La directive ePrivacy est, comme décrit dans le deuxième article de cette série, une directive et non un texte de droit de l'UE directement applicable — chaque État membre a dû la transposer dans son droit national. L'Allemagne a longtemps peiné à le faire, et cette histoire mérite qu'on s'y arrête, car elle explique pourquoi les bandeaux de cookies allemands invoquent aujourd'hui une loi qui n'existe que depuis fin 2021.
Après le durcissement de la directive ePrivacy en 2009 (délai de transposition : 25 mai 2011), l'Allemagne s'en est d'abord tenue à la loi existante sur les télémédias, la TMG. Son article 15, paragraphe 3, prévoyait bien une possibilité de s'opposer aux cookies, mais sa rédaction restait proche de l'ancienne logique d'opposition d'avant 2009, non de la nouvelle obligation de consentement. Pendant des années, le gouvernement fédéral a soutenu que la TMG transposait déjà suffisamment la directive — une position de plus en plus contestée par les autorités de protection des données, les tribunaux et la Commission européenne. En pratique, cela a entretenu une longue insécurité juridique : certains sites suivaient l'interprétation européenne, plus stricte, d'autres s'appuyaient sur le droit national, plus faible.
Cette incertitude n'a pris fin qu'avec l'entrée en vigueur, le 1er décembre 2021, de la loi sur la protection des données dans les télécommunications et les télémédias (TTDSG). L'article 25 de la TTDSG a alors transposé de façon explicite en droit allemand les exigences de l'article 5, paragraphe 3, de la directive ePrivacy : le stockage d'informations sur des équipements terminaux, ou l'accès à ces informations, n'est licite que si l'utilisateur y a consenti — avec une exception étroite pour les finalités techniquement indispensables, par exemple pour fournir une fonction expressément demandée. La TTDSG a par ailleurs réuni pour la première fois le droit des télécommunications et celui des télémédias au sein d'une loi autonome, plutôt que de les répartir entre plusieurs textes.
En mai 2024, la TTDSG a été rebaptisée loi sur la protection des données dans les télécommunications et les services numériques (TDDDG), dans le cadre de l'adaptation du droit allemand au règlement européen sur les services numériques (DSA), qui a introduit des règles communes à toute l'UE pour les services numériques et les plateformes. La règle relative aux cookies elle-même n'a pas changé : la disposition auparavant citée comme l'article 25 de la TTDSG se retrouve depuis sous le même numéro, à l'article 25 de la TDDDG — seul le nom de la loi a changé.
En pratique, un bandeau de cookies en Allemagne s'appuie aujourd'hui typiquement sur deux fondements juridiques à la fois : l'article 25 de la TDDDG pour savoir si un consentement est seulement nécessaire, et l'article 6 du RGPD (avec les exigences des articles 4, point 11, et 7) pour la qualité de ce consentement. Qui connaît cet historique n'y voit pas une double mention superflue, mais deux textes qui répondent à deux questions distinctes tout en s'appuyant l'un sur l'autre — la transposition nationale d'une directive d'un côté, un règlement européen directement applicable de l'autre.
Le prochain article de cette série se penche sur une affaire concrète qui a décisivement précisé les exigences relatives à un consentement valable : l'arrêt Planet49 de la Cour de justice de l'Union européenne.
Pour l'exploitant d'un site web, cette double citation est plus qu'une formalité : elle indique, en cas de litige, quelle autorité est compétente sur quel point. Les questions relatives à la licéité même du recours aux cookies — un consentement était-il seulement nécessaire — relèvent de l'article 25 de la TDDDG et donc de l'autorité de protection des données du Land concerné. Les questions relatives à la qualité du consentement donné, par exemple s'il était suffisamment éclairé, relèvent du RGPD. En pratique, les mêmes autorités examinent généralement les deux aspects ensemble, mais le fondement juridique reste distinct — un détail qui prend toute son importance dès qu'il s'agit de contester une décision.