TL;DR
Le RGPD n'est pas la seule réglementation qui impose des règles sur les cookies et le consentement. Le Brésil (LGPD), l'Afrique du Sud (POPIA), la Thaïlande (PDPA), l'Inde (DPDPA) et d'autres pays ont adopté leurs propres lois sur la protection des données, chacune avec des exigences spécifiques sur les traceurs. Pour les sites à audience internationale, gérer les cookies hors Europe est devenu aussi important que la conformité RGPD.
Pourquoi les cookies sont réglementés au-delà de l'Europe
L'Europe a été pionnière avec le RGPD et la directive ePrivacy, mais la tendance à la réglementation de la vie privée en ligne est mondiale. Entre 2018 et 2026, plus de 40 pays ont adopté ou renforcé des lois sur la protection des données personnelles. La plupart incluent des dispositions qui affectent directement le dépôt de cookies et le tracking en ligne.
Même en Europe, le cadre continue d'évoluer, comme l'explique notre article sur ce que le règlement ePrivacy change pour les cookies.
Si votre site reçoit du trafic du Brésil, d'Afrique du Sud, d'Asie du Sud-Est ou d'Inde, vous êtes potentiellement soumis à ces réglementations, en plus du RGPD et du CCPA. Cet article passe en revue les principales lois hors Europe et ce qu'elles impliquent pour vos cookies.
LGPD (Brésil) : quelles règles pour les cookies ?
La Lei Geral de Protecao de Dados (LGPD) est la loi brésilienne sur la protection des données personnelles, en vigueur depuis septembre 2020. Elle est fortement inspirée du RGPD, mais présente des différences importantes sur le consentement et les bases légales applicables aux cookies.
Le consentement n'est pas la seule base légale
Contrairement au RGPD où le consentement est la base légale dominante pour les cookies non essentiels, la LGPD prévoit dix bases légales pour le traitement des données. L'intérêt légitime est une base légale valide au Brésil, ce qui signifie que certains cookies (analytiques, par exemple) pourraient théoriquement être déposés sans consentement préalable, à condition de respecter les principes de transparence et de nécessité.
En pratique, l'autorité brésilienne (ANPD) recommande néanmoins d'obtenir le consentement pour les cookies de tracking et publicitaires. Le consentement LGPD doit être libre, informé, inéquivoque et spécifique à chaque finalité.
Ces critères sont proches des critères européens, détaillés dans notre guide sur les 7 conditions de validité du consentement RGPD.
Ce que la LGPD exige concrètement
La LGPD exige une politique de confidentialité claire, l'identification des cookies déposés et de leurs finalités, un mécanisme de retrait du consentement, et la nomination d'un responsable du traitement (encarregado). Les catégories de cookies (nécessaires, analytiques, publicitaires) sont pertinentes dans ce contexte brésilien.
POPIA (Afrique du Sud) : le RGPD du continent africain
Le Protection of Personal Information Act (POPIA) est la loi sud-africaine sur la protection des données, pleinement applicable depuis juillet 2021. Elle s'applique à toute organisation qui traite les données personnelles de résidents sud-africains, y compris les sites web étrangers.
Consentement et cookies sous POPIA
POPIA exige que le traitement des données soit justifié par l'une des bases légales prévues par la loi. Le consentement est l'une d'entre elles, mais l'intérêt légitime (section 11(1)(f)) peut aussi s'appliquer dans certains cas. Pour les cookies publicitaires et de tracking, le consentement préalable est recommandé par l'Information Regulator (l'autorité sud-africaine).
Le consentement POPIA doit être volontaire, spécifique et informé. L'utilisateur doit pouvoir le retirer à tout moment. POPIA exige aussi un mécanisme d'opt-out pour le marketing direct, ce qui concerne les cookies utilisés à des fins de remarketing.
Conserver une trace horodatée de chaque choix permet de le démontrer plus facilement, comme l'explique notre guide sur la preuve de consentement aux cookies.
PDPA (Thaïlande) : la loi asiatique la plus stricte
Le Personal Data Protection Act (PDPA) thaïlandais est en vigueur depuis juin 2022. Il est souvent considéré comme l'équivalent asiatique du RGPD, avec des exigences similaires en matière de consentement et de droits des personnes concernées.
Un consentement explicite requis
Le PDPA thaïlandais exige un consentement explicite avant toute collecte de données personnelles, y compris via les cookies. Le consentement doit être libre, spécifique, informé et donné par une action affirmative claire. Les cookies pré-cochés ou les bandeaux sans option de refus ne sont pas conformes au PDPA.
L'autorité thaïlandaise (PDPC) a publié des lignes directrices qui alignent les exigences du PDPA avec les standards européens. Un bandeau de consentement conforme au RGPD sera généralement conforme au PDPA, avec quelques ajustements mineurs sur la langue et les mentions légales.
Pour des modèles concrets, parcourez ces exemples de bandeaux cookies RGPD et bonnes pratiques.
DPDPA (Inde) : la nouvelle loi à surveiller
Le Digital Personal Data Protection Act (DPDPA) indien a été adopté en août 2023. Avec 1,4 milliard d'habitants et une économie numérique en forte croissance, l'Inde représente un marché majeur. Le DPDPA impose le consentement comme base légale principale pour le traitement des données personnelles.
Le DPDPA prévoit un consentement libre, spécifique, informé et inéquivoque. Les règles d'implémentation (via des notifications) sont encore en cours de publication. Les sanctions prévues sont significatives : jusqu'à 250 crores de roupies (environ 27 millions d'euros) par infraction.
Pour les sites qui ciblent le marché indien, il est recommandé d'afficher un bandeau de consentement en anglais et en hindi, avec une politique de cookies adaptée au cadre DPDPA.
Comparatif des lois cookies hors Europe
Les quatre principales lois hors Europe ont des approches différentes sur le consentement cookies. Le tableau ci-dessous résume les points clés à retenir pour adapter votre CMP à chaque juridiction.
Comment adapter votre CMP à plusieurs juridictions
La stratégie la plus efficace consiste à adopter une approche basée sur la géolocalisation de vos visiteurs. Plutôt que d'appliquer les mêmes règles à tous, vous pouvez adapter le comportement de votre bandeau de consentement selon le pays de l'utilisateur.
Approche par géolocalisation
Un CMP moderne permet de détecter la localisation du visiteur et d'afficher le bandeau approprié. Pour les visiteurs européens : bandeau RGPD complet avec opt-in. Pour les visiteurs brésiliens : bandeau adapté avec mention LGPD et opt-out. Pour les visiteurs thaïlandais : bandeau opt-in similaire au RGPD. Pour les visiteurs indiens : bandeau consentement avec mention DPDPA. FlowConsent propose cette fonctionnalité de géolocalisation intégrée pour adapter automatiquement le bandeau au pays du visiteur.
La stratégie du plus haut niveau de protection
Une approche alternative consiste à appliquer le niveau de protection le plus élevé à tous les visiteurs, quel que soit leur pays. Cette stratégie simplifie la mise en conformité mais peut réduire les taux de consentement dans les pays moins stricts. Elle est recommandée pour les sites à trafic modéré hors Europe, où la géolocalisation n'est pas justifiée en termes de retour sur investissement.
Si vous choisissez cette voie, suivez son effet grâce à notre guide pour mesurer et améliorer votre taux de consentement.
Ce qu'il faut retenir
La gestion des cookies n'est plus une question purement européenne. Les lois se multiplient, les sanctions augmentent, et les utilisateurs sont de plus en plus sensibles à la protection de leurs données partout dans le monde. Pour un site à audience internationale, investir dans un CMP capable de gérer plusieurs juridictions est devenu indispensable.
Identifiez d'où vient votre trafic, vérifiez si vous êtes concerné par ces réglementations, et adaptez votre bandeau en conséquence. Scannez votre site avec FlowConsent pour vérifier votre configuration et identifier les optimisations possibles.