Consentement aux cookies en Italie : l’article 122 et les règles du Garante

Que dit la loi italienne sur les cookies ?

L’Italie a transposé l’article 5, paragraphe 3 de la directive ePrivacy à l’article 122 du code de protection des données personnelles (Codice in materia di protezione dei dati personali, décret législatif 196/2003). L’article 122, paragraphe 1 n’autorise le stockage d’informations dans l’équipement terminal d’un abonné ou d’un utilisateur, ou l’accès à des informations qui y sont stockées, que si cette personne a consenti après avoir été informée. Deux exceptions s’appliquent : le stockage ou l’accès technique nécessaire uniquement à la transmission d’une communication sur un réseau de communications électroniques, et ce qui est strictement nécessaire pour qu’un fournisseur fournisse un service explicitement demandé par l’utilisateur.

Le Garante per la protezione dei dati personali explique comment il applique l’article 122 dans ses Linee guida cookie e altri strumenti di tracciamento, adoptées le 10 juin 2021 et publiées à la Gazzetta Ufficiale n. 163 du 9 juillet 2021. Les sites disposaient de 6 mois à compter de la publication pour s’y conformer. Les lignes directrices complètent et précisent la mesure du Garante sur les cookies du 8 mai 2014 à la lumière de la définition du consentement du RGPD.

Que doit contenir un bandeau cookies en Italie ?

Les lignes directrices (section 7.1) listent ce que le premier niveau doit contenir :

• une commande, signalée par une croix, qui ferme le bandeau et conserve les réglages par défaut, c’est-à-dire que le visiteur poursuit sa navigation avec les seuls cookies techniques ; le bandeau doit l’indiquer ;
• une information minimale indiquant que le site utilise des cookies techniques et, avec le consentement, des cookies de profilage ou d’autres traceurs ;
• un lien vers l’information complète sur les cookies, accessible en un clic et aussi depuis le pied de page ;
• une commande pour accepter tous les cookies et traceurs ;
• un lien vers un espace où le visiteur peut choisir finalité par finalité, par tiers ou par cookie, chaque option étant réglée par défaut sur le refus.

La croix doit avoir la même visibilité graphique que les autres boutons. Un bouton « Tout refuser » distinct n’est pas obligatoire, mais c’est la façon la plus claire d’obtenir le même résultat, et les lignes directrices le permettent. Les cases précochées sont interdites.

Autres points sur lesquels le Garante insiste :

• Le défilement n’est pas un consentement. Faire défiler la page ne vaut jamais, à lui seul, consentement valable. Il ne peut être qu’une étape d’un processus plus large qui produit une action univoque et enregistrable.
• Les cookie walls sont illicites, sauf si le site offre l’accès à des contenus ou services équivalents sans consentement, ce que le Garante apprécie au cas par cas.
• Les choix doivent être enregistrés. Un refus ou un choix partiel doit être conservé, et le consentement doit être un événement que l’on peut documenter.
• Changer d’avis. Un lien en pied de page doit permettre au visiteur de revoir et de modifier son choix à tout moment.

À quelle fréquence le bandeau peut-il réapparaître ?

Les lignes directrices indiquent qu’un choix ne doit pas être redemandé, sauf dans trois cas : le traitement change de manière significative (par exemple de nouveaux tiers), le site ne peut pas savoir qu’un choix a été fait (par exemple le visiteur a supprimé ses cookies), ou au moins 6 mois se sont écoulés depuis le dernier affichage du bandeau. Redemander à chaque visite après un refus est le type de pression que le Garante veut éviter.

Les cookies de mesure d’audience exigent-ils un consentement en Italie ?

Pas toujours. Le Garante assimile les cookies de mesure d’audience aux cookies techniques, qui n’exigent pas de consentement, lorsque :

• ils servent uniquement à produire des statistiques agrégées pour un seul site ou une seule application, sans suivre une personne entre différents sites ou applications ;
• pour les outils tiers, l’adresse IP est masquée, au moins sur sa quatrième composante en IPv4 ;
• le fournisseur tiers ne combine pas les données avec d’autres traitements et ne les transmet à personne, sauf pour des statistiques portant sur plusieurs sites d’un même éditeur ou groupe.

Une installation standard de Google Analytics 4 ne remplit pas ces conditions et exige un consentement. La mesure d’audience a aussi soulevé une question de transferts : le 9 juin 2022, le Garante a constaté qu’un éditeur, Caffeina Media, utilisait Google Analytics en violation des règles du RGPD sur les transferts vers les États-Unis et lui a laissé 90 jours pour se mettre en conformité. Le cadre de protection des données UE-États-Unis (Data Privacy Framework), adopté par la Commission européenne le 10 juillet 2023, a depuis modifié l’analyse des transferts pour les sociétés américaines certifiées, mais il ne supprime pas l’exigence de consentement pour le cookie lui-même. Voir la mesure d’audience sans consentement pour les alternatives.

À combien s’élèvent les amendes en Italie ?

L’article 166, paragraphe 2 du code place les manquements à l’article 122 dans la tranche la plus élevée du RGPD : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Le Garante peut aussi ordonner à un site de cesser le traitement ou prononcer un rappel à l’ordre.

Le contrôle des cookies en Italie passe surtout par des inspections de sites ordinaires, dont beaucoup sont menées en ligne par l’unité de la Guardia di Finanza chargée de la vie privée et des fraudes technologiques pour le compte du Garante, le commerce en ligne figurant parmi les secteurs ciblés. Les décisions publiées en 2025 illustrent cette pratique. Le 27 février 2025, le Garante a adressé un rappel à l’ordre à un entrepreneur individuel dont le bandeau n’offrait aucun moyen de poursuivre sans suivi ni de consentir finalité par finalité, sans amende car le site avait corrigé rapidement les problèmes. Le 27 mars 2025, il a classé une affaire contre une boutique en ligne après avoir constaté que ses cookies étaient techniques et sa mesure d’audience configurée sans identifiant utilisateur. Les amendes existent, mais le Garante commence en général par des injonctions et des rappels à l’ordre.

Qu’attend encore le Garante de l’information ?

L’information sur les cookies doit être claire et complète, et la demande de consentement claire et concise, sans perturber l’utilisation du service plus que nécessaire. Le bandeau doit aussi être accessible aux personnes qui utilisent des technologies d’assistance, comme les lecteurs d’écran. Un site destiné aux visiteurs italiens rédige donc le bandeau et l’information sur les cookies en italien.

Comment Cookiequiet s’adapte aux règles italiennes ?

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout refuser figure au premier niveau à côté de Tout accepter par défaut, le centre de préférences laisse chaque catégorie désactivée tant que le visiteur ne l’active pas, et les visiteurs italiens voient le bandeau en italien. Chaque choix est conservé dans un registre des consentements, qui constitue la documentation demandée par les lignes directrices. Lancez le scanner de cookies gratuit pour voir ce que votre site dépose avant le consentement.