LGPD et cookies : les règles brésiliennes pour les bandeaux de consentement

Qu’est-ce que la LGPD ?

La Lei Geral de Proteção de Dados Pessoais, loi nº 13.709 du 14 août 2018, est la loi générale brésilienne sur la protection des données. Elle a été calquée sur le RGPD et en partage le vocabulaire : responsables de traitement, sous-traitants, bases légales, droits des personnes concernées, autorité nationale. Elle est entrée en vigueur le 18 septembre 2020, et les sanctions administratives des articles 52 à 54 sont devenues applicables le 1er août 2021. L’Autoridade Nacional de Proteção de Dados (ANPD) la supervise, publie des règlements et des guides, et inflige les amendes.

À qui s’applique la LGPD ?

L’article 3 applique la loi à toute opération de traitement réalisée par une personne physique ou morale, publique ou privée, quel que soit le support, le pays d’établissement de l’entreprise ou le lieu où se trouvent les données, dès lors que le traitement a lieu au Brésil, vise à proposer des biens ou des services à des personnes situées au Brésil, ou porte sur des données personnelles collectées au Brésil. Un site étranger qui vend à des visiteurs brésiliens ou les suit est dans le champ. Les petites entreprises et les start-up bénéficient d’obligations simplifiées selon un règlement de l’ANPD, mais pas d’une exemption.

Qu’exige la LGPD pour les cookies et le consentement ?

La LGPD n’a aucun article sur les cookies. Elle s’y applique parce que les identifiants de cookies, les adresses IP et les identifiants d’appareil se rapportent à une personne identifiable et sont donc des données personnelles. Le guide de l’ANPD Cookies e Proteção de Dados Pessoais, publié le 18 octobre 2022, explique comment. C’est un document interprétatif plutôt qu’un règlement contraignant, mais c’est la lecture de la loi affichée par le régulateur.

Le guide classe les cookies selon qui les gère (interne ou tiers), leur nécessité (nécessaires ou non nécessaires), leur finalité (fonctionnels, mesure d’audience, publicité) et leur durée de conservation, puis les rattache à des bases légales :

• Les cookies strictement nécessaires (session, sécurité, mémorisation du consentement) ne relèvent pas du consentement, car le visiteur n’a pas de vrai choix ; le guide renvoie plutôt à l’intérêt légitime ou à l’exécution d’un contrat.
• Les cookies de mesure d’audience peuvent dans certains cas reposer sur l’intérêt légitime, par exemple une mesure d’audience simple, sous réserve du test de mise en balance et de la transparence.
• Les cookies publicitaires et de profilage doivent reposer sur le consentement, car l’intérêt légitime a peu de chances de l’emporter quand les données servent à cibler des personnes.

Le consentement est défini à l’article 5, XII de la LGPD comme une manifestation libre, éclairée et univoque par laquelle la personne concernée accepte le traitement de ses données personnelles pour une finalité déterminée. L’article 8 ajoute les conditions : il peut être donné par écrit ou par un autre moyen qui démontre la volonté de la personne, les autorisations génériques sont nulles, le responsable de traitement porte la charge de prouver que le consentement a été obtenu, et il peut être révoqué à tout moment par une procédure gratuite et simple. L’article 9 exige une information claire sur les finalités, la durée et les destinataires des données.

Le guide liste les pratiques à éviter : des cookies non nécessaires présélectionnés ou actifs par défaut, une option Refuser moins visible qu’Accepter, des bandeaux qui ne proposent qu’Accepter, une information enfouie dans une longue politique, et des cookie walls qui bloquent le site tant que tout n’est pas accepté. Son bandeau de bonne pratique affiche Accepter et Refuser ensemble dès le premier niveau, avec un lien vers les préférences granulaires et la politique de cookies.

Que doit faire un bandeau conforme ?

• Ne charger aucun cookie fondé sur le consentement avant le choix du visiteur, et garder les cookies nécessaires clairement séparés.
• Proposer Accepter et Refuser avec la même visibilité, et un écran de préférences avec les catégories désactivées par défaut.
• Expliquer, en portugais pour les visiteurs brésiliens, ce que fait chaque catégorie, combien de temps durent les cookies et qui reçoit les données.
• Enregistrer le choix, puisque l’article 8 fait peser la charge de la preuve sur le responsable de traitement.
• Permettre aux visiteurs de retirer leur consentement aussi facilement qu’ils l’ont donné, par un lien ou une icône sur chaque page.

Contrôles et sanctions

L’article 52 liste les sanctions : un avertissement avec un délai pour corriger, une amende simple jusqu’à 2 % du chiffre d’affaires de l’entreprise, du groupe ou du conglomérat au Brésil sur son dernier exercice, hors taxes, plafonnée à 50 millions de réaux par infraction, une astreinte journalière jusqu’au même plafond, la publication de l’infraction, le blocage des données et leur suppression. Le règlement de l’ANPD de 2023 sur le calcul des amendes les gradue selon la gravité du manquement, la part du chiffre d’affaires et la coopération de l’entreprise.

Les contrôles ont commencé modestement. La première amende de l’ANPD, publiée le 6 juillet 2023, a frappé une microentreprise de télémarketing, Telekall Infoservice, d’un avertissement et de 14 400 réaux d’amendes pour un traitement sans base légale et un défaut de coopération. Depuis, l’ANPD a concentré ses procédures de sanction sur les violations de données, l’absence de délégué à la protection des données et les usages illicites de données, et a prononcé des injonctions plutôt que des amendes cookies jusqu’ici. Les organismes brésiliens de protection des consommateurs et les tribunaux connaissent aussi des recours LGPD, et la loi donne aux personnes concernées un droit à réparation.

Comment Cookiequiet gère la LGPD

Le Brésil fait partie de la liste des pays réglementés de Cookiequiet : avec le ciblage géographique activé, les visiteurs brésiliens voient le bandeau de consentement, tandis que les visiteurs des pays sans loi sur les cookies peuvent être laissés tranquilles. Le bandeau suit le modèle de l’ANPD : « Tout accepter » et « Tout refuser » de même poids, catégories désactivées par défaut, textes en portugais choisis selon la langue du navigateur et modifiables. Les scripts et contenus embarqués sont retenus jusqu’au consentement pour leur catégorie, le registre des consentements garde la preuve que demande l’article 8, et le générateur de politique de confidentialité inclut des sections LGPD (bases légales, droits, l’ANPD comme autorité) sous forme de modèle, pas de conseil juridique. Le scanner de cookies vous donne l’inventaire des cookies que le guide attend que vous publiiez. Voir aussi comment rédiger une politique de cookies.