La loi argentine 25.326 : les règles cookies pour les visiteurs d’Argentine

Qu’est-ce que la loi argentine sur la protection des données ?

La loi 25.326 sur la protection des données personnelles a été adoptée le 4 octobre 2000 et partiellement promulguée le 30 octobre 2000 ; le décret d’application 1558/2001 la met en œuvre. Elle donne effet à la garantie d’habeas data de l’article 43 de la Constitution argentine. L’Argentine a été le premier pays d’Amérique latine à obtenir une décision d’adéquation de la Commission européenne, en 2003, qui permet aux données personnelles de circuler depuis l’UE sans garanties supplémentaires. Des propositions visant à remplacer la loi par un texte inspiré du RGPD ont été présentées au Congrès, mais la loi 25.326 reste la loi en vigueur.

L’autorité de contrôle est l’Agencia de Acceso a la Información Pública (AAIP), qui a repris ce rôle en 2017 à l’ancienne Direction nationale de la protection des données personnelles. L’AAIP publie des critères d’interprétation, tient le registre national des bases de données, enquête et prononce des sanctions.

À qui s’applique la loi ?

L’article 1 couvre les données personnelles contenues dans des fichiers, registres, bases de données ou autres moyens techniques de traitement, publics ou privés. Une donnée personnelle est une information de toute nature concernant des personnes identifiées ou identifiables, et la loi s’étend aussi, le cas échéant, aux personnes morales. Un site ou une application exploité depuis l’Argentine, ou qui tient une base d’utilisateurs argentins, en relève. La loi ne fixe aucun seuil de taille : les petites entreprises sont aussi couvertes.

Les données sensibles sont celles qui révèlent l’origine raciale et ethnique, les opinions politiques, les convictions religieuses, philosophiques ou morales, l’appartenance syndicale, et les informations sur la santé ou la vie sexuelle. Selon l’article 7, nul ne peut être contraint de les fournir, et elles ne peuvent être collectées que pour des motifs d’intérêt général autorisés par la loi ou à des fins statistiques ou scientifiques lorsque les personnes ne peuvent pas être identifiées.

Qu’exige la loi pour les cookies ?

L’Argentine n’a pas de règle écrite pour les cookies : les principes généraux s’appliquent dès qu’un cookie ou un identifiant similaire traite des données personnelles.

Le consentement doit être exprès. L’article 5 dispose que le traitement est illicite lorsque la personne n’a pas donné un consentement libre, exprès et éclairé, qui doit être consigné par écrit ou par un autre moyen pouvant lui être assimilé, selon les circonstances. Si le consentement est donné en même temps que d’autres déclarations, il doit figurer de façon expresse et mise en évidence. C’est une exigence plus élevée que le consentement tacite admis au Mexique ou que le modèle d’opposition des États américains : le silence, la poursuite de la navigation ou une case précochée sont difficiles à défendre comme un consentement exprès.

Exceptions. Le consentement n’est pas nécessaire lorsque les données proviennent de sources publiques d’accès libre, sont collectées pour l’exercice de fonctions de l’État ou en vertu d’une obligation légale, se limitent à des données d’identification de base dans des listes, ou découlent d’une relation contractuelle, scientifique ou professionnelle et sont nécessaires à celle-ci. Les cookies strictement nécessaires pour fournir un service demandé par le visiteur, comme un panier ou une session de connexion, peuvent s’appuyer sur l’exception contractuelle. Les cookies de mesure d’audience et de publicité ne le peuvent généralement pas.

L’information d’abord. L’article 6 impose d’informer les personnes, avant la collecte et de manière expresse et claire, de la finalité et des destinataires ou catégories de destinataires, de l’existence de la base de données et de l’identité et de l’adresse de son responsable, du caractère obligatoire ou non des réponses, des conséquences de la fourniture ou du refus des données, et des droits d’accès, de rectification et de suppression.

Profils publicitaires. L’article 27 n’autorise l’utilisation de données pour constituer des profils à des fins promotionnelles, commerciales ou publicitaires, ou pour établir des habitudes de consommation, que lorsque les données figurent dans des documents accessibles au public, ont été fournies par la personne ou ont été obtenues avec son consentement. La personne peut accéder gratuitement à ces données et demander à tout moment à être retirée de ces bases ou à ce que ses données y soient bloquées.

Un bandeau destiné aux visiteurs argentins qui explique les finalités et les destinataires, laisse les cookies de mesure d’audience et de publicité désactivés jusqu’à ce que le visiteur accepte, et lui permet de retirer son choix plus tard, répond à ces règles. Enregistrer le choix aide à prouver le consentement qu’exige l’article 5.

Quelles sont les sanctions ?

L’article 31 permet à l’autorité de contrôle de prononcer des avertissements, une suspension, des amendes de 1 000 à 100 000 ARS, et la fermeture ou l’annulation du fichier, du registre ou de la base de données, sans préjudice des dommages et intérêts civils et des sanctions pénales. La résolution 126/2024 de l’AAIP, publiée le 24 mai 2024 et applicable depuis le 1er juin 2024, classe les infractions et gradue les sanctions :

Chaque infraction est sanctionnée séparément et les sanctions se cumulent. Lorsqu’une décision comprend plusieurs amendes pour un même comportement, le total est plafonné à 500 fois le haut du barème applicable, soit 40 millions de pesos pour les infractions légères, 45 millions pour les graves et 50 millions pour les très graves. Payer dans les 20 jours ouvrés suivant la notification réduit l’amende de moitié. Les personnes peuvent aussi engager une action d’habeas data en justice et demander réparation.

Comment Cookiequiet gère l’Argentine

L’Argentine ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet : ajoutez-la à une liste personnalisée avec le ciblage géographique, gratuit dans chaque offre, et les visiteurs argentins verront le bandeau de consentement : « Tout accepter » et « Tout refuser » de même poids, catégories désactivées jusqu’au choix, et un texte en espagnol pris dans la langue du navigateur et modifiable. Les scripts attendent le consentement, et chaque choix est inscrit dans le registre des consentements. Le scanner de cookies liste les cookies à décrire au titre de l’article 6. Pour le reste de la région, voir la LGPD brésilienne, le Chili et le Mexique.