Le consentement RGPD réglé avant le déclenchement de la première balise

Quelles lois encadrent les cookies dans l’UE ?

Deux textes fonctionnent ensemble. L’article 5(3) de la directive ePrivacy détermine quand un consentement est nécessaire : pour stocker ou lire toute information sur l’appareil d’un visiteur, sauf si c’est strictement nécessaire à un service demandé par le visiteur. Le RGPD détermine ce qu’est un consentement valable : libre, spécifique, éclairé et univoque, exprimé par un acte positif clair.

Chaque pays de l’UE transpose la directive ePrivacy dans son propre droit, et son autorité de protection des données la fait appliquer. C’est pourquoi les recommandations diffèrent sur certains points, par exemple l’exemption de certaines mesures d’audience, alors que la règle de base est partout la même : aucun cookie non essentiel avant l’opt-in.

Qu’ont ajouté les juges et les autorités ?

Dans l’arrêt Planet49 (2019), la Cour de justice de l’Union européenne a jugé qu’une case pré-cochée ne constitue pas un consentement valable, et que la règle couvre toutes les informations stockées sur un appareil, qu’il s’agisse ou non de données personnelles. Les lignes directrices du CEPD sur le consentement précisent que faire défiler la page ou poursuivre la navigation ne vaut pas consentement, et que retirer son consentement doit être aussi simple que de le donner.

Depuis, les autorités se concentrent sur la conception des bandeaux. Plusieurs ont sanctionné des entreprises qui cachaient l’option de refus derrière un second clic : c’est pourquoi les bandeaux opt-in de Cookiesh placent toujours Tout refuser au premier niveau.

Et le Royaume-Uni et la Suisse ?

Le Royaume-Uni applique le même modèle avec le RGPD britannique (UK GDPR) et les Privacy and Electronic Communications Regulations (PECR). Le Data (Use and Access) Act 2025 assouplit le consentement pour certaines finalités à faible risque, comme certaines mesures d’audience, à condition que les visiteurs en soient informés et puissent s’y opposer. La loi suisse révisée sur la protection des données n’exige pas d’opt-in pour chaque cookie, mais de nombreux sites suisses suivent la pratique européenne parce qu’ils s’adressent aussi à des visiteurs de l’UE. Les règles par défaut de Cookiesh traitent ces deux pays comme l’UE, et vous pouvez modifier ce réglage région par région.