Consentement aux cookies en Suède : ce qu’exige la loi sur les communications électroniques

Quelle loi suédoise encadre les cookies ?

La Suède transpose l’article 5, paragraphe 3 de la directive ePrivacy au chapitre 9, section 28 de la loi sur les communications électroniques (lagen om elektronisk kommunikation, SFS 2022:482, souvent abrégée LEK). La loi et sa loi d’introduction (2022:483) sont entrées en vigueur le 3 juin 2022 et ont abrogé la précédente loi sur les communications électroniques de 2003, dont le chapitre 6, section 18 portait auparavant la règle sur les cookies.

La disposition est brève. Des informations ne peuvent être stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, ou y être lues, que si l’abonné ou l’utilisateur a accès à une information sur la finalité du traitement et y consent. Sans consentement, le stockage ou l’accès n’est autorisé que s’il :

1. est nécessaire pour transmettre un message électronique sur un réseau de communications électroniques ; ou
2. est nécessaire pour fournir un service que l’utilisateur ou l’abonné a explicitement demandé.

Le consentement s’entend au sens du RGPD, dont la directive emprunte la définition : libre, spécifique, éclairé, univoque, donné par un acte positif clair et aussi simple à retirer qu’à donner.

Quels cookies exigent un consentement en Suède ?

Tout ce qui sort des deux exemptions. La PTS les appelle « icke-nödvändiga kakor », les cookies non nécessaires. Les cookies de session, les paniers, les cookies de connexion et de sécurité, la répartition de charge et le cookie qui conserve le choix de consentement relèvent de la seconde exemption. La mesure d’audience, les pixels publicitaires, les outils de tests A/B, les contenus embarqués des réseaux sociaux et les widgets de chat qui stockent des identifiants exigent un consentement préalable.

Le droit suédois ne prévoit pas d’exemption pour la mesure d’audience. Un cookie de statistiques interne reste un stockage sur le terminal de l’utilisateur et n’est pas nécessaire à un service demandé par l’utilisateur. La PTS l’a souligné en 2023 en indiquant à l’Agence suédoise de santé publique que les cookies de son outil de statistiques Matomo ne devaient pas être déposés avant que le visiteur soit informé et consente. Le seul moyen d’échapper au consentement est un outil configuré pour ne rien stocker ni lire sur le terminal.

Qui fait appliquer les règles sur les cookies en Suède ?

La répartition entre deux autorités est le point essentiel à connaître en Suède.

• Post- och telestyrelsen (PTS), l’autorité suédoise des postes et télécommunications, est l’autorité de contrôle au titre de la loi sur les communications électroniques (section 5 de l’ordonnance 2022:511). Elle contrôle le chapitre 9, section 28, y compris sur les sites ordinaires.
• Integritetsskyddsmyndigheten (IMY), l’autorité suédoise de protection de la vie privée, fait appliquer le RGPD. Lorsque les données collectées au moyen de cookies et de pixels sont des données personnelles, le traitement qui suit relève de l’IMY.

Le 7 octobre 2022, la PTS a ouvert un contrôle ponctuel de la manière dont un échantillon de propriétaires de sites appliquait la règle sur les cookies. Dans sa décision du 31 octobre 2023 clôturant le dossier contre Tele2 (Dnr 22-11378), la PTS a listé ce qu’elle avait exigé du site le 26 juin 2023 : permettre aux utilisateurs de refuser les cookies non nécessaires aussi facilement que de les accepter, au même moment et dans la même vue ; utiliser des couleurs et des contrastes qui ne favorisent pas l’option d’acceptation ; cesser de déposer un cookie nommément désigné avant le consentement ; nommer les catégories de cookies au premier niveau du bandeau ; indiquer à ce niveau que le consentement peut être retiré à tout moment ; et rendre le retrait aussi simple que le consentement. Tele2 a procédé aux modifications et la PTS a clôturé le dossier sans autre mesure. Les dossiers contre Swedbank et l’Agence suédoise de santé publique ont été clôturés le même jour dans les mêmes termes.

Quel est le montant des amendes en Suède ?

La règle sur les cookies elle-même n’est assortie d’aucune amende administrative. Le chapitre 12 de la loi, qui liste les manquements que la PTS peut sanctionner par une sanction pécuniaire administrative de 5 000 à 10 000 000 de couronnes, n’inclut pas le chapitre 9, section 28. À la place :

• la PTS peut prononcer des injonctions de mettre fin au manquement, et une injonction peut être assortie d’une astreinte (vite) qui devient exigible si elle n’est pas respectée (chapitre 11, section 6) ;
• en vertu du chapitre 13, section 2, quiconque stocke ou lit intentionnellement ou par négligence des informations en violation du chapitre 9, section 28 peut être condamné à une amende pénale (böter), sauf si l’affaire est mineure.

Les fortes amendes viennent du côté RGPD. Le 29 août 2024, l’IMY a infligé à Apoteket AB une amende de 37 millions de couronnes (dossier IMY-2022-3270) et à Apohem AB une amende de 8 millions de couronnes (dossier IMY-2022-3272) après que le Meta Pixel de leurs sites a transmis à Meta des données sur les achats de leurs clients. Le manquement portait sur l’absence de mesures de sécurité appropriées au titre du RGPD, et non sur une règle de consentement aux cookies, mais il montre ce que peut coûter un pixel de suivi non vérifié. L’amende d’Apohem a été confirmée par le tribunal administratif (förvaltningsrätten) le 15 mai 2026 et fait l’objet d’un appel devant la cour administrative d’appel. Les amendes RGPD atteignent 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

Que doit faire un bandeau cookies en Suède ?

La liste de la PTS pour Tele2 tient lieu de check-list. Un bandeau qui la suit :

• bloque les cookies et scripts non nécessaires jusqu’au choix du visiteur ;
• affiche Accepter et Refuser au premier niveau, dans la même vue, avec le même poids visuel (le guide du bouton Tout refuser traite de la conception) ;
• nomme les catégories de cookies à ce premier niveau, avec le détail accessible en un clic ;
• indique au premier niveau que le consentement peut être retiré à tout moment ;
• rend le retrait aussi simple que le consentement, par exemple avec un lien ou une icône permanents ;
• enregistre chaque choix pour que vous puissiez démontrer que le consentement a été donné.

Le bandeau doit-il être en suédois ?

Aucune loi suédoise n’impose de langue pour les avis sur les cookies des sites privés. Le critère est que les visiteurs reçoivent une information qu’ils peuvent comprendre, et le RGPD exige un langage clair et simple. Pour un site destiné aux visiteurs suédois, cela signifie le suédois.

Comment Cookiequiet s’y adapte

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout refuser figure à côté de Tout accepter au premier niveau par défaut, et le bandeau s’affiche en suédois pour les visiteurs dont le navigateur le demande, parmi 24 langues. Chaque choix est enregistré dans un registre des consentements, et le ciblage géographique est inclus dans toutes les offres, y compris Free. Le scanner de cookies gratuit montre ce que votre site dépose, y compris un Meta Pixel que vous auriez pu oublier.