Consentement aux cookies au Portugal : ce qu’exige la loi 41/2004

Quelle loi portugaise encadre les cookies ?

Le Portugal transpose la directive ePrivacy dans la loi n° 41/2004 du 18 août relative au traitement des données personnelles et à la protection de la vie privée dans les communications électroniques. La loi n° 46/2012 du 29 août, qui a transposé la modification de 2009 de la directive, a réécrit l’article 5 pour exiger un consentement préalable et a republié l’ensemble de la loi. Une seconde modification, apportée par la loi sur les communications électroniques (loi n° 16/2022), n’a changé que les articles 7 et 10, qui portent sur les données de localisation et les appels d’urgence : la règle sur les cookies reste donc le texte de 2012.

L’article 5, paragraphe 1 prévoit en substance que le stockage d’informations dans l’équipement terminal d’un abonné ou d’un utilisateur, et l’accès à des informations qui y sont stockées, ne sont autorisés que si l’abonné ou l’utilisateur a donné son consentement préalable, sur la base d’une information claire et complète conforme à la loi sur la protection des données, notamment sur les finalités du traitement.

La loi sur la protection des données de l’époque ayant été remplacée par le RGPD, le consentement s’entend au sens du RGPD : libre, spécifique, éclairé, univoque, exprimé par un acte positif clair, et aussi simple à retirer qu’à donner.

Quels cookies sont exemptés ?

L’article 5, paragraphe 2 conserve les deux exemptions de la directive. Aucun consentement n’est requis pour le stockage ou l’accès technique :

1. dont la seule finalité est de transmettre une communication sur un réseau de communications électroniques ; ou
2. strictement nécessaire pour que le fournisseur fournisse un service de la société de l’information expressément demandé par l’abonné ou l’utilisateur.

Les cookies de session, de connexion, de panier, de sécurité, de répartition de charge et le cookie qui enregistre le choix de consentement en relèvent. L’exemption s’interprète strictement : un cookie n’est pas strictement nécessaire parce que le responsable du site le juge utile, mais seulement parce que le service demandé par le visiteur ne peut pas fonctionner sans lui. Le droit portugais ne prévoit pas d’exemption spécifique pour la mesure d’audience : les cookies de mesure d’audience exigent donc un consentement, sauf si l’outil ne stocke et ne lit rien sur le terminal. Les pixels publicitaires, les modules de réseaux sociaux, les vidéos embarquées et les widgets de chat qui déposent des identifiants avant que le visiteur ne s’en serve exigent tous un consentement préalable.

Qui fait appliquer les règles sur les cookies au Portugal ?

Contrairement à plusieurs de ses voisins, le Portugal confie la règle sur les cookies à l’autorité de protection des données plutôt qu’au régulateur des télécommunications. L’article 15, paragraphe 1 de la loi 41/2004 charge la Comissão Nacional de Proteção de Dados (CNPD) d’ouvrir et de trancher les procédures de contravention, et de prononcer avertissements, amendes et sanctions accessoires, pour les manquements à l’article 5. Le régulateur des télécommunications, l’ANACOM, traite d’autres parties de la loi, comme la sécurité des réseaux. En vertu de l’article 13-D, la CNPD peut aussi adopter des règlements de bonnes pratiques, donner des ordres et formuler des recommandations.

La CNPD fait aussi appliquer le RGPD au Portugal : un site qui dépose des traceurs sans consentement peut donc se voir reprocher à la fois un manquement à l’article 5 et un manquement au RGPD pour les données personnelles collectées.

Quel est le montant des amendes au Portugal ?

L’article 14, paragraphe 1, point e qualifie de contravention le non-respect des conditions de stockage et d’accès aux informations prévues à l’article 5. L’amende va de 5 000 à 5 000 000 d’euros lorsque l’infraction est commise par une société ou une autre personne morale, et de 1 500 à 25 000 euros pour une personne physique. En vertu de l’article 15, 60 % de l’amende revient à l’État et le reste à l’autorité qui l’a prononcée. Les manquements au RGPD liés au même suivi relèvent de l’échelle du RGPD, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, et un même bandeau peut enfreindre les deux textes à la fois.

Nous n’avons trouvé aucune amende de la CNPD publiée au titre de l’article 5 en octobre 2026, et la CNPD n’a pas publié de lignes directrices propres aux cookies. Sa liste de lignes directrices porte sur la prospection directe, les mesures de sécurité et d’autres sujets. En pratique, les sites portugais suivent les lignes directrices du CEPD, que la CNPD publie en portugais, et le standard de consentement fixé par la Cour de justice dans l’arrêt Planet49 (C-673/17, 1er octobre 2019).

Que doit faire un bandeau cookies au Portugal ?

Un bandeau qui respecte l’article 5 et les lignes directrices du CEPD :

• bloque tout cookie et script non exempté jusqu’au choix du visiteur ;
• explique de manière claire et complète à quoi sert chaque catégorie, qui dépose les cookies, combien de temps ils durent et si des tiers peuvent les lire, les points cités par la Cour de justice dans l’arrêt Planet49 ;
• propose des options Accepter et Refuser de même visibilité au premier niveau, comme l’attend la task force « bandeaux cookies » du CEPD (voir le guide du bouton Tout refuser) ;
• permet de consentir par finalité, sans rien de précoché ;
• ne subordonne pas l’accès au site à l’acceptation du suivi ;
• rend le retrait aussi simple que le consentement et enregistre chaque choix.

Le bandeau doit-il être en portugais ?

Oui pour les sites destinés aux consommateurs au Portugal. L’article 7, paragraphe 3 de la loi sur la protection des consommateurs (loi n° 24/96 du 31 juillet) prévoit que l’information du consommateur est fournie en portugais, et le décret-loi n° 238/86 impose que l’information sur les biens et services proposés sur le marché portugais soit en portugais. L’article 5 de la loi 41/2004 exige aussi une information claire et complète, qu’un visiteur ne peut obtenir que dans une langue qu’il lit.

Comment Cookiequiet s’y adapte

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout refuser figure à côté de Tout accepter au premier niveau par défaut, et le bandeau s’affiche en portugais pour les visiteurs dont le navigateur le demande, parmi 24 langues. Chaque choix est enregistré dans un registre des consentements, et le ciblage géographique est inclus dans toutes les offres, y compris Free. Le scanner de cookies montre quels traceurs votre site dépose avant tout choix.