Consentement aux cookies en Norvège : ce qu’exige l’ekomloven de 2025

Quelle loi norvégienne encadre les cookies ?

La Norvège n’est pas membre de l’UE, mais en tant que membre de l’Espace économique européen, elle reprend les règles européennes sur la protection des données et les communications électroniques. Le RGPD s’y applique par l’accord sur l’EEE, et l’article 5, paragraphe 3 de la directive ePrivacy est transposé en droit national.

La règle actuelle est la section 3-15 de la loi sur les communications électroniques (lov om elektronisk kommunikasjon, ekomloven) du 13 décembre 2024, n° 76. Il s’agit d’une nouvelle loi, et non d’une modification : elle a remplacé la loi sur les communications électroniques de 2003 et est entrée en vigueur le 1er janvier 2025.

La section 3-15 prévoit qu’il est interdit de stocker des informations dans l’équipement de communication d’un utilisateur final ou d’un utilisateur, ou d’accéder à des informations qui s’y trouvent, sans que cette personne ait été informée notamment des informations traitées, de la finalité du traitement et de l’identité de celui qui traite les informations, et ait donné son consentement. La deuxième phrase est le changement qui compte : le consentement doit remplir les exigences du RGPD en matière de consentement.

Qu’est-ce qui a changé le 1er janvier 2025 ?

Sous l’ancienne loi, les sites norvégiens pouvaient considérer un navigateur qui accepte les cookies comme un signe de consentement. La Nkom explique que, jusqu’à la nouvelle loi, il suffisait que les paramètres par défaut du navigateur autorisent les cookies. Cette lecture n’a plus cours. Le consentement doit désormais être libre, spécifique, éclairé et univoque, exprimé par un choix actif, documenté, et aussi simple à retirer qu’à donner.

En pratique, les sites norvégiens qui se contentaient d’un simple avis d’information (« ce site utilise des cookies ») ont dû ajouter une véritable étape de consentement, avec blocage avant le consentement.

Quels cookies sont exemptés ?

Le deuxième alinéa de la section 3-15 conserve les deux exemptions de la directive pour le stockage ou l’accès technique :

1. ayant pour seule finalité la transmission d’une communication sur un réseau de communications électroniques ; ou
2. strictement nécessaire pour fournir un service de la société de l’information à la demande explicite de l’utilisateur.

Le Datatilsynet décrit les deux exemptions comme étroites : la seconde couvre le stockage qui conditionne la fourniture du service demandé par l’utilisateur. Les cookies de session, de connexion, de panier, de sécurité et de répartition de charge, ainsi que le cookie qui conserve le choix de consentement, en relèvent. Les cookies de mesure d’audience et publicitaires n’en relèvent pas, et le droit norvégien ne prévoit pas d’exemption distincte pour la mesure d’audience, bien que la section 3-15 permette au ministère d’adopter des règlements sur les exemptions.

Qui fait appliquer la règle sur les cookies en Norvège ?

La section 3-15 a deux autorités de contrôle. Le Datatilsynet et la Nkom, l’autorité norvégienne des communications, se partagent le contrôle de la disposition. Selon le Datatilsynet, la Nkom décide si une solution technique entre dans le champ de la règle et si une exemption s’applique, tandis que le Datatilsynet apprécie si l’information est suffisante et si le consentement respecte le RGPD.

Les lignes directrices du Datatilsynet précisent ce qu’il attend du consentement : dire non doit être aussi simple que dire oui, et l’option « non » doit avoir une visibilité comparable à l’option « oui ».

Quel est le montant des amendes en Norvège ?

La section 15-12 de la loi permet aux autorités d’infliger une amende administrative (overtredelsesgebyr) aux personnes et aux sociétés qui enfreignent intentionnellement ou par négligence le premier alinéa de la section 3-15. En vertu de la section 15-13, le montant dépend de la gravité et de la durée du manquement, du degré de faute et du chiffre d’affaires de la société. La loi ne fixe aucun plafond. Les injonctions de mettre fin à un manquement peuvent aussi être assorties d’une astreinte (tvangsmulkt). Le Datatilsynet peut en outre sanctionner les manquements au RGPD jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

Nous n’avons trouvé aucune amende publiée au titre de la section 3-15 en octobre 2026. Les amendes norvégiennes les plus lourdes dans ce domaine concernent le consentement aux données publicitaires :

Il s’agit dans les deux cas de décisions RGPD portant sur des applications et la technologie publicitaire plutôt que sur des cookies de sites, mais elles montrent comment le Datatilsynet traite le consentement aux données publicitaires.

Que doit faire un bandeau cookies en Norvège ?

Un bandeau qui respecte la section 3-15 et les attentes du Datatilsynet :

• retient tout cookie, pixel et script non exempté jusqu’au choix du visiteur ;
• indique quelles informations sont collectées, pour quelle finalité et par qui, comme l’énumère la section 3-15 ;
• propose Accepter et Refuser avec une visibilité comparable au premier niveau (le guide du bouton Tout refuser traite de la conception) ;
• permet de choisir par finalité, sans rien de précoché ;
• rend le retrait aussi simple que le consentement et enregistre chaque choix.

Un avis qui se contente d’informer, ou qui s’en remet aux paramètres du navigateur, ne respecte plus la règle norvégienne.

Le bandeau doit-il être en norvégien ?

Nous n’avons trouvé aucune règle fixant la langue du bandeau cookies d’un site privé. L’information doit être compréhensible pour l’utilisateur et le RGPD exige un langage clair et simple : un site destiné aux visiteurs norvégiens devrait donc présenter son bandeau en norvégien.

Comment Cookiequiet s’y adapte

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout refuser figure à côté de Tout accepter au premier niveau par défaut, et le bandeau s’affiche en norvégien (bokmål) pour les visiteurs dont le navigateur le demande, parmi 24 langues. Chaque choix est enregistré dans un registre des consentements, et le ciblage géographique, qui couvre tout l’EEE y compris la Norvège, est inclus dans toutes les offres, y compris Free. Le scanner de cookies montre quels traceurs se chargent avant tout choix.