Consentement aux cookies en Tchéquie : ce qu’exige la section 89, paragraphe 3

Quelle loi tchèque encadre les cookies ?

La Tchéquie transpose l’article 5, paragraphe 3 de la directive ePrivacy à la section 89, paragraphe 3 de la loi n° 127/2005 Sb. sur les communications électroniques. La rédaction actuelle a été introduite par la loi n° 374/2021 Sb., entrée en vigueur le 1er janvier 2022.

La section 89, paragraphe 3 prévoit que quiconque entend utiliser ou utilise des réseaux de communications électroniques pour stocker des données dans l’équipement terminal d’abonnés ou d’utilisateurs, ou pour accéder à des données qui y sont stockées, doit obtenir d’eux au préalable un consentement démontrable à l’étendue et à la finalité du traitement. L’obligation ne s’applique pas au stockage ou à l’accès technique ayant pour seule finalité la transmission d’un message sur un réseau de communications électroniques, ni lorsqu’il est nécessaire pour fournir un service de la société de l’information explicitement demandé par l’abonné ou l’utilisateur.

Le consentement s’apprécie selon le standard du RGPD : libre, spécifique, éclairé, univoque et exprimé par un acte positif clair.

Qu’est-ce qui a changé le 1er janvier 2022 ?

Avant la modification, le texte tchèque était largement lu comme une règle d’opposition (opt-out), qui permettait aux sites de déposer des cookies tant que l’utilisateur ne s’y opposait pas. L’Office pour la protection des données personnelles (ÚOOÚ) explique que la modification a levé tout doute : depuis le 1er janvier 2022, les données personnelles des visiteurs ne peuvent être collectées au moyen de cookies non techniques que sur la base de leur consentement démontrable, selon le principe de l’opt-in. Son président a indiqué en août 2023 que l’office avait d’abord informé et averti les exploitants, puis commencé à sanctionner une fois qu’ils avaient eu suffisamment de temps pour s’adapter.

Quels cookies exigent un consentement en Tchéquie ?

L’ÚOOÚ classe les cookies en deux groupes selon leur finalité :

• Les cookies techniques, nécessaires au bon fonctionnement du site. Ils n’exigent pas de consentement. Un site qui n’utilise que des cookies techniques n’a pas besoin de bandeau cookies, mais il doit tout de même informer les visiteurs, car ces cookies contiennent aussi des identifiants uniques.
• Les cookies non techniques, utilisés pour collecter des informations sur les utilisateurs à des fins statistiques, analytiques, marketing ou autres. Ils exigent un consentement préalable (opt-in).

Le droit tchèque ne prévoit pas d’exemption pour la mesure d’audience. Les cookies statistiques et analytiques sont non techniques dans la classification de l’ÚOOÚ : des outils comme Google Analytics exigent donc un consentement.

Qui fait appliquer la règle sur les cookies en Tchéquie ?

L’ÚOOÚ traite les affaires de cookies. Il considère les cookies comme un traitement de données personnelles, car ils contiennent des identifiants uniques et d’autres informations qui sont des données personnelles au sens du RGPD. Ses enquêtes portent sur la conception et le fonctionnement du bandeau cookies, l’information donnée aux visiteurs et la nécessité réelle des cookies utilisés pour le fonctionnement du site.

En pratique, l’ÚOOÚ sanctionne les manquements sur les cookies au titre du RGPD. Dans une présentation du 12 juin 2024, il a listé les manquements les plus fréquents et les articles qu’il applique :

• cookies non techniques utilisés sans consentement (traitement illicite, article 5, paragraphe 1, point a du RGPD) ;
• consentement vicié, par exemple un consentement non éclairé (article 6, paragraphe 1) ;
• information incomplète, comme des cookies absents de la liste, des cookies non classés ou une information uniquement en langue étrangère (articles 12 et 13) ;
• retrait du consentement impossible ou difficile, alors qu’au minimum un lien en pied de page pour rouvrir le bandeau est attendu (article 7, paragraphe 3) ;
• options Accepter et Refuser placées à des niveaux différents du bandeau, ce qui rend le refus plus difficile (article 4, point 11, appuyé par l’article 7, paragraphe 3).

Quel est le montant des amendes en Tchéquie ?

Comme l’ÚOOÚ applique le RGPD, le plafond est celui du RGPD : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. L’ÚOOÚ calcule les amendes selon les lignes directrices 04/2022 du CEPD sur le calcul des amendes administratives.

Le 2 août 2023, l’ÚOOÚ a annoncé avoir infligé depuis le début de 2023 des amendes cookies d’un total de 4 443 000 CZK, dont 1 640 000 CZK définitives. La plus forte amende définitive, 898 000 CZK, a visé une société du secteur des communications électroniques, principalement pour avoir déposé des cookies marketing sur le terminal des visiteurs sans consentement. Les autres griefs comprenaient un consentement vicié, une information disponible uniquement en anglais, un consentement difficile à retirer et des interfaces trompeuses dans les bandeaux. En juin 2024, l’ÚOOÚ indiquait que les amendes cookies définitives atteignaient environ 2 millions de CZK.

Que doit faire un bandeau cookies tchèque ?

Les indications de l’ÚOOÚ sur le bandeau (cookie lišta) sont directes :

• refuser doit être aussi simple que consentir : les boutons Accepter et Refuser ont donc leur place au même niveau, de préférence le premier, avec une attention à leur taille et à leur couleur (voir le guide du bouton Tout refuser) ;
• le bandeau ne doit pas masquer le contenu sans offrir un moyen de différer le choix, comme un bouton de fermeture ;
• les paramètres du navigateur ne peuvent pas à eux seuls remplacer le bandeau ;
• le bandeau devrait réapparaître après des changements significatifs du traitement, comme de nouvelles finalités, mais pas à chaque modification d’un cookie particulier ;
• un lien en pied de page devrait permettre aux visiteurs de rouvrir le bandeau et de retirer leur consentement.

Le bandeau doit-il être en tchèque ?

L’ÚOOÚ recommande de fournir l’information dans une langue compréhensible : le tchèque, et la langue locale pour les marchés étrangers. Il cite l’information fournie uniquement en langue étrangère parmi les manquements fréquents qu’il sanctionne.

Comment Cookiequiet s’y adapte

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, pour que la liste des cookies soit complète et classée, Tout refuser figure à côté de Tout accepter au premier niveau par défaut, et le bandeau s’affiche en tchèque pour les visiteurs dont le navigateur le demande, parmi 24 langues. Un lien ou une icône rouvre le bandeau pour retirer son consentement, chaque choix est enregistré dans un registre des consentements, et le ciblage géographique est inclus dans toutes les offres, y compris Free. Commencez par le scanner de cookies.