Consentement aux cookies en Pologne : ce qu’exige l’article 399

Quelle loi polonaise encadre les cookies ?

La Pologne transpose l’article 5, paragraphe 3 de la directive ePrivacy à l’article 399 de la loi sur les communications électroniques (Prawo komunikacji elektronicznej) du 12 juillet 2024, publiée au Dz.U. 2024 poz. 1221. La loi est entrée en vigueur le 10 novembre 2024. Elle a remplacé la loi sur les télécommunications du 16 juillet 2004, dont l’article 173 portait la règle sur les cookies depuis deux décennies. La nouvelle loi transpose aussi le code des communications électroniques européen, ce qui explique que les cookies figurent désormais dans une longue loi sur les télécommunications, à côté de règles sur la numérotation, le spectre et l’itinérance.

L’article 399 reprend la structure de la directive. Stocker des informations dans l’équipement terminal de l’utilisateur final, ou accéder à des informations qui y sont déjà stockées, n’est autorisé que si trois conditions sont réunies :

1. Une information préalable. L’utilisateur est informé au préalable, de manière claire, simple et compréhensible, de la finalité du stockage ou de l’accès et de la manière de définir les conditions de ce stockage ou de cet accès dans les paramètres de son logiciel ou la configuration du service.
2. Un consentement. Après avoir reçu cette information, l’utilisateur consent.
3. Aucune modification de configuration. Les informations stockées ou l’accès ne modifient pas la configuration du terminal de l’utilisateur ni des logiciels qui y sont installés.

L’article 400 ajoute que les règles du droit de la protection des données s’appliquent à l’obtention de ce consentement. En pratique, cela importe la définition du RGPD : un consentement libre, spécifique, éclairé, univoque, donné par un acte positif clair, et aussi simple à retirer qu’à donner.

Quels cookies sont exemptés de consentement ?

L’article 399, paragraphe 3 lève ces conditions lorsque le stockage ou l’accès est nécessaire pour effectuer la transmission d’un message sur un réseau public, ou pour fournir un service de télécommunications ou un service fourni par voie électronique demandé par l’utilisateur. C’est l’exemption de stricte nécessité de la directive. Les identifiants de session, les paniers, les cookies de connexion et de sécurité, la répartition de charge et le cookie qui conserve le choix de consentement en relèvent.

Le droit polonais ne prévoit pas d’exemption distincte pour la mesure d’audience. Les cookies de mesure d’audience, les pixels publicitaires, les contenus embarqués des réseaux sociaux et les outils d’enregistrement de session exigent un consentement, sauf s’ils sont configurés pour ne rien stocker ni lire sur le terminal. L’article 399, paragraphe 4 ajoute une règle propre à l’installation de logiciels sur le terminal de l’utilisateur : celui-ci doit être informé de la finalité, de l’usage qu’en fera le fournisseur et de la manière de le supprimer, et doit consentir avant l’installation.

Les paramètres du navigateur peuvent-ils valoir consentement en Pologne ?

L’article 399, paragraphe 2 prévoit que l’utilisateur peut donner son consentement au moyen des paramètres d’un logiciel installé sur son terminal ou de la configuration du service. L’ancien article 173 contenait une clause similaire, et de nombreux sites polonais se sont longtemps contentés d’un avis indiquant que poursuivre la navigation avec les cookies activés valait consentement. Cette lecture se concilie mal avec l’article 400 et le standard du RGPD : des paramètres de navigateur par défaut qui acceptent les cookies ne constituent pas un acte positif clair, et la Cour de justice a jugé dans l’arrêt Planet49 (C-673/17, 1er octobre 2019) qu’un consentement précoché ou passif n’est pas valable. La lecture prudente est que les paramètres du navigateur ne peuvent exprimer un choix que si l’utilisateur l’a fait activement. Un bandeau qui bloque les traceurs jusqu’au clic du visiteur est l’approche qui tient au regard des deux textes.

Qui fait appliquer les règles sur les cookies en Pologne ?

Deux autorités interviennent, et la répartition compte.

• Le président de l’UKE (Urząd Komunikacji Elektronicznej, l’Office des communications électroniques) fait appliquer la loi sur les communications électroniques. L’article 444, paragraphe 1, point 82 rend passible d’amende le fait de stocker des informations sur le terminal d’un utilisateur, d’y accéder ou d’y installer un logiciel en violation de l’article 399. L’article 444, paragraphe 2, point 8 ajoute une amende pour défaut d’obtention du consentement de l’utilisateur final au titre de l’article 399.
• Le président de l’UODO (Urząd Ochrony Danych Osobowych, l’Office de protection des données personnelles) fait appliquer le RGPD. Lorsque des cookies portent des données personnelles, ce qui est le cas de la plupart des identifiants, le traitement ultérieur de ces données relève de l’UODO.

Sous l’ancienne loi, l’UODO examinait les plaintes sur les cookies en appliquant les articles 173 et 174 de la loi sur les télécommunications avec le RGPD. Sous la nouvelle loi, l’amende pour la règle sur les cookies elle-même relève de l’UKE.

Quel est le montant des amendes ?

En vertu de l’article 446, paragraphe 1, les amendes infligées par le président de l’UKE au titre de l’article 444 atteignent jusqu’à 3 % du chiffre d’affaires réalisé par l’entreprise au cours de l’année civile précédente. Lorsque le chiffre d’affaires des trois années précédentes n’a pas dépassé 500 000 zlotys, l’article 446, paragraphe 3 plafonne l’amende à 15 000 zlotys. En vertu de l’article 444, paragraphe 4, l’UKE peut aussi infliger à la personne qui dirige une entreprise de télécommunications une amende jusqu’à 300 % de son salaire mensuel, mais cela vise les opérateurs de télécommunications, et non les propriétaires de sites ordinaires. Les manquements au RGPD traités par l’UODO suivent l’échelle du RGPD, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

Nous n’avons trouvé aucune amende publiée par l’UKE au titre de l’article 399 en octobre 2026. La règle est récente et les contrôles ont jusqu’ici visé les opérateurs de télécommunications : pour un site ordinaire, le risque vient surtout des plaintes auprès de l’UODO et du standard général de consentement fixé par le CEPD.

Que doit faire un bandeau cookies en Pologne ?

Un bandeau qui respecte à la fois l’article 399 et le RGPD :

• s’affiche avant le dépôt de tout cookie non essentiel et bloque ces scripts jusqu’au choix du visiteur ;
• explique en polonais, de manière claire et simple, ce que fait chaque catégorie, qui dépose les cookies et combien de temps ils durent ;
• propose des options Accepter et Refuser de même visibilité dès le premier écran, comme l’attend la task force « bandeaux cookies » du CEPD (voir le guide du bouton Tout refuser) ;
• permet de choisir par finalité, sans rien de précoché ;
• permet de modifier ou de retirer son choix à tout moment ;
• conserve une trace de chaque consentement pour que vous puissiez démontrer qu’il a été donné.

Le bandeau doit-il être en polonais ?

La loi sur la langue polonaise du 7 octobre 1999 impose le polonais dans les relations avec les consommateurs en Pologne, y compris pour les offres et les informations destinées aux consommateurs que d’autres lois rendent obligatoires (articles 7 et 7a). Une version en langue étrangère peut être affichée, mais une version polonaise doit être fournie en même temps. Comme l’article 399 exige lui-même une information claire, simple et compréhensible, un avis sur les cookies destiné aux visiteurs polonais devrait être en polonais.

Comment Cookiequiet s’y adapte

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout refuser figure à côté de Tout accepter au premier niveau par défaut, et le bandeau s’affiche en polonais pour les visiteurs dont le navigateur le demande, parmi 24 langues. Chaque choix est enregistré dans un registre des consentements, et le ciblage géographique est inclus dans toutes les offres, y compris Free. Lancez d’abord le scanner de cookies pour voir quels traceurs votre site dépose avant tout choix.