Conformité web en Finlande : cookies, RGPD et accessibilité

La Finlande applique les mêmes règles européennes que le reste de l’union, RGPD pour les données personnelles, ePrivacy pour les cookies et le stockage, et l’European Accessibility Act pour l’accessibilité, mais sa mise en œuvre a deux particularités : la surveillance des cookies est répartie entre deux régulateurs, et la Finlande a été l’un des derniers États membres à abandonner le « consentement » par paramètres du navigateur. Ce guide cartographie les trois cadres tels qu’ils s’appliquent à un site finlandais en 2026.

Les trois cadres applicables

• RGPD + Tietosuojalaki. Le RGPD s’applique directement, complété par la loi finlandaise sur la protection des données (Tietosuojalaki, 1050/2018). Le régulateur est l’Office of the Data Protection Ombudsman (Tietosuojavaltuutettu).
• ePrivacy via l’Act on Electronic Communications Services. La règle de stockage des cookies est le §205 de la loi 917/2014, supervisée par Traficom.
• EAA via l’Act on the Provision of Digital Services. L’European Accessibility Act a été transposé par des modifications de lois existantes, dont la loi 306/2019, applicable à partir du 28 juin 2025.

Cookies : §205 et consentement actif

Selon le §205 de l’Act on Electronic Communications Services, stocker ou lire des informations sur l’équipement terminal de l’utilisateur requiert le consentement, sauf si le stockage est strictement nécessaire à la fourniture du service demandé. Les cookies analytiques tels que _ga ou _pk_id ne sont pas strictement nécessaires : ils requièrent donc un consentement opt-in préalable.

La Finlande est arrivée tard à cette position. Traficom a continué d’accepter les paramètres du navigateur comme expression du consentement même après l’arrêt Planet49 de la CJUE (C-673/17) du 1er octobre 2019, ce qui a laissé la Finlande parmi les derniers récalcitrants de l’UE. Le basculement est venu de la décision du médiateur adjoint du 14 mai 2020, qui a jugé que renvoyer les utilisateurs vers les paramètres de confidentialité du navigateur n’est pas un consentement suffisamment actif et explicite ; Traficom et l’Office of the Data Protection Ombudsman ont ensuite publié conjointement, le 13 septembre 2021, des lignes directrices révisées pour les fournisseurs de services. Les points clés :

• Le consentement doit être un acte positif et actif, pas de cases pré-cochées, pas de consentement implicite.
• Les cookies non essentiels ne peuvent être déposés avant ce consentement.
• Refuser doit être aussi simple qu’accepter.
• Le « consentement » par paramètres du navigateur n’est plus acceptable.

Les tribunaux finlandais ont depuis renforcé l’application de la législation cookies : ces lignes directrices ne peuvent donc être ignorées sans risque. Elles rejoignent le consensus européen sur la parité du refus et sur le cadre qui régit les cookies.

Deux régulateurs, deux questions

Le modèle réparti finlandais est important car il change votre interlocuteur :

• Traficom (via son Cyber Security Centre) supervise la règle de stockage, la question §205 de savoir si des informations peuvent être déposées ou lues sur l’appareil.
• L’Office of the Data Protection Ombudsman supervise le traitement, la question RGPD de savoir si les données personnelles collectées par les cookies sont traitées licitement, avec un consentement valable et les informations requises.

Un site finlandais a besoin des deux : un consentement de stockage valable au titre du §205, et une base et une information RGPD valables pour la suite.

Accessibilité : la loi 306/2019 et l’EAA

L’Act on the Provision of Digital Services (306/2019) impose l’accessibilité au secteur public et à certains services financés par des fonds publics ou essentiels depuis 2019, mesurée selon EN 301 549, en pratique WCAG 2.1 niveaux A et AA. L’European Accessibility Act a ensuite étendu les obligations à de nombreux produits et services privés grand public à partir du 28 juin 2025. Notamment, la Finlande a transposé l’EAA en grande partie en modifiant la législation existante (dont la loi 306/2019), en y ajoutant une loi distincte pour les produits — la loi 102/2023 sur les exigences d’accessibilité de certains produits — plutôt qu’une loi unique consolidée.

N’adressez pas cela à une Regional State Administrative Agency. La surveillance de l’accessibilité numérique est passée de l’Etelä-Suomen aluehallintovirasto à Traficom le 1er janvier 2025, et les Regional State Administrative Agencies ont été supprimées fin 2025. Traficom cumule donc trois rôles pour un site finlandais : le stockage de cookies au titre du §205, l’accessibilité numérique au titre de la loi 306/2019 et la surveillance du marché des produits au titre de la loi 102/2023. Elle peut faire appliquer les exigences notamment par des astreintes au titre de la loi sur les astreintes (uhkasakkolaki, 1113/1990).

Une checklist pratique pour un site finlandais

1. Aucun cookie, pixel ou écriture de stockage non essentiel ne se déclenche avant le consentement actif.
2. Le consentement résulte d’un acte positif, pas des paramètres du navigateur, pas de cases pré-cochées.
3. Refuser est aussi simple et visible qu’Accepter.
4. Une politique de confidentialité nomme les traceurs et la base légale RGPD du traitement.
5. Le site respecte WCAG 2.1 AA (EN 301 549) pour le contenu grand public.

Comment Veracly contrôle un site finlandais

Veracly évalue une URL finlandaise au regard des trois cadres en un seul scan. Le module cookies enregistre les requêtes tierces, les cookies et les écritures de stockage présents avant que le bandeau ne soit touché — et nous ne le touchons jamais, car cliquer serait en soi un geste de consentement et fausserait la mesure avant consentement. Sont signalés : un stockage non essentiel avant consentement, un bandeau absent, une voie de refus absente ou non équivalente, et un consentement pré-coché. Deux limites, dites clairement : nous ne pouvons pas détecter le recours aux paramètres du navigateur, car c’est une affirmation du texte de votre bandeau et non un comportement observable à l’exécution — un humain doit le lire ; et seules les requêtes vers d’autres hôtes sont enregistrées, de sorte qu’un Matomo auto-hébergé posant _pk_id depuis votre propre domaine reste invisible dans le journal des requêtes. La parité du refus est lue sur le bandeau rendu — type de bouton, visibilité, poids visuel — et non testée en cliquant sur Refuser. Le module accessibilité exécute axe-core sur le DOM rendu pour WCAG 2.1 AA, et les constats sur les traceurs sont livrés avec une recette DevTools que vous pouvez rejouer vous-même.

À lire aussi : Conformité web aux Pays-Bas · Auditer un site sur plusieurs juridictions · L’EAA pour les PME