Consentement aux cookies aux Pays-Bas : l’article 11.7a et l’AP

Que dit la loi néerlandaise sur les cookies ?

Les Pays-Bas ont transposé l’article 5, paragraphe 3 de la directive ePrivacy à l’article 11.7a de la loi sur les télécommunications (Telecommunicatiewet). Sans préjudice du RGPD, le stockage d’informations dans l’équipement terminal d’un utilisateur, ou l’accès à des informations qui y sont stockées, au moyen d’un réseau de communications électroniques, n’est autorisé que si l’utilisateur a reçu une information claire et complète conforme au RGPD, au moins sur les finalités, et a consenti. Il en va de même lorsque le stockage ou l’accès est réalisé par d’autres moyens.

L’article 11.7a, paragraphe 3 exempte le stockage ou l’accès :

• ayant pour seule finalité d’effectuer une communication sur un réseau de communications électroniques ;
• strictement nécessaire pour fournir le service de la société de l’information demandé par l’utilisateur ;
• servant à obtenir des informations sur la qualité ou l’efficacité d’un service de la société de l’information, à condition que son impact sur la vie privée de l’utilisateur soit faible ou nul.

La troisième exemption est propre aux Pays-Bas : peu d’autres lois inscrivent une exemption de mesure d’audience dans le texte même. L’article 11.7a, paragraphe 4 ajoute une présomption : stocker ou lire des informations pour collecter, combiner ou analyser des données sur l’utilisation de différents services par un utilisateur, afin de pouvoir le traiter différemment, est présumé constituer un traitement de données personnelles. En pratique, les cookies de suivi font toujours entrer en jeu le RGPD. L’article 11.7a, paragraphe 5 ajoute que les organismes publics ne peuvent pas subordonner l’accès à leurs services en ligne au consentement.

Qui fait appliquer les règles sur les cookies aux Pays-Bas ?

Deux régulateurs se partagent la tâche. En vertu de l’article 15.1, paragraphe 3 de la loi, l’Autorité des consommateurs et des marchés (ACM) contrôle les dispositions de la loi sur les télécommunications qui ne sont pas attribuées à une autre autorité, dont l’article 11.7a. L’autorité néerlandaise de protection des données, l’Autoriteit Persoonsgegevens (AP), contrôle le traitement de données personnelles au moyen de cookies au titre du RGPD. Comme les cookies de suivi sont présumés traiter des données personnelles, l’AP est devenue la principale autorité de contrôle des cookies, et elle a annoncé surveiller les bandeaux cookies plus strictement depuis 2024.

Que doit faire un bandeau cookies aux Pays-Bas ?

La page de l’AP sur les bandeaux cookies clairs liste neuf règles générales :

1. Expliquez quelles (catégories de) données personnelles vous traitez et pour quelles finalités avant que le visiteur choisisse. Si vous partagez des données avec des tiers, dites-le au premier niveau, avec les finalités et le nombre de tiers par finalité.
2. N’utilisez pas d’options précochées, à aucun niveau.
3. Utilisez des mots simples sur les boutons, comme « accepter », « d’accord » ou « refuser ».
4. Placez les boutons de refus et d’acceptation au même niveau. Ne proposez pas une seule des options au premier niveau.
5. Ne cachez pas les choix, par exemple en obligeant les visiteurs à faire défiler la page pour refuser ou en donnant au bouton de refus presque la même couleur que le fond.
6. Ne faites pas en sorte que refuser demande plus de clics qu’accepter, par exemple en demandant aux visiteurs de confirmer leur refus.
7. Ne cachez pas l’option de refus sous la forme d’un lien discret dans le texte.
8. Expliquez comment retirer son consentement avant que le visiteur choisisse, et rendez le retrait aussi simple que le consentement.
9. Ne mélangez pas consentement et intérêt légitime : les cookies de suivi exigent un consentement, que l’intérêt légitime ne peut pas remplacer.

L’AP liste aussi ce qui ne constitue pas un consentement valable : supposer le consentement lorsque les visiteurs continuent à faire défiler la page, traiter la passivité comme un consentement, précocher des catégories à un niveau plus profond, et les cookie walls. Les visiteurs doivent pouvoir utiliser un site normalement sans accepter les cookies de suivi.

Les cookies de mesure d’audience exigent-ils un consentement aux Pays-Bas ?

Pas s’il s’agit d’une mesure d’audience limitée. L’AP explique que les cookies de mesure d’audience limitée, qui collectent des informations comme le nombre de visiteurs et les pages les plus consultées pour améliorer le site, n’exigent pas de consentement lorsque leur impact sur la vie privée est nul ou faible, comme le prévoit l’article 11.7a, paragraphe 3, point b. Le site doit toutefois les mentionner dans sa déclaration de confidentialité et, en cas de traitement de données personnelles, disposer d’une base légale au titre du RGPD. Une mesure d’audience qui suit les visiteurs d’un site à l’autre, ou qui partage les données avec un fournisseur pour ses propres finalités, sort de l’exemption et exige un consentement. Voir la mesure d’audience sans consentement.

À combien s’élèvent les amendes aux Pays-Bas ?

Pour l’article 11.7a lui-même, l’ACM peut infliger une amende jusqu’à 900 000 euros ou, si ce montant est plus élevé, 1 % du chiffre d’affaires de la société (article 15.4, paragraphe 2), et le maximum double si la même société a été sanctionnée pour un manquement similaire au cours des cinq années précédentes (article 15.4, paragraphe 5). Pour le traitement de données personnelles au moyen de cookies sans consentement valable, l’AP applique le RGPD, avec des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

L’affaire cookies la plus connue de l’AP concerne la chaîne de drogueries Kruidvat. Le 16 juillet 2024, l’AP a annoncé une amende de 600 000 euros contre AS Watson Health & Beauty Continental Europe pour avoir suivi les visiteurs de Kruidvat.nl sans leur consentement : les cases de suivi du bandeau étaient précochées, refuser demandait de nombreuses étapes, et les données, comme les produits ajoutés au panier et achetés, pouvaient révéler des informations sensibles sur la santé. Le 12 juin 2025, statuant sur la réclamation d’AS Watson, l’AP l’a déclarée fondée et a réduit l’amende à 50 000 euros.

L’AP contrôle désormais à grande échelle. Le 15 avril 2025, elle a annoncé l’envoi de courriers aux 50 premières des 500 organisations par an qu’elle entend avertir au sujet de bandeaux trompeurs. Elle surveille 10 000 sites néerlandais, et les organisations qui ne corrigent pas leur bandeau dans un délai de trois mois s’exposent à une enquête et à un risque élevé d’amende.

Comment Cookiequiet s’adapte aux règles néerlandaises ?

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout refuser et Tout accepter figurent au même premier niveau avec le même poids par défaut, rien n’est précoché, et les visiteurs dont le navigateur demande le néerlandais voient le bandeau en néerlandais. Chaque choix est enregistré dans un registre des consentements avec sa date et la version du bandeau. Lancez le scanner de cookies gratuit pour voir ce que votre site dépose avant le consentement.