Les règles du bandeau cookies par pays : une matrice pratique

Il existe deux familles de règles sur les cookies. Dans l’UE et l’EEE, au Royaume-Uni, au Brésil, en Turquie et au Québec, les cookies non essentiels exigent un consentement préalable (opt-in) : rien ne s’exécute avant le clic du visiteur, et refuser doit être aussi simple qu’accepter. Dans les États américains, en Suisse, au Canada (niveau fédéral) et au Japon, le modèle est celui de l’information et de l’opposition (opt-out) : vous pouvez déposer la plupart des cookies, mais vous devez le dire clairement et offrir un moyen de refuser, et dans douze États américains vous devez respecter le signal Global Privacy Control. Si votre audience couvre les deux familles, la réponse pratique est un bandeau qui change de comportement selon la région.

Cette page est un résumé opérationnel, pas un conseil juridique. Chaque ligne renvoie à la page détaillée de la loi, avec ses sources.

Que doit faire le bandeau dans chaque région ?

Pourquoi l’Europe est-elle en opt-in ?

L’article 5, paragraphe 3, de la directive ePrivacy exige un consentement avant de stocker ou de lire des informations sur un appareil, sauf ce qui est strictement nécessaire à un service demandé par le visiteur. Le RGPD définit la qualité de ce consentement : libre, spécifique, éclairé, univoque, et aussi simple à retirer qu’à donner, la charge de la preuve pesant sur le site. La Cour de justice a jugé dans l’arrêt Planet49 (2019) qu’une case pré-cochée ne vaut pas consentement. La task force « bandeaux cookies » du CEPD a conclu en 2023 qu’un premier niveau sans option de refus, ou avec une option de refus cachée derrière un lien, pose problème pour la plupart des autorités. Chaque pays applique ces règles par sa propre autorité et parfois son propre texte, d’où l’intérêt des pages par pays : voir la France, où la CNIL publie les recommandations les plus détaillées, et l’Allemagne, où la règle figure à l’article 25 du TDDDG.

Qu’est-ce qui a changé au Royaume-Uni ?

Le règlement 6 des PECR exige toujours un consentement préalable. Depuis le 5 février 2026, le Data (Use and Access) Act 2025 ajoute deux exceptions étroites : les statistiques internes utilisées pour améliorer votre propre service, et les cookies qui mémorisent les choix d’affichage, à condition que les visiteurs en soient informés et puissent s’y opposer gratuitement. La publicité, le suivi intersites et les pixels des réseaux sociaux exigent toujours un consentement, et les amendes PECR peuvent désormais atteindre l’échelle du UK GDPR. L’ICO a testé les 1 000 premiers sites britanniques au regard d’une règle simple : refuser doit être aussi simple qu’accepter.

La Suisse est-elle vraiment en opt-out ?

Pour l’essentiel, oui. L’article 45c de la loi sur les télécommunications impose aux sites d’informer les visiteurs du traitement effectué sur leur appareil, de sa finalité et de leur droit de refuser. La LPD suisse n’exige un consentement exprès que pour les données sensibles et le profilage à risque élevé. Les recommandations cookies du PFPDT de 2025 décrivent comme socle un modèle d’opposition avec une option Refuser bien visible, et l’opt-in pour le suivi intrusif. Beaucoup de sites suisses affichent simplement le bandeau européen, qui satisfait les deux.

Qu’exigent les États américains ?

Aucun État américain n’exige de consentement avant les cookies. Le CCPA/CPRA en Californie et les autres lois des États donnent aux visiteurs le droit de s’opposer à la vente ou au partage de leurs données et à la publicité ciblée, ce que les pixels publicitaires alimentent. Concrètement, cela veut dire un lien « Do Not Sell or Share My Personal Information » ou « Your privacy choices », une opposition qui arrête réellement les balises publicitaires, un opt-in pour les données sensibles, et la prise en compte de Global Privacy Control là où l’État l’exige : Californie, Colorado, Connecticut, Texas, Oregon, Montana, Delaware, New Jersey, New Hampshire, Nebraska, Minnesota et Maryland.

Canada et Québec : pourquoi deux lignes ?

La loi fédérale, la LPRPDE (PIPEDA), demande un consentement valable dont la forme dépend de la sensibilité. Le Commissariat à la protection de la vie privée accepte un consentement par opposition pour la publicité comportementale en ligne si les visiteurs en sont clairement informés, peuvent s’y opposer immédiatement et durablement, et si aucune donnée sensible ni aucun enfant n’est concerné. La Loi 25 du Québec va plus loin : une technologie capable d’identifier, de localiser ou de profiler une personne doit être désactivée par défaut, donc les cookies publicitaires et la mesure d’audience avec profilage exigent un opt-in pour les visiteurs québécois.

Brésil et Turquie

La LGPD brésilienne exige une base légale pour chaque cookie, et le guide cookies de l’ANPD indique que le consentement est la bonne base pour la publicité et la plupart des cookies non nécessaires. Son modèle de bandeau montre Accepter et Refuser côte à côte, sans rien de présélectionné. Les lignes directrices de la KVKK turque exigent un consentement explicite par un clic actif pour les cookies non essentiels et recommandent des boutons Accepter, Refuser et Préférences de même taille et de même couleur.

Et le reste du monde ?

• Japon. Depuis le 16 juin 2023, la règle sur les transmissions externes de la loi sur les activités de télécommunications impose aux exploitants de sites qui font envoyer des données à des tiers par le navigateur du visiteur (mesure d’audience, balises publicitaires) de faire l’une de trois choses : informer ou publier ce qui est envoyé, à qui et pourquoi ; obtenir un consentement ; ou proposer une opposition. La plupart des sites publient une page d’information. Voir Japon.
• Afrique du Sud. La POPIA traite les identifiants en ligne comme des informations personnelles, donc les cookies de suivi exigent un consentement ou un intérêt légitime qui résiste à la mise en balance.
• Australie. Le Privacy Act ne contient pas de règle de consentement aux cookies ; l’information et une politique de confidentialité s’appliquent quand les données identifient une personne, et la plupart des entreprises dont le chiffre d’affaires est inférieur à 3 millions de dollars australiens sont exemptées.
• Corée du Sud, Inde et autres. Les lois évoluent vite ; consultez les pages par pays comme la Corée du Sud avant de décider de ne rien afficher.

Comment construire un seul bandeau pour tout cela ?

Trois réglages couvrent la plupart des sites. Affichez le bandeau complet avec opt-in dans l’EEE, au Royaume-Uni, en Suisse, au Brésil, en Turquie, au Canada et en Afrique du Sud. Affichez un avis d’opposition avec un lien « Do not sell or share » aux visiteurs des États américains dotés d’une loi sur la vie privée, et respectez GPC. Ailleurs, n’affichez rien, ou l’avis d’opposition. Si vous ne pouvez pas détecter la région de façon fiable, affichez le bandeau avec opt-in partout : il satisfait chaque ligne du tableau.

Cookiequiet le fait avec le ciblage géographique sur chaque offre, y compris l’offre gratuite pour un site : le bandeau peut n’être affiché que dans les pays réglementés, avec un avis d’opposition pour les visiteurs des États américains et GPC respecté comme une opposition. L’installation tient en une balise script placée avant vos autres scripts, avec « Tout refuser » activé par défaut et Consent Mode v2 activé dans l’extrait que vous donne le tableau de bord, et prend environ cinq minutes entre l’inscription et un bandeau en ligne. Starter coûte 3 € par site et par mois ou 29 € par an, sans limite de pages vues ; la page tarifs donne le détail.