtenir un nouveau consentement spécifique si les finalités du traitement changent après l’obtention du consentement ou si une finalité supplémentaire est envisagée. » Si les opérations de traitement changent ou évoluent de manière considérable, le consentement initial n’est plus valable.
Danemark
5 ans
⚙️ Le retrait du consentement doit être aussi simple que son octroi.
Finlande
❓
⚙️ Le retrait du consentement doit être aussi simple que son octroi.
Suède
5 ans
⚙️ Le retrait du consentement doit être aussi simple que son octroi.
Norvège
❓
⚙️ Le retrait du consentement doit être aussi simple que son octroi.
Le consentement est-il valable par défilement / poursuite de la navigation ?
France
❌
Royaume-Uni
❌
Espagne
❌
Irlande
❌
⚙️ Pour le défilement, la notice sur les cookies ne doit pas disparaître tant que l’utilisateur n’a pas fait son propre choix, quelle que soit l’action.
Belgique
❌
⚙️ Le consentement est valable s’il y a une interaction active de l’utilisateur, comme un clic ou l’activation d’un bouton par glissement (boutons à bascule).
Allemagne
❌
Portugal
❌
Italie
❌
Pologne
❌
⚙️ cf. lignes directrices du CEPD* de mai 2020 : le défilement ou le balayage d’une page web, ou toute activité similaire de l’utilisateur, ne satisfera en aucun cas l’exigence d’une action affirmative, car « le silence, les cases précochées ou l’inaction ne devraient pas [...] constituer un consentement ». (RGPD* considérant 32)
Croatie
❌
⚙️ Les cookies qui ne remplissent pas l’un des deux cas d’exemption spécifiques de la directive ePrivacy et qui sont donc dispensés d’obtenir le consentement ne doivent pas être déposés ni exploités sur l’appareil d’un utilisateur avant l’obtention de son consentement.
Les deux exemptions sont connues sous les noms d’exemption relative aux communications et d’exemption strictement nécessaire.*
CEPD
❌
Danemark
❌
Finlande
❌
Suède
❌
Norvège
❌
Est-il légal d’avoir des cases pré-cochées sur les bannières cookies ?
France
❌
Royaume-Uni
❌
Espagne
❓
Irlande
❌
Belgique
❌
Allemagne
❌
Portugal
❌
Italie
❌
Pologne
❌
Croatie
❌
CEPD
❌
Danemark
❓
Finlande
❓
Suède
❓
Norvège
❓
La preuve du consentement est-elle obligatoire comme le précise le RGPD ?
France
✔️
⚙️ L’entité qui recueille le consentement doit également pouvoir transmettre la preuve du consentement aux tiers qui ont traité les données de l’utilisateur sur la base de ce consentement.
Royaume-Uni
✔️
Espagne
✔️
⚙️ Non précisé mais implicite.
Irlande
✔️
Belgique
✔️
Allemagne
✔️
Portugal
✔️
Italie
✔️
Pologne
✔️
⚙️ cf. considérant 42 du RGPD : « Lorsque le traitement est fondé sur le consentement de la personne concernée, le responsable du traitement devrait être en mesure de démontrer que la personne concernée a donné son consentement à l’opération de traitement. »
Croatie
✔️
CEPD
✔️
⚙️ Non précisé mais implicite.
Danemark
❓
Finlande
✔️
⚙️ La preuve du consentement doit inclure : la date et l’heure à laquelle le consentement a été demandé et obtenu, la manière dont le consentement a été demandé, les informations fournies pour demander le consentement, et les identifiants qui indiquent par qui et/ou depuis quel appareil le consentement a été donné
Suède
❓
Norvège
❓
Le consentement doit-il être granulaire par finalité dans les notices de consentement ?
France
✔️
⚙️ Le consentement est recueilli par site web/application sauf s’il est clairement indiqué qu’il est recueilli pour un groupe de sites web/applications. Le consentement doit être unique et renouvelé pour chaque plateforme. En cas de consentement à des traceurs intersites/inter-applications, l’utilisateur doit être informé dès le premier niveau.
Royaume-Uni
❌
⚙️ Pas nécessairement par finalité, mais le consentement doit être spécifique à un service particulier.
Espagne
✔️
⚙️ Non précisé mais implicite.
Irlande
✔️
⚙️ Pour le défilement, la notice sur les cookies ne doit pas disparaître tant que l’utilisateur n’a pas fait son propre choix, quelle que soit l’action.
Belgique
✔️
Allemagne
✔️
La nécessité d’une granularité par finalité est implicite : « il doit être possible de sélectionner individuellement des activités de traitement particulières".
Portugal
✔️
Italie
✔️
🔎 Il doit être granulaire par finalité ou par catégorie. En outre, un lien avec la liste des fournisseurs doit être fourni dans la première couche du CMP.
Pologne
✔️
⚙️ cf. les lignes directrices du CEPD* sur la granularité.
Croatie
✔️
⚙️ cf. les lignes directrices du RGPD sur la granularité : considérant 32*. Si plusieurs finalités sont confondues pour le traitement et qu’il n’est pas possible de demander un consentement indépendant pour chacune, il y a absence de liberté.
CEPD
✔️
Danemark
✔️
Finlande
❓
Suède
✔️
Norvège
✔️
Faut-il lister les cookies un par un ?
France
❌
Royaume-Uni
❌
⚙️ La bonne pratique serait de fournir une description des cookies.
Espagne
❌
⚙️ Une liste par finalité est valable.
Irlande
✔️
Probablement : ⚙️ Le consentement est obtenu pour chaque finalité pour laquelle des cookies sont déposés. Le consentement n’a pas nécessairement besoin d’être obtenu individuellement pour chaque cookie, « mais uniquement pour la finalité pour laquelle il est utilisé ».
Belgique
❓
⚙️ Ambivalence entre l’approche par finalité suggérée au premier niveau de consentement et l’approche par cookie par la suite, tout en soulignant que le RGPD n’impose pas une approche par cookie.
Allemagne
❌
Portugal
✔️
⚙️ Pour la CNPD*, le consentement doit être donné pour chaque cookie avec les informations pertinentes, y compris la durée de conservation. Comme le choix est individuel, il devrait également être possible de tout accepter ou de tout refuser.
Italie
❌
Pologne
❓
Croatie
✔️
⚙️ Il est fortement recommandé de lister les cookies un par un.
Danemark
❓
Finlande
❓
Suède
❓
Norvège
❓
En cas de doute, veuillez contacter votre délégué à la protection des données (DPO) ou votre service juridique !
📕 Sources et informations utiles sur les lignes directrices relatives aux cookies
🍪 France
Autorité de protection des données : Commission Nationale de l’Informatique et des Libertés (CNIL)
🍪 Royaume-Uni
Autorité de protection des données : Information Commissioner's Office (ICO)
🍪 Espagne
Autorité de protection des données : Agencia de Protección de Datos (AEPD)
🍪 Irlande
Autorité de protection des données : Office du commissaire à la protection des données
🍪 Belgique
Autorité de protection des données : Autorité de protection des données
🍪 Allemagne
Autorité de protection des données : Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
🍪 Portugal
Autorité de protection des données : Comissão Nacional de Proteção de Dados (CNPD)
🍪 Italie
Autorité de protection des données : Garante per la protezione dei dati personali (GPDP)
🍪 Pologne
Autorité de protection des données : Urząd Ochrony Danych Osobowych (UODO)
Loi sur les télécommunications du 16 juillet 2004 (cf. articles 173 et 174 page 86 : la loi exige le consentement d’un abonné ou d’un utilisateur final, les dispositions relatives à la protection des données à caractère personnel s’appliquent à l’obtention de ce consentement. Par conséquent, le consentement pour les cookies doit répondre aux mêmes exigences que le consentement au traitement des données à caractère personnel).
🍪 Croatie
Autorité de protection des données : Agencija za zaštitu osobnih podataka (AZOP)
*Le consentement est-il valable par défilement / poursuite de la navigation ?
L’exemption relative aux communications
Cela s’applique aux cookies dont l’unique finalité est d’assurer la transmission d’une communication sur un réseau, par exemple pour identifier les extrémités de la communication. Cela peut également s’appliquer aux cookies utilisés pour permettre l’échange d’éléments de données dans leur ordre prévu, comme la numérotation des paquets de données. Cela s’applique également aux cookies utilisés pour détecter les erreurs de transmission ou les pertes de données.
L’exemption strictement nécessaire
Un cookie exempté au titre de ce critère doit satisfaire simultanément à deux tests :
- l’exemption s’applique aux « services de la société de l’information » (SSI) – c’est-à-dire un service fourni via Internet, tel qu’un site web ou une application.
- Ce service doit avoir été explicitement demandé par l’utilisateur et l’utilisation du cookie doit être limitée à ce qui est strictement nécessaire pour fournir ce service.
🍪 UE
Autorité de protection des données : CEPD (Comité européen de la protection des données)
🍪 Suède
Autorité de protection des données : Loi sur la protection des données (Sveriges Riksdag)
Mis à jour