Consentement aux cookies en Finlande : ce qu’exige la section 205

Quelle loi finlandaise encadre les cookies ?

La Finlande transpose l’article 5, paragraphe 3 de la directive ePrivacy à la section 205 de la loi sur les services de communications électroniques (laki sähköisen viestinnän palveluista, 917/2014), initialement appelée code de la société de l’information. La loi est entrée en vigueur le 1er janvier 2015 et a remplacé la loi sur la protection de la vie privée dans les communications électroniques, dont la section 7 portait auparavant la règle sur les cookies.

La section 205 comporte trois alinéas :

1. Un prestataire peut stocker des cookies ou d’autres données relatives à l’utilisation du service sur le terminal de l’utilisateur, et utiliser ces données, si l’utilisateur a consenti et si le prestataire lui fournit une information compréhensible et complète sur les finalités.
2. Cela ne s’applique pas au stockage ou à l’utilisation dont la seule finalité est de permettre la transmission de messages sur les réseaux de communications, ou qui est nécessaire pour que le prestataire fournisse un service expressément demandé par l’abonné ou l’utilisateur.
3. Le stockage et l’utilisation ne sont autorisés que dans la mesure exigée par le service, et ne peuvent pas restreindre la vie privée plus que nécessaire.

Le consentement suit la définition du RGPD : libre, spécifique, éclairé et univoque, exprimé par un acte positif clair.

Les paramètres du navigateur valent-ils consentement en Finlande ?

Non. Pendant des années, les autorités finlandaises ont admis le consentement par les paramètres du navigateur. Cette pratique a pris fin avec deux décisions du tribunal administratif d’Helsinki du 8 avril 2021 (H1515/2021 et H1516/2021), qui ont jugé que des paramètres de navigateur par défaut ou modifiés ne constituent pas un consentement spécifique et éclairé. Le tribunal a aussi confirmé que Traficom est l’autorité compétente pour les règles sur les cookies et pour l’interprétation du consentement au titre de la section 205. Les lignes directrices de Traficom du 1er septembre 2021 ont été rédigées sur la base de ces décisions, avec le bureau du Médiateur à la protection des données.

Quels cookies exigent un consentement en Finlande ?

Les lignes directrices de Traficom apprécient les cookies selon leur finalité plutôt que selon leur nom :

• Exemptés : l’authentification de session, le contenu du panier et des formulaires, les cookies de sécurité comme la limitation des tentatives de connexion et les CAPTCHA, les fonctions d’accessibilité, les choix de langue et d’affichage au cours d’une session, et les cookies de répartition de charge nécessaires à l’acheminement des connexions.
• Consentement requis : la publicité ciblée et le profilage, les modules de réseaux sociaux qui déposent des cookies chez des utilisateurs qui ne s’en servent pas, les contenus de tiers embarqués et la mesure d’audience.
• Widgets de chat : les cookies ne peuvent être déposés qu’une fois que l’utilisateur ouvre la fenêtre de chat, et non au chargement de la page.

Pour la mesure d’audience, les lignes directrices indiquent que ces cookies ne peuvent pas être considérés comme essentiels du point de vue de l’utilisateur. Un prestataire qui invoque une exemption doit la justifier clairement et protéger la vie privée, par exemple en ne partageant aucune donnée de mesure d’audience avec des tiers et en s’assurant qu’aucun utilisateur ne peut être identifié individuellement ; à défaut, un consentement est requis. L’intérêt légitime n’est jamais une base valable pour les cookies.

Que doit faire un bandeau cookies finlandais ?

Les lignes directrices de Traficom décrivent le bandeau en détail :

• Aucun cookie non essentiel ne peut être déposé avant que l’utilisateur ait fait un choix. Si l’utilisateur ignore le bandeau et poursuit sa navigation, seuls les cookies essentiels peuvent être utilisés.
• Refuser doit être aussi simple qu’accepter. Si le premier niveau propose « Tout accepter », il doit aussi offrir un moyen de continuer avec les seuls cookies essentiels (voir le guide du bouton Tout refuser).
• Pas de cases précochées ni d’interrupteurs en position activée.
• Le bandeau doit indiquer les types de cookies, la finalité de chacun, la durée de validité de chacun, et si des données sont transmises à des tiers, qui ils sont et ce qui leur est envoyé.
• Subordonner l’accès au site à l’acceptation de cookies non essentiels n’est pas approprié.
• Le retrait doit être aussi simple que le consentement, par exemple par une icône visible sur chaque page, et doit effectivement supprimer ou écraser les données stockées.
• La preuve du consentement devrait comprendre la date et l’heure, la manière dont le consentement a été demandé, l’information affichée et un identifiant de l’utilisateur ou du terminal.

Qui fait appliquer les règles sur les cookies en Finlande ?

Traficom contrôle la section 205 et traite les plaintes des utilisateurs. Le Médiateur à la protection des données est l’autorité compétente pour le traitement des données personnelles, y compris les données de localisation. Traficom publie des décisions sur les pratiques en matière de cookies depuis 2021, parmi lesquelles Valco (25 février 2021), Posti (20 avril 2022), Nordea Bank (16 décembre 2022), Sanoma Media Finland (8 juin 2023), Telia Finland et XXL Sports & Outdoor (21 novembre 2023), Otavamedia (26 avril 2024), Lippupiste (28 mai 2024), A-lehdet (7 juin 2024), Foreca (26 juin 2024) et Silmäasema (16 octobre 2025). La décision Sanoma du 8 juin 2023, longue de 56 pages, montre la rigueur de Traficom : les cookies internes de mesure d’audience éditoriale et de personnalisation n’étaient pas exemptés, tout accepter prenait un clic tandis que refuser en prenait deux, les durées de vie des cookies manquaient dans le bandeau, un cookie interne de mesure d’audience vidéo durait 20 ans, et le retrait du consentement laissait des cookies publicitaires actifs. Traficom a ordonné une option de refus au premier niveau et des durées de vie plus courtes. Certaines décisions, dont celle visant Telia, ont fait l’objet d’un recours devant le tribunal administratif.

Quel est le montant des amendes en Finlande ?

Traficom indique qu’elle ne peut pas infliger d’amendes administratives pour des pratiques illicites en matière de cookies. Elle peut exiger d’un prestataire qu’il corrige un manquement dans un délai raisonnable et assortir cette injonction d’une astreinte, d’une menace de suspension de l’activité ou d’une menace de faire procéder à la correction aux frais du prestataire. Par ailleurs, la section 349 de la loi fait du stockage ou de l’utilisation de données contraires à la section 205, ou du manquement aux obligations de consentement et d’information de la section 205, alinéa 1, une infraction à la protection des données dans les communications électroniques, punie d’une amende pénale (sakko). Les manquements au RGPD traités par la commission des sanctions du Médiateur à la protection des données peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

Le bandeau doit-il être en finnois ?

La loi exige une information compréhensible, sans désigner de langue. La Finlande a deux langues nationales, et Traficom publie ses propres pages en finnois, en suédois et en anglais. Un site destiné aux visiteurs finlandais devrait présenter son bandeau en finnois, et en suédois pour un public suédophone.

Comment Cookiequiet s’y adapte

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies avec la finalité et la durée de vie de chaque cookie, Tout refuser figure à côté de Tout accepter au premier niveau par défaut, et le bandeau s’affiche en finnois ou en suédois pour les visiteurs dont le navigateur le demande, parmi 24 langues. Le registre des consentements enregistre la date, le choix, la version du bandeau et une IP hachée, et le ciblage géographique est inclus dans toutes les offres, y compris Free. Le scanner de cookies montre ce qui se charge avant tout choix.