Consentement aux cookies au Danemark : ce qu’exige l’arrêté cookies

Quelle règle danoise encadre les cookies ?

Le Danemark transpose l’article 5, paragraphe 3 de la directive ePrivacy par un arrêté plutôt que par une loi : le Bekendtgørelse nr. 1148 af 9. december 2011 om krav til information og samtykke ved lagring af eller adgang til oplysninger i slutbrugeres terminaludstyr, appelé arrêté cookies (cookiebekendtgørelsen). Il a été pris en application de la loi sur les réseaux et services de communications électroniques et s’applique depuis le 14 décembre 2011.

La section 3, paragraphe 1 pose la règle centrale. Les personnes physiques ou morales ne peuvent pas stocker d’informations dans l’équipement terminal d’un utilisateur final, ou accéder à des informations qui y sont déjà stockées, ni permettre à un tiers de le faire, sans le consentement de l’utilisateur final après une information suffisante. La section 3, paragraphe 2 définit l’information suffisante. Au minimum, elle doit :

1. être rédigée dans un langage clair, précis et facilement compréhensible ;
2. indiquer la finalité du stockage ou de l’accès ;
3. identifier chaque personne physique ou morale à l’origine du stockage ou de l’accès ;
4. donner à l’utilisateur un accès immédiat pour refuser ou retirer son consentement, avec des instructions claires sur la manière de procéder ;
5. être fournie directement à l’utilisateur, de manière claire et réunie en un seul endroit.

Lorsque le stockage passe par un site ou une application, l’information doit aussi rester accessible en permanence par un lien direct et clairement signalé sur ce service.

L’arrêté définit le consentement comme une manifestation de volonté libre, spécifique et éclairée. Les lignes directrices communes appliquent le standard plus strict du RGPD, qui exige aussi un choix actif et univoque.

Quels cookies sont exemptés ?

La section 4 reprend les deux exemptions de la directive : le stockage ou l’accès dont la seule finalité est de transmettre une communication sur un réseau, et le stockage ou l’accès nécessaire pour que le fournisseur fournisse un service de la société de l’information explicitement demandé par l’utilisateur. La section 4, paragraphe 2 ajoute que le stockage est nécessaire lorsqu’il constitue une condition technique de la fourniture du service conformément à sa finalité.

Les lignes directrices de mai 2025 donnent des exemples de technologies techniquement nécessaires : connexion et validation de l’utilisateur, paniers, paramètres activement choisis par l’utilisateur comme la langue ou la taille de police, authentification sur des services à accès restreint et répartition de charge. Elles couvrent aussi les polices de caractères de tiers, mais seulement lorsque le tiers utilise les données uniquement pour fournir les polices et non pour suivre les utilisateurs d’un site à l’autre.

Les cookies de mesure d’audience exigent-ils un consentement au Danemark ?

Oui. Les lignes directrices indiquent clairement que vous devez obtenir un consentement si vous utilisez des cookies et des technologies similaires pour produire des statistiques de visites ou afficher des publicités personnalisées. Le droit danois ne prévoit pas d’exemption pour la mesure d’audience. L’arrêté s’applique quelles que soient les informations collectées : même des statistiques qui ne sont pas des données personnelles exigent un consentement si elles reposent sur un stockage ou une lecture sur le terminal.

Que doit faire un bandeau cookies danois ?

Les lignes directrices communes de Digitaliseringsstyrelsen et du Datatilsynet décrivent le bandeau en détail :

• Refuser aussi simplement qu’accepter. Les utilisateurs doivent pouvoir refuser, et s’abstenir de consentir doit être aussi simple que consentir. Un bandeau doté du seul bouton d’acceptation n’est pas valable.
• Pas d’incitation. Les lignes directrices montrent un bouton OK vert à côté d’un bouton Refuser pâle comme exemple d’incitation illicite : le refus doit apparaître aussi clairement que l’acceptation. Réafficher le bandeau à chaque visite est aussi une forme de pression.
• Des finalités granulaires. Les utilisateurs doivent pouvoir consentir par finalité, et des intitulés vagues comme « technologies de tiers » ne sont pas assez spécifiques.
• L’information au premier niveau. Le premier niveau doit au minimum nommer l’organisme et ses partenaires, les finalités, les types de données, indiquer si des données sont transmises à des tiers et mentionner le droit de retirer son consentement. Les noms des cookies, leurs fournisseurs et leurs dates d’expiration peuvent figurer au second niveau.
• Un retrait simple. Par exemple un lien clair en haut ou en bas de chaque page, ou une icône fixe qui rouvre les choix.
• Le renouvellement. Il sera souvent approprié de renouveler le consentement une fois par an, et de redemander une fois par an à un utilisateur qui a refusé.
• La documentation. Vous devez pouvoir documenter votre procédure de consentement, par exemple avec des captures d’écran de chaque version du bandeau.

Les cookie walls ne sont pas interdits par principe. Ils peuvent être admis lorsque les utilisateurs disposent d’une alternative raisonnable, comme un accès à un prix raisonnable, et le Datatilsynet a fixé quatre critères pour cette alternative. Un cookie wall sans alternative ne produit pas un consentement libre.

Qui fait appliquer les règles sur les cookies au Danemark ?

Deux autorités se partagent la tâche. Digitaliseringsstyrelsen, l’Agence pour l’administration numérique, contrôle l’arrêté cookies. Le Datatilsynet, l’autorité danoise de protection des données, contrôle le RGPD et la loi danoise sur la protection des données lorsque des cookies traitent des données personnelles.

L’affaire la plus visible à ce jour date du 6 novembre 2023, lorsque Digitaliseringsstyrelsen a annoncé des injonctions contre Meta Platforms pour da-dk.facebook.com et contre Google pour google.dk. L’agence a constaté que leurs dispositifs cookies enfreignaient l’arrêté et a donné aux deux sociétés quatre semaines pour permettre aux utilisateurs de consentir par finalité principale, leur offrir un accès immédiat, permanent et clairement signalé pour retirer leur consentement, et fournir une information permanente, en langage clair, sur tous les cookies utilisés.

Quel est le montant des amendes au Danemark ?

La section 5 de l’arrêté cookies punit les manquements à la section 3 d’une amende (bøde), et la responsabilité pénale des sociétés peut être engagée. Il s’agit d’une amende pénale prononcée par les tribunaux, et non d’une sanction administrative, et l’arrêté ne fixe aucun maximum. Le Danemark ne connaît pas non plus d’amendes RGPD administratives : le Datatilsynet transmet le dossier à la police et les tribunaux fixent l’amende, dans la limite du plafond du RGPD de 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Nous n’avons trouvé aucune amende judiciaire au titre de l’arrêté cookies en octobre 2026.

Le bandeau doit-il être en danois ?

Les lignes directrices indiquent que vous devriez, dans la mesure du possible, rédiger votre dispositif de consentement dans la même langue que le reste de votre service : un site en danois doit donc avoir son bandeau et sa politique de confidentialité en danois. Elles demandent aussi un langage simple, sans termes techniques ou juridiques inutiles.

Comment Cookiequiet s’y adapte

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout refuser figure à côté de Tout accepter au premier niveau par défaut, et le bandeau s’affiche en danois pour les visiteurs dont le navigateur le demande, parmi 24 langues. Chaque choix est enregistré dans un registre des consentements, et le ciblage géographique est inclus dans toutes les offres, y compris Free. Le scanner de cookies liste ce que votre site dépose, ce que les lignes directrices recommandent de vérifier à chaque ajout de fonctionnalité, et le guide du bouton Tout refuser traite de la conception du bouton.