Amendes pour cookies en Espagne : ce que sanctionne l'AEPD et comment avoir un bandeau conforme en 2026

Déposer des cookies d'analyse ou publicitaires sans le consentement de l'utilisateur peut coûter jusqu'à 30 000 euros par infraction en Espagne. Le risque n'a rien de théorique : chaque année, l'Agencia Española de Protección de Datos (AEPD, l'autorité espagnole de protection des données) sanctionne des sites et des applications pour des bandeaux qui ne permettent pas de refuser, des pixels qui se déclenchent avant tout clic ou des politiques de cookies copiées sur un autre site. La bonne nouvelle, c'est que presque tous les manquements se ressemblent et se repèrent en dix minutes. Ce guide explique ce que dit la loi, combien vous pourriez payer, quelles erreurs sont sanctionnées et comment contrôler votre propre site. Il concerne toute entreprise dont le site ou l'application vise des utilisateurs en Espagne, où qu'elle soit établie.

Ce que dit la loi : l'article 22.2 de la LSSI

Le texte de référence est l'art. 22.2 de la Ley 34/2002 sur les services de la société de l'information et le commerce électronique (LSSI), qui transpose en Espagne la directive ePrivacy. Il n'autorise les cookies et technologies similaires (pixels, local storage, fingerprinting) que si l'utilisateur a consenti après avoir reçu une information claire et complète sur leur utilisation et, notamment, sur leurs finalités, dans les conditions du Règlement général sur la protection des données (RGPD). Seuls échappent à cette exigence les cookies strictement nécessaires à la transmission de la communication ou à la fourniture d'un service expressément demandé par l'utilisateur : la session, le panier, l'équilibrage de charge ou le cookie qui mémorise si l'utilisateur a accepté ou refusé.

Tout le reste (Google Analytics, le pixel Meta, Hotjar, le remarketing Google Ads, les vidéos YouTube intégrées qui déposent des cookies tiers) exige un consentement préalable. Et l'autorité chargée du contrôle est l'AEPD : l'art. 43.1 LSSI lui attribue expressément le pouvoir de sanctionner les infractions en matière de cookies.

Quel est le montant de l'amende pour les cookies

Utiliser des cookies sans avoir informé l'utilisateur ou obtenu son consentement dans les conditions de l'art. 22.2 constitue une infraction légère (art. 38.4.g LSSI), punie d'une amende pouvant atteindre 30 000 euros (art. 39.1.c LSSI). Le montant est modulé selon les critères de l'art. 40 LSSI : l'intention, la durée de l'infraction, la récidive, le nombre d'utilisateurs concernés, les bénéfices obtenus et le chiffre d'affaires de l'entreprise, entre autres.

Deux nuances méritent d'être connues. La première joue en votre faveur : l'AEPD peut prononcer un avertissement au lieu d'ouvrir une procédure de sanction et fixer un délai de mise en conformité (art. 39 ter LSSI), et une fois la procédure ouverte, reconnaître sa responsabilité et payer volontairement réduisent chacun l'amende d'au moins 20 %, ces réductions étant cumulables (art. 85 de la Ley 39/2015). Le cas Vueling l'illustre : en 2019, l'AEPD a infligé à la compagnie une amende de 30 000 euros parce que son bandeau ne permettait pas de refuser les cookies (procédure PS/00300/2019), ramenée à 18 000 euros grâce à ces deux réductions.

La seconde joue contre vous : l'amende de la LSSI n'épuise pas le risque. Les cookies qui identifient l'utilisateur traitent des données personnelles, et si la base juridique, l'information ou la gestion de ces données sont également défaillantes, le RGPD s'applique, avec des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial (art. 83.5 RGPD). Ne pas publier les données d'identification du titulaire du site (art. 10.1 LSSI, les mentions légales ou aviso legal) est une autre infraction légère, distincte (art. 38.4.b LSSI). Un site négligé en cumule souvent plusieurs.

En pratique, de nombreuses amendes infligées à des PME et des startups sont restées de quelques milliers d'euros. Mais le coût réel est souvent ailleurs : la procédure commence presque toujours par la plainte d'un utilisateur ou d'un concurrent, oblige à répondre à des demandes de l'autorité et à refaire le bandeau dans l'urgence, et la décision est publiée avec le nom de l'entreprise.

Ce que l'AEPD a précisé dans son guide sur les cookies

La LSSI dit peu de choses sur la forme du bandeau. L'AEPD l'a précisé dans son Guide sur l'utilisation des cookies, mis à jour en juillet 2020 et en juillet 2023 pour l'aligner sur les critères du Comité européen de la protection des données. Voici les points qui pèsent le plus lors d'un contrôle.

Refuser doit être aussi simple qu'accepter. Depuis la mise à jour de 2023 (applicable depuis le 11 janvier 2024), les options accepter et refuser doivent être présentées à un endroit et dans un format mis en évidence, au même niveau. Un grand bouton « Accepter » en couleur, avec le refus caché dans un lien gris ou sur un second écran, n'est plus admis.

« Poursuivre la navigation » n'est pas consentir. Depuis la mise à jour de 2020, l'AEPD considère que poursuivre la navigation n'est en aucun cas une manière valable de donner son consentement. Pas plus que le défilement ou les cases précochées : il faut un acte positif clair.

Rien ne se charge avant le clic. Les cookies soumis au consentement ne peuvent pas être déposés à l'ouverture de la page. C'est le manquement le plus fréquent : le bandeau est bien conçu, mais Google Analytics ou le pixel Meta se déclenchent quand même parce que les balises du gestionnaire de balises n'attendent pas la réponse de l'utilisateur.

Cookie walls, seulement avec une alternative. L'accès ne peut être subordonné à l'acceptation des cookies que si une véritable alternative est proposée à ceux qui refusent, et l'AEPD a précisé en 2023 que cette alternative n'a pas à être gratuite (le modèle « accepter ou payer » adopté par certains médias).

Retirer son consentement, tout aussi simplement. L'utilisateur doit pouvoir changer d'avis à tout moment aussi facilement qu'il a consenti (art. 7.3 RGPD), ce qui suppose en pratique un lien permanent « Paramètres des cookies », généralement en pied de page. Le guide considère comme une bonne pratique de ne pas conserver le consentement plus de 24 mois sans le redemander.

Les erreurs les plus sanctionnées

À la lecture des décisions de l'AEPD de ces dernières années, les motifs se répètent. Des bandeaux sans bouton de refus au premier niveau, ou avec un « Paramétrer » qui mène à un écran où toutes les cases sont déjà activées. Des cookies d'analyse et publicitaires déposés avant toute interaction, même lorsque l'utilisateur refuse ensuite. Des sites qui obligent à accepter pour naviguer (selon ce qui a été publié en 2024, l'Audiencia Nacional a confirmé pour ce motif l'amende de 30 000 euros infligée à Iberia). Et des politiques de cookies génériques, qui n'indiquent ni quels cookies existent, ni à qui ils appartiennent, ni à quoi ils servent, ni combien de temps ils durent.

Une erreur de fond explique presque toutes les autres : traiter le bandeau comme un plugin qu'on installe et qu'on oublie. Chaque fois que le marketing ajoute une balise, un chat, une carte ou une vidéo intégrée, le site change et le bandeau cesse de le refléter. C'est pourquoi des sites conformes le premier jour cessent souvent de l'être quelques mois plus tard.

Comment contrôler votre site en dix minutes

1. Ouvrez votre site en navigation privée sans toucher au bandeau. Dans les outils de développement du navigateur (onglet Application ou Stockage, rubrique Cookies), regardez quels cookies sont présents. Si vous voyez _ga, _fbp, _gcl_au, _hjSession ou similaires avant d'accepter, il y a un problème.

2. Cliquez sur « Refuser » et rechargez la page. Les cookies d'analyse et publicitaires ne devraient pas apparaître. S'ils apparaissent, le bandeau est décoratif.

3. Regardez le premier niveau du bandeau. Accepter et refuser doivent être visibles, au même niveau et avec le même poids visuel, avec une brève explication de l'usage des cookies et un lien vers la politique.

4. Ouvrez la politique de cookies. Elle doit énumérer les cookies réellement utilisés par votre site, avec leur émetteur (propre ou tiers), leur finalité et leur durée, et expliquer comment retirer le consentement.

5. Cherchez le lien pour changer d'avis. Il doit exister un accès permanent pour rouvrir les paramètres.

6. Vérifiez le gestionnaire de balises. Si vous utilisez Google Tag Manager, chaque balise qui dépose des cookies doit dépendre du consentement (le mode consentement de Google aide, mais ne remplace pas la bonne configuration de chaque balise).

Si l'une de ces étapes échoue, changer de plugin ne suffit pas : il faut inventorier les cookies, ajuster le bandeau et réécrire la politique pour qu'elle décrive ce que fait réellement le site.

Les cookies ne sont qu'une partie des textes légaux

Un site qui vend ou qui génère des prospects en Espagne a aussi besoin, outre le bandeau et la politique de cookies, de mentions légales avec les informations de l'art. 10 LSSI, d'une politique de confidentialité avec les informations de l'art. 13 RGPD et, s'il vend à des consommateurs, de conditions de vente avec l'information précontractuelle et le droit de rétractation exigés par le droit de la consommation. Nous le détaillons dans les textes légaux dont votre site a besoin et, pour les boutiques en ligne, dans le RGPD pour votre e-commerce. Des textes copiés sur un autre site ont le même défaut qu'un bandeau mal configuré : ils décrivent un site qui n'est pas le vôtre.

Si votre produit vit des données, l'analyse commence plus tôt

Pour un site vitrine, le bandeau et les textes légaux suffisent. Mais si votre modèle économique repose sur les données des utilisateurs (une application avec des SDK tiers, une plateforme publicitaire ou d'affiliation, un produit qui profile les utilisateurs ou utilise l'intelligence artificielle, un service de santé ou financier), les cookies sont le symptôme visible d'une question plus large : ce que vous voulez faire de ces données est-il licite, et à quelles conditions ? Mieux vaut y répondre avant de construire le produit qu'après la première demande de l'autorité. C'est l'objet de notre rapport de viabilité juridique (page en anglais), à partir de 650 euros HT, que nous appliquons aux produits d'IA dans viabilité juridique d'un projet d'IA.

Ce qui pourrait changer

Le 19 novembre 2025, dans le cadre du paquet dit Digital Omnibus, la Commission européenne a proposé de transférer les règles sur les cookies de la directive ePrivacy vers le RGPD et de permettre plus facilement à l'utilisateur d'exprimer ses préférences automatiquement depuis le navigateur. À la date de publication, la proposition est toujours en cours d'adoption, sans texte définitif, et peut évoluer sensiblement. En attendant, ce qui s'applique et se sanctionne en Espagne, c'est l'art. 22.2 LSSI avec les critères de l'AEPD exposés ci-dessus. Nous mettrons ce guide à jour si la proposition est adoptée.

Questions fréquentes

Quelle est l'amende en l'absence de bandeau cookies ?

Si le site dépose des cookies non nécessaires sans informer ni demander le consentement, il s'agit d'une infraction légère au sens de l'art. 38.4.g LSSI, passible d'une amende pouvant atteindre 30 000 euros. Si le site n'utilise que des cookies techniques ou strictement nécessaires, il n'a pas besoin de bandeau, même s'il est recommandé de les expliquer dans la politique de cookies.

Les cookies Google Analytics nécessitent-ils un consentement ?

Oui. L'exemption de l'art. 22.2 LSSI ne couvre que les cookies strictement nécessaires au service demandé par l'utilisateur, et l'analyse n'en fait pas partie. Google Analytics doit donc se charger après l'acceptation.

Un plugin cookies gratuit suffit-il ?

Il peut servir d'outil, mais ne rend pas conforme à lui seul. Il faut le configurer pour qu'il bloque réellement les cookies jusqu'au consentement, que le refus soit au même niveau que l'acceptation et que la politique reflète les cookies utilisés par votre site. La plupart des manquements que nous constatons surviennent avec un plugin installé.

Qui est responsable si le cookie appartient à Google ou à Meta ?

Le titulaire du site. Le cookie peut appartenir à un tiers, mais c'est vous qui décidez d'insérer son code dans votre page et qui devez obtenir le consentement avant son dépôt.

Puis-je bloquer l'accès à ceux qui refusent les cookies ?

Seulement si vous leur proposez une véritable alternative pour accéder au contenu sans accepter, qui selon l'AEPD peut être payante. Un cookie wall sans alternative n'est pas valable.

Comment nous procédons chez Sonav Legal

Nous examinons votre site ou votre application comme le ferait un contrôleur : quels cookies sont déposés avant et après le consentement, comment le bandeau est configuré et ce que disent vos textes légaux. Nous rédigeons ou corrigeons ensuite mentions légales, politique de confidentialité, politique de cookies et conditions, pour qu'ils décrivent ce que fait réellement votre activité, à un prix forfaitaire convenu avant de commencer. Si vous vous lancez en Espagne, les textes légaux du site sont inclus dans nos forfaits startups à partir de 1 250 euros.