Consentement aux cookies en Espagne : l’article 22.2 de la LSSI et le guide de l’AEPD

Que dit la loi espagnole sur les cookies ?

L’Espagne a transposé l’article 5, paragraphe 3 de la directive ePrivacy à l’article 22.2 de la Ley 34/2002 sur les services de la société de l’information et le commerce électronique, dite LSSI. Il n’autorise les prestataires à utiliser des dispositifs de stockage et de récupération de données sur l’équipement terminal des utilisateurs que si ceux-ci ont consenti après avoir reçu une information claire et complète sur leur utilisation, en particulier sur leurs finalités, conformément au droit de la protection des données. Le stockage ou l’accès technique nécessaire uniquement à la transmission d’une communication, et ce qui est strictement nécessaire pour fournir un service expressément demandé par l’utilisateur, sont exemptés.

La LSSI indique que le consentement peut être exprimé par les paramètres du navigateur lorsque c’est techniquement possible. L’AEPD en fait une lecture restrictive : un paramètre de navigateur ne compte que s’il permet aux utilisateurs de consentir comme l’exige le RGPD, séparément pour chaque finalité et en connaissant les responsables de traitement, ce que les paramètres de navigateur ordinaires ne permettent pas.

L’Agencia Española de Protección de Datos explique sa lecture dans la Guía sobre el uso de las cookies, révisée en 2019 après le RGPD, de nouveau après les lignes directrices du CEPD sur le consentement de mai 2020, puis pour suivre le rapport de la task force « bandeaux cookies » du CEPD. La mise à jour annoncée le 11 juillet 2023 a aligné le guide sur les lignes directrices 03/2022 du CEPD sur les interfaces trompeuses (deceptive design patterns) et a laissé aux sites jusqu’au 11 janvier 2024 pour s’adapter. L’édition actuelle date de mai 2024 et ajoute une section sur les modèles « payer ou consentir ».

Que doit faire un bandeau cookies en Espagne ?

Le guide décrit un premier niveau qui nomme l’éditeur, explique les finalités des cookies, indique si des tiers les utilisent et permet au visiteur d’accepter, de paramétrer ou de refuser. Les points les plus importants :

• Le refus au premier niveau. L’option de refus doit être proposée sur le même niveau et au même plan que l’option d’acceptation, avec un mécanisme comparable. Si accepter se fait par un bouton, refuser doit aussi se faire par un bouton. Mettre Accepter en valeur par rapport à Refuser, ou donner à Refuser une police plus petite ou différente, n’est pas admis.
• Un consentement actif. Poursuivre la navigation, faire défiler la page ou ouvrir le second niveau et les paramètres ne vaut pas consentement.
• Un choix granulaire. Le panneau de paramètres doit permettre de choisir par finalité, sans rien de précoché.
• Un retrait simple. Retirer son consentement doit être aussi simple que le donner, par exemple grâce à un accès permanent aux paramètres des cookies.
• Les changements. Si l’utilisation des cookies change après le consentement, la politique cookies doit être mise à jour et les visiteurs doivent pouvoir faire un nouveau choix.

Combien de temps le consentement est-il valable en Espagne ?

L’AEPD considère comme une bonne pratique que le consentement à un cookie donné ne dure pas plus de 24 mois, et que le choix du visiteur soit conservé pendant cette période pour ne pas lui redemander à chaque visite. C’est plus long que les 6 mois retenus par les autorités française et italienne ; un site qui s’adresse aux deux pays redemande en général au bout de 6 mois partout.

Les cookie walls sont-ils autorisés en Espagne ?

Seulement avec une alternative. Le guide indique que l’accès aux services ne doit pas dépendre de l’acceptation des cookies : les cookie walls sans alternative au consentement ne sont donc pas admis. Un site peut refuser l’accès aux visiteurs qui refusent s’il les en informe correctement et leur propose un autre moyen d’accéder au service sans accepter les cookies. Cette alternative n’a pas à être gratuite, mais les deux options doivent être réellement équivalentes et l’alternative doit être proposée par l’éditeur lui-même, et non par une autre société. L’édition de mai 2024 précise que l’avis 8/2024 du CEPD sur le modèle « payer ou consentir » vise spécifiquement les grandes plateformes en ligne.

Les cookies de mesure d’audience exigent-ils un consentement en Espagne ?

Pas toujours. Depuis janvier 2024, l’AEPD dispose d’un guide distinct sur les cookies des outils de mesure d’audience. Les cookies de mesure d’audience sont exemptés de consentement au titre de l’article 22.2 s’ils servent uniquement à mesurer l’audience du site ou de l’application, pour le compte exclusif de l’éditeur, afin de produire des statistiques anonymes. Ils ne doivent pas être recoupés avec d’autres traitements, transmis à des tiers ni utilisés pour suivre une personne entre sites ou applications, ce qui exclut tout outil qui utilise le même identifiant sur plusieurs sites. Le guide liste les mesures qu’il considère comme strictement nécessaires : audience page par page, sites référents, type d’appareil et de navigateur, temps de chargement, temps passé sur la page et taux de rebond, clics et zone géographique, agrégés par page et par jour ou par heure.

Les cookies exemptés doivent être mentionnés dans la politique de confidentialité, ne pas durer plus de 13 mois environ sans prorogation automatique, et les données doivent être conservées 25 mois au plus. Les outils dont le fournisseur réutilise les données pour ses propres finalités, comme Google Analytics dans sa configuration habituelle, exigent un consentement. Voir la mesure d’audience sans consentement.

À combien s’élèvent les amendes en Espagne ?

Utiliser des cookies sans l’information ou le consentement qu’exige l’article 22.2 constitue une infraction légère au titre de l’article 38.4 g) de la LSSI, sanctionnée jusqu’à 30 000 euros en vertu de l’article 39.1 c). La récidive de la même infraction, constatée par une décision définitive au cours des trois années précédentes, devient une infraction grave au titre de l’article 38.3 i), sanctionnée de 30 001 à 150 000 euros. L’AEPD prononce les sanctions pour ces infractions, et le montant est fixé par manquement : une société qui exploite plusieurs sites non conformes peut donc être sanctionnée plusieurs fois.

Quelques décisions de l’AEPD au titre de l’article 22.2 :

La décision Techpump montre comment le calcul par site s’additionne. L’AEPD ouvre aussi de nombreuses procédures qui se terminent par un avertissement ou par une amende réduite après un paiement volontaire, qui diminue le montant.

Comment Cookiequiet s’adapte aux règles espagnoles ?

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout refuser et Tout accepter figurent côte à côte au premier niveau avec la même taille et le même poids par défaut, et les visiteurs dont le navigateur demande l’espagnol voient le bandeau en espagnol. Chaque choix est enregistré dans un registre des consentements avec sa date et la version du bandeau. Le ciblage géographique est gratuit dans toutes les offres ; voir les tarifs.