Consentement aux cookies en Autriche : le § 165 TKG 2021 et la DSB

Que dit la loi autrichienne sur les cookies ?

L’Autriche a transposé l’article 5, paragraphe 3 de la directive ePrivacy au § 165, alinéa 3 de la loi sur les télécommunications de 2021 (TKG 2021), qui a remplacé le § 96, alinéa 3 du TKG 2003. Les fournisseurs de services de communications publics et de services de la société de l’information au sens de la loi sur le commerce électronique (E-Commerce-Gesetz) doivent indiquer aux utilisateurs quelles données personnelles ils traiteront, sur quelle base juridique, pour quelles finalités et pendant combien de temps. La collecte des données n’est autorisée que si l’utilisateur a activement donné son consentement sur la base d’une information claire et complète.

Deux cas n’exigent pas de consentement : le stockage ou l’accès technique dont la seule finalité est la transmission d’un message sur un réseau de communications, et ce qui est strictement nécessaire pour que le fournisseur d’un service de la société de l’information expressément demandé par l’utilisateur puisse fournir ce service. La DSB les appelle « cookies techniquement nécessaires » ; tous les autres cookies exigent un consentement, dont les conditions découlent des articles 4, point 11 et 7 du RGPD.

Qui fait appliquer les règles sur les cookies en Autriche ?

Le contrôle est partagé. Les manquements au § 165, alinéa 3 lui-même relèvent des autorités des télécommunications (Fernmeldebehörden, en pratique le Fernmeldebüro), qui mènent des procédures de sanction administrative au titre du TKG. L’autorité de protection des données, la Datenschutzbehörde (DSB), est compétente lorsque des cookies entraînent un traitement de données personnelles, ce qui est le cas, selon elle, en particulier des cookies de suivi qui enregistrent le comportement de navigation pour afficher de la publicité personnalisée. La plupart des affaires de bandeaux cookies, y compris celles portées par noyb, sont passées par la DSB sur le fondement du RGPD.

Que doit faire un bandeau cookies en Autriche ?

La DSB a exposé sa position dans sa FAQ sur les cookies et la protection des données et dans sa lettre d’information 3/2022 :

• Refuser est aussi simple qu’accepter. Ne pas donner son consentement, ou poursuivre la navigation sans consentir, doit être aussi simple que consentir. Refuser ne doit pas exiger plus d’interactions avec le bandeau qu’accepter.
• Pas de refus caché au second niveau. On ne peut pas exiger des visiteurs qu’ils passent par un deuxième ou un troisième niveau pour refuser.
• Pas d’incitation. Les visiteurs ne doivent pas être poussés vers le consentement, de manière directe ou subtile. Rendre le bouton de refus moins visible que le bouton d’acceptation, par sa conception ou sa position, n’est pas une pratique loyale.
• Un retrait simple. En vertu de l’article 7, paragraphe 3 du RGPD, retirer son consentement doit être aussi simple que le donner.

Le tribunal administratif fédéral (Bundesverwaltungsgericht) l’a confirmé le 31 juillet 2024 (W108 2284491-1). Sur une plainte portée par noyb, la DSB avait ordonné à un journal en ligne d’ajouter au premier niveau une option permettant de fermer le bandeau sans consentir, visuellement équivalente à « Accepter ». Le tribunal a confirmé l’injonction : refuser ne doit pas coûter plus de clics qu’accepter, et un refus accessible seulement au second niveau ne permet pas un consentement univoque. L’option n’a pas à s’appeler « Refuser » ; elle doit être équivalente. Notre guide du bouton Tout refuser traite de la conception.

Les murs « pay or okay » sont-ils autorisés en Autriche ?

En principe, oui. Dans une décision du 20 août 2019 (DSB-D122.974/0001-DSB/2019), la DSB a jugé qu’un modèle où les visiteurs paient pour accéder au site ou consentent aux cookies de publicité personnalisée peut être admissible. Sa FAQ liste les exigences qu’un tel modèle doit remplir dans tous les cas. L’avis 8/2024 du CEPD sur les grandes plateformes en ligne, postérieur, est plus strict pour ces plateformes : un mur « pay or okay » est donc une décision à prendre avec un conseil juridique.

Les cookies de mesure d’audience exigent-ils un consentement en Autriche ?

En général, oui. L’Autriche n’a pas d’exemption de mesure d’audience reconnue par l’autorité comme celle de la France : seuls les cookies techniquement nécessaires sont exemptés, et une mesure d’audience qui dépose des identifiants n’est pas nécessaire pour fournir la page demandée par le visiteur. La mesure d’audience a aussi soulevé des questions de transferts. Dans une décision partielle du 22 décembre 2021 (D155.027), la première rendue sur les 101 plaintes de noyb après l’arrêt Schrems II, la DSB a constaté que l’utilisation de Google Analytics par un site consacré à la santé transférait des données personnelles vers les États-Unis en violation du RGPD, et elle a confirmé cette position dans une seconde décision du 22 avril 2022. Le cadre de protection des données UE-États-Unis (Data Privacy Framework), adopté le 10 juillet 2023, a modifié l’analyse des transferts pour les sociétés américaines certifiées, mais pas l’exigence de consentement pour le cookie. Voir la mesure d’audience sans consentement.

À combien s’élèvent les amendes en Autriche ?

En vertu du § 188, alinéa 4, n° 24 TKG 2021, un fournisseur qui n’informe pas les utilisateurs comme l’exige le § 165, alinéa 3 commet une infraction administrative passible d’une amende jusqu’à 50 000 euros, prononcée par les autorités des télécommunications. Lorsque des cookies entraînent un traitement illicite de données personnelles, la DSB peut user de tous ses pouvoirs au titre du RGPD : injonctions de modifier le bandeau dans un délai donné, comme dans l’affaire de 2024 ci-dessus, et amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

Le bandeau doit-il être en allemand ?

La loi exige une information claire et complète, et le RGPD un langage clair et simple. Pour un site destiné aux visiteurs autrichiens, cela signifie un bandeau et une politique cookies en allemand, avec d’autres langues pour d’autres publics.

Comment Cookiequiet s’adapte aux règles autrichiennes ?

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout refuser et Tout accepter figurent au premier niveau avec la même taille et le même poids par défaut, et les visiteurs dont le navigateur demande l’allemand voient le bandeau en allemand. Chaque choix est enregistré dans un registre des consentements avec sa date et la version du bandeau. Le ciblage géographique est gratuit dans toutes les offres ; voir les tarifs.