Blog

Les lois sur les cookies par pays : opt-in, opt-out et amendes maximales en 2026

Tableau mondial des règles de consentement aux cookies en 2026 : loi, opt-in ou opt-out, autorité et amende maximale dans 36 juridictions, sources officielles.

Publié le 21 octobre 2026 · Par l’équipe Cookiequiet

Le consentement préalable (opt-in) aux cookies non essentiels est la règle dans l’UE et l’EEE, au Royaume-Uni, en Turquie et au Nigeria, ainsi que pour les fonctions de suivi au Québec. Les États-Unis appliquent un modèle d’opposition (opt-out) en Californie et dans les autres États dotés d’une loi sur la vie privée, la Suisse exige une information et un droit de refuser, et la plus grande partie de l’Asie-Pacifique, de l’Amérique latine et du Moyen-Orient n’a pas de règle propre aux cookies mais traite les données issues des cookies comme des données personnelles, le consentement étant la base légale principale ou l’une de plusieurs. Les amendes maximales vont de 10 000 $ NZ en Nouvelle-Zélande à 4 % du chiffre d’affaires mondial sous le RGPD, 5 % en Chine et 10 % du chiffre d’affaires total en Corée du Sud pour les cas aggravés.

Comment lire le tableau

Opt-in : les cookies non essentiels ne peuvent être déposés qu’après l’accord du visiteur ; les cookies strictement nécessaires sont exemptés.
Opt-out : les cookies peuvent être déposés, mais les visiteurs doivent en être informés et pouvoir refuser, au moins pour la publicité.
Consentement parmi d’autres bases : pas de règle propre aux cookies ; la loi sur la protection des données s’applique aux données issues des cookies, et le consentement est une base légale parmi d’autres (contrat, intérêt légitime, etc.).
Information : la loi exige une information, pas un consentement.

Les faits ont été vérifiés le 21 octobre 2026 sur le texte officiel de la loi ou sur le site de l’autorité, listés dans les sources. Les amendes sont des plafonds légaux, pas des montants habituels.

Europe

Juridiction	Loi	Modèle	Autorité	Amende maximale
UE et EEE	Directive ePrivacy, art. 5, paragraphe 3 ; RGPD	Opt-in	Autorités nationales, coordonnées par le CEPD	20 millions d’euros ou 4 % du chiffre d’affaires mondial (RGPD)
France	Art. 82 de la loi Informatique et Libertés	Opt-in	CNIL	10 millions d’euros ou 2 % du chiffre d’affaires mondial (art. 20)
Allemagne	§ 25 TDDDG	Opt-in	Autorités de protection des données des Länder	300 000 € pour un manquement au § 25
Italie	Codice privacy, art. 122 ; lignes directrices du Garante du 10 juin 2021	Opt-in ; le défilement de la page ne vaut jamais consentement	Garante	20 millions d’euros ou 4 % du chiffre d’affaires mondial
Espagne	LSSI, art. 22.2	Opt-in	AEPD	30 000 € par infraction mineure
Pays-Bas	Telecommunicatiewet, art. 11.7a	Opt-in ; mesure d’audience à faible impact exemptée	ACM	900 000 € ou 1 % du chiffre d’affaires
Royaume-Uni	PECR, règlement 6 ; UK GDPR	Opt-in ; opt-out pour les exceptions statistiques et d’apparence depuis le 5 février 2026	ICO	17,5 millions de £ ou 4 % du chiffre d’affaires mondial
Suisse	Loi sur les télécommunications, art. 45c ; LPD	Information et droit de refuser (opt-out)	PFPDT	250 000 CHF, amende pénale infligée à la personne physique responsable
Turquie	KVKK ; guide sur les cookies de juillet 2025	Opt-in pour les cookies non essentiels	Autorité de protection des données personnelles	17 092 242 TRY (plafond 2026)

Les Amériques

Juridiction	Loi	Modèle	Autorité	Amende maximale
États-Unis, niveau fédéral	Aucune règle fédérale de consentement aux cookies	Aucun	Aucune pour les cookies	Aucune
Californie	CCPA modifié par le CPRA	Opt-out de la vente et du partage ; Global Privacy Control respecté	CPPA et procureur général	2 663 $ par violation, 7 988 $ si intentionnelle
Autres États américains	18 lois d’État, dont celles de la Virginie, du Colorado et du Texas	Opt-out de la publicité ciblée	Procureurs généraux des États	En général 7 500 $ par violation ; Colorado 20 000 $
Canada	LPRPDE (PIPEDA)	Consentement valable, exprès ou implicite ; opt-out accepté pour la publicité comportementale non sensible	Commissariat à la protection de la vie privée	100 000 $ CA par infraction
Québec	Loi 25	Opt-in pour les fonctions de suivi (art. 8.1)	CAI	10 millions de $ CA ou 2 % du chiffre d’affaires mondial (administratif) ; 25 millions de $ CA ou 4 % (pénal)
Brésil	LGPD ; guide cookies de l’ANPD de 2022	Consentement, l’une des dix bases	ANPD	2 % du chiffre d’affaires au Brésil, plafonné à 50 millions de R$ par infraction
Mexique	LFPDPPP du 20 mars 2025	Consentement tacite après un avis de confidentialité (opt-out)	Secretaría Anticorrupción y Buen Gobierno	320 000 fois l’UMA, jusqu’au double pour les données sensibles
Argentine	Loi 25.326	Consentement libre, exprès et éclairé comme règle générale	AAIP	100 000 ARS par infraction (art. 31)
Chili	Loi 21.719, en vigueur le 1er décembre 2026	Consentement préalable, une base parmi plusieurs	Agencia de Protección de Datos Personales	20 000 UTM ; 4 % du chiffre d’affaires annuel pour les manquements très graves répétés
Colombie	Loi 1581 de 2012	Autorisation préalable et éclairée (opt-in)	SIC	2 000 salaires minimums mensuels

Asie-Pacifique

Juridiction	Loi	Modèle	Autorité	Amende maximale
Japon	APPI ; loi sur les activités de télécommunications, art. 27-12 (depuis le 16 juin 2023)	Information, consentement ou opt-out pour l’envoi de données d’utilisateurs à des tiers	PPC ; ministère des Affaires intérieures et des Communications	100 millions de ¥ pour une personne morale (APPI, art. 184)
Corée du Sud	PIPA	Collecte automatique déclarée dans la politique de confidentialité ; consentement, l’une des sept bases	PIPC	3 % du chiffre d’affaires total ; 10 % pour les cas aggravés depuis le 11 septembre 2026
Chine	PIPL	Consentement comme base principale dans une liste fermée, sans intérêt légitime	CAC	50 millions de RMB ou 5 % du chiffre d’affaires de l’année précédente
Inde	DPDP Act 2023 et règles de 2025 ; principales obligations applicables 18 mois après le 13 novembre 2025	Consentement ou usages légitimes listés	Data Protection Board of India	250 crores de ₹
Singapour	PDPA 2012 ; lignes directrices de la PDPC	Consentement ; non requis pour les cookies qui ne collectent aucune donnée personnelle	PDPC	10 % du chiffre d’affaires à Singapour au-delà de 10 millions de $ SG, sinon 1 million de $ SG
Thaïlande	PDPA 2019, pleinement en vigueur depuis le 1er juin 2022	Consentement avant la collecte, avec six exceptions	PDPC	5 millions de THB (administratif)
Vietnam	Loi 91/2025/QH15, en vigueur le 1er janvier 2026	Consentement, le silence ne vaut pas consentement ; les réseaux sociaux doivent permettre de refuser les cookies	Ministère de la Sécurité publique	3 milliards de VND ; 5 % du chiffre d’affaires pour les manquements liés aux transferts ; 10 fois le revenu tiré de la vente de données
Indonésie	Loi 27 de 2022, mise en conformité exigée au 17 octobre 2024	Consentement explicite, l’une des six bases	Autorité pas encore créée	2 % du chiffre d’affaires annuel
Philippines	Data Privacy Act de 2012	Consentement, l’un de plusieurs critères	NPC	5 millions de PHP d’amende pénale (s. 33)
Australie	Privacy Act 1988	Information (APP 5) ; pas de règle de consentement aux cookies	OAIC	Le plus élevé de 50 millions de $ AU, 3 fois l’avantage obtenu ou 30 % du chiffre d’affaires ajusté
Nouvelle-Zélande	Privacy Act 2020	Information (IPP 3), pas de consentement	Privacy Commissioner	10 000 $ NZ pour les infractions

Afrique et Moyen-Orient

Juridiction	Loi	Modèle	Autorité	Amende maximale
Afrique du Sud	POPIA	Consentement, l’un des fondements licites	Information Regulator	10 millions de rands
Nigeria	NDPA 2023 ; GAID 2025 de la NDPC, art. 19	Opt-in pour les cookies non nécessaires	NDPC	Le plus élevé de 10 millions de NGN ou 2 % du chiffre d’affaires brut annuel pour les responsables de traitement d’importance majeure
Kenya	Data Protection Act 2019	Consentement, une base parmi d’autres	ODPC	5 millions de KES ou 1 % du chiffre d’affaires, le plus bas des deux
Israël	Loi de 1981 sur la protection de la vie privée, amendement 13	Consentement éclairé, explicite ou implicite	Privacy Protection Authority	Fixée par violation, par exemple 2 à 8 NIS par personne concernée ; pas de plafond unique
Émirats arabes unis	Décret-loi fédéral nº 45 de 2021	Consentement d’abord, avec des exceptions listées	UAE Data Office	Pas encore fixée par décision du Conseil des ministres ; zone franche ADGM jusqu’à 28 millions de $
Arabie saoudite	PDPL, décret royal M/19, modifié par M/148	Consentement par défaut ; exceptions dont l’intérêt légitime	Autorité compétente ; texte publié par la SDAIA	5 millions de SAR, doublés en cas de récidive
Égypte	Loi 151 de 2020 ; règlement d’application (décret 816 de 2025)	Consentement explicite sauf si la loi autorise le traitement	Personal Data Protection Center	5 millions d’EGP et emprisonnement pour les données sensibles et les transferts ; 1 million d’EGP pour un traitement sans consentement

Qu’est-ce que cela signifie pour un site qui reçoit des visiteurs du monde entier ?

Trois règles pratiques couvrent l’essentiel du tableau. Utilisez un bandeau d’opt-in avec « Tout refuser » partout où une règle d’opt-in s’applique : l’EEE, le Royaume-Uni, la Turquie, le Nigeria, et pour le suivi au Québec. Affichez un avis d’opposition avec un lien « Do not sell or share » aux visiteurs de Californie et des autres États américains dotés d’une loi sur la vie privée, et respectez Global Privacy Control. Ailleurs, informez clairement dans une politique de confidentialité et demandez le consentement là où la loi locale en fait la base légale, ce qu’un bandeau d’opt-in permet aussi de satisfaire.

Le ciblage géographique fait cela automatiquement. Cookiequiet l’inclut dans toutes ses offres, gratuite comprise : afficher le bandeau partout, seulement dans les pays réglementés ou dans une liste personnalisée, avec un avis d’opposition dans les États américains. Les réglages du bandeau pays par pays sont dans les obligations du bandeau cookies par pays.

Questions

Les pays de l’UE et de l’EEE, le Royaume-Uni, la Turquie et le Nigeria exigent un consentement avant les cookies non essentiels, et le Québec l’exige pour les fonctions de suivi. La Colombie exige une autorisation préalable pour les données personnelles en général. La Suisse, la Californie et les autres États américains dotés d’une loi sur la vie privée appliquent un modèle d’opposition (opt-out).

Aucune règle fédérale n’impose le consentement aux cookies. La Californie et 18 autres États ont des lois sur la vie privée qui donnent un droit de s’opposer à la vente ou au partage des données personnelles et à la publicité ciblée, ce qui couvre les cookies publicitaires et les pixels.

En proportion du chiffre d’affaires, la Corée du Sud permet jusqu’à 10 % du chiffre d’affaires total pour les cas aggravés depuis le 11 septembre 2026, la Chine jusqu’à 5 % du chiffre d’affaires de l’année précédente, et le RGPD jusqu’à 4 % du chiffre d’affaires mondial. L’Australie permet jusqu’à 30 % du chiffre d’affaires ajusté pour les atteintes graves.

Un bandeau d’opt-in avec « Tout refuser » respecte les règles les plus strictes, il est donc licite presque partout, mais il fait baisser le taux de consentement là où la loi ne l’exige pas et ne remplace pas le lien « Do not sell or share » qu’attendent les lois des États américains.

Sources

Mettez un bandeau discret sur votre site dès aujourd’hui

Gratuit pour un site avec toutes les fonctions essentielles, sans carte ni période d’essai qui expire. Passez un site en Starter pour €3 par mois pour le mettre à vos couleurs par IA sans la mention Cookiequiet, ou en Pro pour €9 pour le concevoir avec l’agent IA.

Commencer gratuitement, sans carte Voir les tarifs