Réglementations sur les cookies et la vie privée : un panorama mondial

La conformité en matière de cookies n'est pas régie par une loi unique. Elle est façonnée par une mosaïque de réglementations nationales et régionales dont la portée, les exigences et les modalités d'application varient considérablement. Pour tout site web s'adressant à un public international — ce qui, sur l'internet ouvert, concerne pratiquement chaque site — il est essentiel de comprendre quelles lois s'appliquent et en quoi elles diffèrent.

Ce guide dresse la carte du paysage réglementaire mondial des cookies et du suivi en ligne, du modèle européen fondé sur le consentement à l'approche américaine d'information et de choix, en passant par les cadres émergents ailleurs dans le monde.

La mosaïque mondiale

Il n'existe pas de « loi sur les cookies » unique. La conformité en matière de cookies se situe plutôt à l'intersection des réglementations sur la vie privée, des directives sur les communications électroniques et des lois sur la protection des consommateurs. Il en résulte un paysage complexe, parfois contradictoire, où un même site web peut être soumis à des règles différentes selon l'emplacement de ses visiteurs.

Deux grands modèles se sont dégagés :

• Le modèle européen (le consentement d'abord) : les cookies non essentiels ne peuvent être déposés qu'après que l'utilisateur a donné un consentement éclairé, spécifique et libre. Par défaut, aucun suivi n'a lieu. L'utilisateur doit s'y opposer par une adhésion active (opt-in).
• Le modèle américain (information et choix) : les entreprises doivent divulguer leurs pratiques de collecte de données et donner aux utilisateurs la possibilité de refuser certains usages (en particulier la vente ou le partage d'informations personnelles). Par défaut, le suivi est actif, l'utilisateur pouvant s'y opposer (opt-out).

La plupart des nouvelles réglementations sur la vie privée dans le monde convergent vers le modèle européen, bien qu'avec des variations locales. Comprendre les deux modèles — et les lois spécifiques qui les composent — est indispensable pour tout site web opérant au-delà des frontières.

Le cadre européen : directive ePrivacy + GDPR

L'approche de l'Union européenne en matière de réglementation des cookies repose sur deux instruments juridiques qui fonctionnent de concert :

La directive ePrivacy (2002/58/CE)

La directive ePrivacy — souvent appelée « directive cookies » — est la principale loi européenne régissant l'utilisation des cookies et technologies de suivi similaires. Sa disposition clé, l'article 5, paragraphe 3, prévoit :

Les États membres garantissent que le stockage d'informations, ou l'obtention de l'accès à des informations déjà stockées, dans l'équipement terminal d'un abonné ou d'un utilisateur n'est permis qu'à condition que l'abonné ou l'utilisateur concerné ait donné son consentement, après avoir reçu une information claire et complète.

La seule exception concerne les cookies « strictement nécessaires » à la fourniture d'un service expressément demandé par l'utilisateur — par exemple, les cookies de session pour un panier d'achat ou un état de connexion.

Point important : la directive ePrivacy est une directive, et non un règlement. Cela signifie que chaque État membre de l'UE l'a transposée dans son droit national avec des variations locales. Le principe fondamental (consentement requis pour les cookies non essentiels) reste constant, mais les détails de mise en œuvre diffèrent. Par exemple :

• France (CNIL) : a publié des lignes directrices détaillées sur les cookies, incluant une exemption limitée pour certains outils de mesure d'audience répondant à des conditions strictes (anonymisation, absence de suivi inter-sites, durée de conservation limitée).
• Allemagne : mise en œuvre via la TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz), entrée en vigueur en décembre 2021, qui a explicitement codifié l'exigence de consentement.
• Italie (Garante) : a publié en 2021 des lignes directrices détaillées sur les cookies exigeant un bouton de refus dès le premier niveau et interdisant les cookie walls.
• Pays-Bas (AP) : a adopté une position quelque peu plus permissive à l'égard des cookie walls, suggérant qu'ils peuvent être acceptables si l'utilisateur dispose d'un moyen alternatif réel d'accéder au contenu.

Le GDPR (règlement (UE) 2016/679)

Le Règlement général sur la protection des données ne mentionne pas spécifiquement les cookies, mais il régit le traitement des données personnelles — et les cookies impliquent fréquemment des données personnelles. Le GDPR est pertinent pour la conformité en matière de cookies à plusieurs égards :

• Norme de consentement (article 4, point 11, article 7) : le GDPR définit ce qui constitue un consentement valide : libre, spécifique, éclairé, univoque, exprimé par un acte positif clair. Cette norme s'applique au consentement aux cookies obtenu au titre de la directive ePrivacy.
• Transparence (articles 12 à 14) : lorsque les cookies traitent des données personnelles, les exigences de transparence du GDPR s'appliquent. Votre politique en matière de cookies doit donc fournir des informations précises sur le traitement de données concerné.
• Base juridique (article 6) : le traitement de données personnelles au moyen de cookies requiert une base juridique. Pour les cookies non essentiels, cette base est le consentement. Certains responsables de traitement tentent de s'appuyer sur l'intérêt légitime (article 6, paragraphe 1, point f), mais les autorités de protection des données ont de plus en plus rejeté l'intérêt légitime comme base pour le suivi publicitaire et analytique.
• Droits des personnes concernées (articles 15 à 22) : les utilisateurs disposent de droits d'accès, de rectification, d'effacement et de portabilité de leurs données — y compris celles collectées par le biais de cookies.
• Portée extraterritoriale (article 3) : le GDPR s'applique à toute organisation qui traite les données personnelles de personnes se trouvant dans l'UE, quel que soit le lieu d'établissement de l'organisation. Une entreprise américaine ciblant des clients de l'UE doit s'y conformer.

Le futur règlement ePrivacy

La Commission européenne a proposé en 2017 un règlement ePrivacy destiné à remplacer la directive ePrivacy, à harmoniser les règles entre les États membres et à les actualiser au regard des technologies modernes. Au début de l'année 2026, ce règlement n'a pas encore été finalisé. Les négociations ont été longues, marquées par des désaccords sur les exceptions liées à l'intérêt légitime, les dispositions relatives aux cookie walls et les mécanismes de consentement au niveau du navigateur.

Une fois adopté, le règlement ePrivacy s'appliquera directement dans tous les États membres (contrairement à la directive actuelle, qui nécessite une transposition nationale). D'ici là, la directive ePrivacy existante et ses transpositions nationales demeurent le droit applicable.

Le cadre américain : lois sur la vie privée au niveau des États

Les États-Unis ne disposent d'aucune loi fédérale sur les cookies ni d'aucune loi fédérale globale sur la vie privée (au début de l'année 2026). La réglementation de la vie privée a plutôt émergé au niveau des États, créant une mosaïque d'exigences.

Californie : CCPA et CPRA

Le California Consumer Privacy Act (CCPA), tel que modifié par le California Privacy Rights Act (CPRA), est la loi américaine sur la vie privée la plus complète au niveau d'un État. Ses principales dispositions pertinentes pour les cookies :

• Droit de refuser la vente/le partage. Les consommateurs ont le droit de s'opposer à la « vente » ou au « partage » de leurs informations personnelles. Au titre du CPRA, le « partage » englobe le partage de données avec des tiers à des fins de publicité comportementale inter-contextuelle — soit précisément ce que font la plupart des cookies publicitaires.
• Pas de consentement préalable requis. Contrairement au modèle européen, le CCPA/CPRA n'exige pas de consentement préalable pour les cookies. Par défaut, le suivi est autorisé, et les utilisateurs doivent activement s'y opposer.
• Lien « Do Not Sell or Share ». Les entreprises doivent afficher sur leur site web un lien bien visible « Do Not Sell or Share My Personal Information » (Ne pas vendre ou partager mes informations personnelles).
• Global Privacy Control (GPC). Les entreprises doivent honorer le signal de navigateur GPC comme une demande d'opposition valide. Si le navigateur d'un utilisateur envoie un signal GPC, l'entreprise doit le traiter comme si l'utilisateur avait cliqué sur « Do Not Sell or Share ».
• Information au moment de la collecte. Les entreprises doivent divulguer, au moment de la collecte ou avant celle-ci, les catégories d'informations personnelles collectées et les finalités de leur utilisation.

Autres lois d'États américains

Suivant l'exemple de la Californie, de nombreux États américains ont adopté des lois complètes sur la vie privée. Au début de l'année 2026, les États dotés de lois sur la vie privée en vigueur incluent :

D'autres États ont adopté des lois dont les dates d'entrée en vigueur se situent en 2025 et 2026. La tendance est claire : la réglementation de la vie privée au niveau des États se développe, et la plupart des nouvelles lois prévoient des droits d'opposition à la publicité ciblée qui affectent directement les pratiques relatives aux cookies.

Autres réglementations notables

Royaume-Uni : UK GDPR et PECR

Après le Brexit, le Royaume-Uni a conservé le GDPR sous la forme du « UK GDPR » et continue d'appliquer les Privacy and Electronic Communications Regulations (PECR), qui transposent la directive ePrivacy. Les exigences relatives aux cookies sont pour l'essentiel identiques à celles de l'UE : un consentement préalable est requis pour les cookies non essentiels, avec une exception étroite pour les cookies strictement nécessaires. L'Information Commissioner's Office (ICO) veille à l'application de ces règles et a publié des orientations détaillées sur les cookies.

Brésil : LGPD

La Lei Geral de Proteção de Dados (LGPD) brésilienne, en vigueur depuis 2020, s'inspire fortement du GDPR. Elle exige une base juridique pour le traitement des données personnelles, y compris celles collectées au moyen de cookies. Bien que la LGPD ne comporte pas d'équivalent direct de la disposition spécifique aux cookies de la directive ePrivacy, le consentement ou l'intérêt légitime doit être établi pour tout traitement de données fondé sur les cookies. L'ANPD (autorité nationale de protection des données) publie progressivement des orientations sur les cookies et le consentement.

Canada : PIPEDA et projet de loi C-27

La Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA) du Canada exige un « consentement valable » pour la collecte, l'utilisation et la divulgation de renseignements personnels. Pour les cookies qui collectent des renseignements personnels, les organisations doivent obtenir un consentement et fournir des informations claires sur leurs pratiques. Le projet de loi C-27, la future Loi sur la protection de la vie privée des consommateurs, moderniserait le cadre canadien avec des exigences de consentement renforcées, mais son adoption a été retardée.

Japon : APPI

La loi japonaise sur la protection des informations personnelles (APPI), modifiée en 2022, a introduit la notion d'« informations pouvant être rattachées à une personne », qui peut inclure des identifiants de cookies dans certains contextes. Lorsque des données de cookies sont combinées à d'autres informations pour identifier une personne, des exigences de consentement s'appliquent.

Corée du Sud : PIPA

La loi sur la protection des informations personnelles (PIPA) de la Corée du Sud, modifiée en 2023, exige un consentement pour la collecte et l'utilisation d'informations personnelles, ce qui peut inclure les données de cookies lorsqu'elles identifient ou peuvent identifier une personne.

Tendance à la convergence

Malgré la mosaïque actuelle, une tendance nette se dessine : la plupart des nouvelles lois sur la vie privée suivent le modèle européen d'une réglementation axée sur le consentement et donnant aux utilisateurs les moyens d'agir. Même les lois des États américains, bien que techniquement fondées sur l'opposition plutôt que sur l'adhésion, évoluent vers des exigences plus strictes avec des signaux d'opposition universels (GPC), des principes de minimisation des données et des définitions élargies des « informations personnelles » qui englobent les identifiants de cookies.

En pratique, cette convergence signifie que les sites web mettant en œuvre une conformité de niveau européen (consentement préalable, choix clair d'accepter/refuser, catégories granulaires, politiques transparentes) sont bien positionnés pour se conformer à la plupart des autres juridictions. La norme européenne constitue le plus grand dénominateur commun.

Évaluation des risques : quelles lois s'appliquent à votre site web ?

La question clé pour tout exploitant de site web est la suivante : quelles lois s'appliquent à moi ? La réponse dépend de deux facteurs :

1. Le lieu d'établissement de votre organisation. Vous êtes soumis aux lois sur la vie privée des juridictions où votre organisation dispose d'un établissement (bureau, filiale, succursale).
2. La localisation de vos utilisateurs. Au titre de la portée extraterritoriale du GDPR (article 3, paragraphe 2), vous êtes soumis au droit européen de la vie privée si vous offrez des biens ou services à des personnes se trouvant dans l'UE, ou si vous suivez le comportement de personnes se trouvant dans l'UE. Des dispositions extraterritoriales similaires existent dans le UK GDPR, la LGPD brésilienne et d'autres lois.

En pratique, si votre site web est accessible à des utilisateurs de l'UE — et que vous recevez du trafic en provenance de l'UE, ce qui est le cas de pratiquement tous les sites — vous devez vous conformer à la directive ePrivacy et au GDPR. Si vous avez du trafic américain, vous devez tenir compte du CCPA/CPRA (Californie) et des autres lois d'États applicables.

Une approche pragmatique :

• Mettez en œuvre un consentement de norme européenne pour tous les visiteurs de l'UE/EEE/Royaume-Uni (consentement préalable par adhésion pour les cookies non essentiels).
• Mettez en œuvre des mécanismes d'opposition pour les visiteurs américains (lien Do Not Sell/Share, prise en charge du GPC).
• Optez par défaut pour la norme la plus élevée si la détection géographique s'avère peu pratique. Le consentement de niveau européen satisfait à pratiquement toutes les juridictions.

Portée extraterritoriale

L'un des aspects les plus marquants de la réglementation moderne de la vie privée est sa portée extraterritoriale. Le GDPR (article 3, paragraphe 2) s'applique aux organisations situées hors de l'UE qui :

• offrent des biens ou services à des personnes se trouvant dans l'UE (même gratuitement — un site web accessible dans l'UE et ciblant des utilisateurs de l'UE remplit cette condition), ou
• suivent le comportement de personnes se trouvant dans l'UE (le suivi analytique et publicitaire constitue un suivi de comportement).

Cela signifie qu'une entreprise américaine utilisant Google Analytics sur un site web recevant du trafic de l'UE est, techniquement, soumise au GDPR et aux exigences de la directive ePrivacy relatives aux cookies. Les mesures d'exécution à l'encontre d'organisations hors UE ont historiquement été limitées, mais elles se multiplient, en particulier pour les grandes entreprises. Le risque concret pour les organisations plus modestes dépend de leur visibilité et du volume de plaintes, mais l'obligation juridique existe indépendamment de la taille.

Paysage de l'application des règles

L'application des règles de conformité en matière de cookies s'est considérablement intensifiée depuis 2020. Principales tendances :

Qui applique les règles

Dans l'UE, les autorités nationales de protection des données (APD) veillent à l'application tant de la directive ePrivacy que du GDPR. Parmi les autorités les plus actives figurent la CNIL (France), le Garante (Italie), le Datatilsynet (Danemark et Norvège), le BfDI (Allemagne, au niveau fédéral) et l'APD (Belgique). L'EDPB coordonne l'application transfrontalière.

Aux États-Unis, le procureur général de Californie et la California Privacy Protection Agency veillent à l'application du CCPA/CPRA. Les procureurs généraux des États appliquent les autres lois d'États.

Comment ils appliquent les règles

• Enquêtes déclenchées par des plaintes. La plupart des actions d'exécution débutent par une plainte d'un utilisateur auprès d'une APD. Cette plainte déclenche une enquête sur les pratiques du site web en matière de cookies.
• Enquêtes par balayage. Les APD procèdent périodiquement à des balayages sectoriels, analysant des centaines de sites web pour vérifier leur conformité en matière de cookies. La CNIL, le Garante italien et le Datatilsynet danois ont tous mené des balayages médiatisés.
• Plaintes d'ONG. Des organisations de défense de la vie privée telles que noyb (dirigée par Max Schrems) ont déposé des plaintes de masse à l'encontre de centaines de sites web, générant un volume important d'actions d'exécution. Les seules plaintes de noyb relatives aux bannières de cookies ont donné lieu à des dizaines d'actions d'exécution dans toute l'UE.

Sanctions

Les amendes au titre du GDPR pour les violations relatives aux cookies peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En pratique, les amendes pour violations relatives aux cookies ont varié de simples avertissements (pour de petites organisations commettant des infractions mineures) à 150 millions d'euros (Google, CNIL, 2022). La tendance est à des amendes plus élevées et à une application plus fréquente.

Au-delà des amendes, la non-conformité entraîne un risque réputationnel, une atteinte à la confiance des consommateurs et le coût opérationnel d'une mise en conformité d'urgence sous injonction réglementaire.

Passiro vous aide à naviguer dans cette complexité réglementaire grâce à une conformité automatisée qui s'adapte aux lois applicables à vos visiteurs. Découvrez comment Passiro simplifie la conformité en matière de cookies à travers les juridictions.