Consentement aux cookies en Allemagne : le § 25 TDDDG expliqué

Que dit la loi allemande sur les cookies ?

L’Allemagne a transposé tardivement l’article 5, paragraphe 3 de la directive ePrivacy. Pendant des années, l’ancienne loi sur les télémédias (Telemediengesetz) a supposé un régime d’opposition (opt-out), jusqu’à ce que la Cour fédérale de justice (Bundesgerichtshof) juge dans l’affaire Cookie-Einwilligung II (28 mai 2020, I ZR 7/16), après l’arrêt Planet49 de la CJUE, que les cookies publicitaires exigent un consentement actif. Le législateur a alors adopté le TTDSG du 23 juin 2021, en vigueur depuis le 1er décembre 2021. Le 14 mai 2024, la Digitale-Dienste-Gesetz du 6 mai 2024, qui met en œuvre le règlement européen sur les services numériques, l’a renommé Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). La règle sur les cookies a gardé son numéro et son contenu.

Le § 25, alinéa 1 TDDDG prévoit que le stockage d’informations dans l’équipement terminal d’un utilisateur, ou l’accès à des informations qui y sont déjà stockées, n’est autorisé que si l’utilisateur a consenti sur la base d’une information claire et complète, et que l’information et le consentement suivent le RGPD. Le § 25, alinéa 2 prévoit deux exceptions : le stockage ou l’accès dont la seule finalité est la transmission d’un message sur un réseau public, et le stockage ou l’accès strictement nécessaire pour que le fournisseur puisse fournir un service numérique expressément demandé par l’utilisateur.

La règle est neutre sur le plan technologique. Les autorités considèrent qu’elle couvre les cookies, le local storage, les pixels et le fingerprinting, et elle s’applique qu’il y ait ou non des données personnelles en jeu. Ce qu’il advient ensuite des données est une question distincte, qui relève du RGPD.

Qui la fait appliquer ?

Il n’existe pas de régulateur unique des cookies. Pour les sites et applications privés, l’autorité compétente est l’autorité de protection des données du Land où la société est établie, par exemple le BayLDA en Bavière, la BlnBDI à Berlin ou la LfD en Basse-Saxe. Le commissaire fédéral (BfDI) ne contrôle le § 25 que pour les opérateurs de télécommunications et les organismes publics fédéraux. Les autorités se coordonnent au sein de la Datenschutzkonferenz (DSK), dont les lignes directrices destinées aux fournisseurs de services numériques, l’OH Digitale Dienste, font référence. Leur version actuelle, la 1.2, date de novembre 2024.

Que doit faire un bandeau cookies en Allemagne ?

Les lignes directrices de la DSK fixent les conditions d’un consentement valable au titre du § 25 :

• Le consentement exige un acte positif. Poursuivre la navigation, ou des paramètres de navigateur qui acceptent les cookies, ne valent pas consentement.
• Si le premier niveau comporte un bouton qui recueille le consentement pour plusieurs finalités, le premier niveau doit aussi décrire concrètement chacune de ces finalités. « Nous utilisons des cookies pour améliorer votre expérience » est trop vague.
• L’option de refus doit être présentée comme une alternative équivalente, comparable en taille, en couleur, en contraste et en police. Une option de refus cachée dans le texte courant, placée hors du bandeau ou pratiquement illisible ne compte pas.
• Un bouton intitulé « Paramètres ou refuser » qui ouvre un second niveau ne suffit pas à côté d’un bouton Accepter.
• Si le bandeau recouvre le contenu et ne peut pas simplement être ignoré, le consentement n’est en général pas libre lorsque refuser demande plus de clics ou d’attention qu’accepter.

Le tribunal administratif de Hanovre (Verwaltungsgericht Hannover) a confirmé cette lecture dans son jugement du 19 mars 2025 (10 A 5385/22). Le bandeau d’un éditeur de presse ne proposait que « Tout accepter » et « Paramètres » au premier niveau. Le tribunal a confirmé l’injonction de l’autorité de Basse-Saxe : lorsqu’une option « Tout accepter » existe, une option « Tout refuser » clairement visible doit aussi figurer au premier niveau, et les bandeaux ne doivent pas être conçus pour orienter les utilisateurs vers le consentement. Il a aussi jugé que Google Tag Manager exige un consentement. Notre guide du bouton Tout refuser traite de la conception.

La DSK ne fixe pas de durée précise avant de redemander. La règle générale est qu’un refus doit être respecté, et que retirer son consentement doit être aussi simple que le donner.

Les modèles « payer ou consentir » sont-ils autorisés en Allemagne ?

Oui, sous conditions. Dans une résolution du 22 mars 2023, la DSK a admis que le suivi peut reposer sur le consentement lorsque l’alternative est un abonnement sans suivi, même payant, à condition que l’option payante donne un accès équivalent à un service pour l’essentiel identique, à un prix habituel sur le marché. Les visiteurs qui choisissent l’option avec suivi doivent toujours pouvoir consentir finalité par finalité, et les abonnés qui ne donnent aucun consentement supplémentaire ne peuvent recevoir que les traceurs strictement nécessaires.

Les cookies de mesure d’audience exigent-ils un consentement en Allemagne ?

En général, oui. Contrairement à la France, l’Allemagne n’a pas d’exemption pour la mesure d’audience reconnue par les autorités. Les lignes directrices de la DSK ne donnent volontairement aucune liste d’outils exemptés, car la « mesure de portée » recouvre aussi bien un simple compteur de pages qu’une analyse comportementale détaillée. Un comptage des pages vues à partir des journaux du serveur sans données personnelles, ou un simple pixel de comptage du site lui-même qui ne collecte rien d’autre, peut relever de l’exception de stricte nécessité. Les outils de mesure d’audience tiers utilisant des identifiants, comme une installation standard de Google Analytics, exigent un consentement.

Que sont les services de gestion du consentement reconnus ?

Le § 26 TDDDG permet à des services indépendants de conserver les décisions de consentement d’un utilisateur et de les transmettre aux sites, pour que les personnes ne soient pas sollicitées à nouveau sur chaque site. Les modalités figurent dans l’Einwilligungsverwaltungsverordnung (EinwV) du 6 février 2025, en vigueur depuis le 1er avril 2025. Ces services ne doivent avoir aucun intérêt économique dans les consentements qu’ils gèrent et sont reconnus par le BfDI. Les sites peuvent les intégrer, sans y être obligés.

À combien s’élèvent les amendes en Allemagne ?

Un manquement au § 25 est une infraction administrative au titre du § 28, alinéa 1, n° 13 TDDDG, passible d’une amende jusqu’à 300 000 euros. Le traitement de données personnelles qui suit un cookie illicite, comme le profilage publicitaire, est apprécié au regard du RGPD, avec des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial. En pratique, les autorités allemandes ont surtout agi par injonctions et procédures judiciaires, comme l’affaire de Hanovre ci-dessus, plutôt que par des amendes cookies publiées. Les associations de consommateurs et les concurrents peuvent aussi agir en justice sur le fondement du droit allemand de la concurrence et de la consommation.

Comment Cookiequiet s’adapte aux règles allemandes ?

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout accepter et Tout refuser figurent au premier niveau avec la même taille et le même poids par défaut, et les visiteurs dont le navigateur demande l’allemand voient le bandeau en allemand. Chaque choix est enregistré dans un registre des consentements avec sa date et la version du bandeau. Le ciblage géographique est gratuit dans toutes les offres ; voir les tarifs.