# § 25 TDDDG : cookies et suivi en Allemagne

> Le § 25 TDDDG (ex-TTDSG) régit cookies et scripts : quand un consentement est nécessaire, quelles exceptions existent et ce que cela change pour les outils d'analyse.

Quelle: https://whovisit.app/fr/blog/paragraphe-25-tdddg-cookies-allemagne
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Qui exploite un site web en Allemagne rencontre le § 25 TDDDG à propos des cookies. Au quotidien, la disposition s'appelle souvent encore « paragraphe TTDSG » et elle est la raison d'être des bannières de cookies. Cet article explique ce qu'elle régit, quand elle s'applique, quelles exceptions existent et ce que cela signifie pour les scripts d'analyse et de marketing.

## Du TTDSG au TDDDG

La règle s'applique depuis le 1er décembre 2021 et figurait d'abord dans le Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG, la loi allemande sur la protection des données dans les télécommunications et les télémédias). Depuis le 14 mai 2024, la loi s'appelle Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Le changement de nom n'a rien modifié au contenu du § 25. Vous trouverez la loi sur [gesetze-im-internet.de](https://www.gesetze-im-internet.de/ttdsg/__25.html).

## Ce qu'exige le § 25, al. 1

Selon le texte, le stockage d'informations dans l'équipement terminal de l'utilisateur final ou l'accès à des informations qui y sont déjà stockées n'est licite que si l'utilisateur final a consenti sur la base d'informations claires et complètes. Information et consentement doivent se faire conformément au RGPD.

Trois choses sont importantes :

- **Il s'agit de l'appareil, pas du caractère personnel.** La règle s'applique aussi lorsqu'il ne naît finalement aucune donnée à caractère personnel. La base juridique du traitement ultérieur est une seconde question. La manière dont les deux étapes d'examen s'articulent figure dans [Reconnaissance des visiteurs et RGPD : une analyse sobre](https://whovisit.app/blog/besuchererkennung-dsgvo).
- **Il s'agit de plus que des cookies.** Le stockage local du navigateur (localStorage, sessionStorage) est lui aussi un stockage dans l'équipement terminal. La lecture d'informations de l'appareil par un script peut constituer un accès.
- **Le consentement doit être actif.** La CJUE l'a déjà jugé en 2019 pour les cookies. Une case précochée ne suffit pas ([CJUE, C-673/17, Planet49](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62017CJ0673)).

## Les exceptions de l'alinéa 2

Vous n'avez pas besoin de consentement dans deux cas :

1. **Transmission d'un message (n° 1).** Le seul but est la transmission d'un message par un réseau public de télécommunications.
2. **Strictement nécessaire (n° 2).** Le stockage ou l'accès est strictement nécessaire pour que le fournisseur puisse mettre à disposition un service numérique expressément demandé par l'utilisateur.

La seconde exception est interprétée étroitement. La Datenschutzkonferenz (DSK), l'association des autorités allemandes de contrôle, a rassemblé des exemples dans son [guide d'orientation pour les télémédias](https://www.datenschutzkonferenz-online.de/orientierungshilfen.html). Selon lui, ce dont le site web lui-même a besoin pour fonctionner passe en règle générale sans consentement préalable, par exemple un panier, une connexion ou le stockage du choix relatif aux cookies. Une mise en balance des intérêts selon l'art. 6, par. 1, point f du RGPD ne fait pas d'un script de suivi une fonction strictement nécessaire. La mesure d'audience et la statistique ne relèvent en règle générale pas de cette exception aux yeux des autorités. C'est la ligne du contrôle, un tribunal peut juger autrement dans un cas particulier.

## Conséquences pour les scripts d'analyse et de marketing

Pour la pratique, une règle empirique simple s'en dégage : dès qu'un script dépose quelque chose dans le navigateur ou y lit quelque chose qui n'est pas nécessaire à l'affichage de la page, il vous faut le consentement au préalable.

| Outil | Accès à l'appareil ? | Consentement selon le § 25 |
|---|---|---|
| Polices et images du propre serveur | Non | Non nécessaire |
| Cookie de panier | Oui, mais nécessaire | Non nécessaire (n° 2) |
| Analyse web avec cookie ou identifiant d'appareil | Oui | En règle générale nécessaire |
| Pixels publicitaires et de retargeting | Oui | Nécessaire |
| Heatmaps et enregistrement de la souris | Oui | En règle générale nécessaire |

Techniquement, cela signifie : le script ne doit se charger qu'après que le visiteur a accepté la catégorie correspondante. Une bannière qui se contente d'informer et charge quand même les scripts immédiatement ne remplit pas la règle. À quoi cela ressemble avec une intégration via un gestionnaire de balises est décrit dans l'aide sur le consentement dans le gestionnaire de balises. Sur les vidéos de souris, lisez plus dans [Session replay et protection des données : bien utiliser les vidéos de souris](https://whovisit.app/blog/mausvideos-website-datenschutz).

## Ce qui menace en cas d'infraction

Qui stocke ou accède contrairement au § 25, al. 1, première phrase commet selon le § 28, al. 1, n° 13 TDDDG une contravention. L'amende peut atteindre selon le § 28, al. 2 jusqu'à 300 000 euros. De plus, le traitement peut avoir ses propres conséquences au titre du RGPD. Le contrôle est exercé par les autorités de contrôle de la protection des données.

## Comment l'Autriche et la Suisse procèdent

La règle remonte à la directive ePrivacy (art. 5, par. 3). L'Autriche la transpose au § 165, al. 3 TKG 2021, plus de détails dans [Cookies en Autriche : § 165 TKG 2021](https://whovisit.app/blog/cookies-oesterreich-tkg-165). La Suisse suit une autre voie, à lire dans [Suivi de sites web en Suisse : revDSG et FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Questions fréquentes

**Le § 25 TDDDG s'applique-t-il aussi aux journaux de serveur ?** Non, pas pour ce que le serveur reçoit de toute façon lors de l'appel de page. La disposition joue pour le stockage sur l'appareil et pour l'accès à ce qui y est stocké. Savoir si une adresse IP lors de l'appel relève du RGPD est une question à part, que traite [Adresse IP et RGPD : est-elle une donnée personnelle ?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Ai-je besoin d'un consentement pour une simple mesure d'audience ?** Selon l'avis des autorités de contrôle allemandes, en règle générale oui, lorsqu'il y a accès à l'appareil. La mesure d'audience n'est pas considérée comme strictement nécessaire.

**Suffit-il de raccourcir la durée de vie du cookie ?** Non. La durée ne change rien à la question de savoir si l'on stocke ou lit. Ce qui est décisif est la finalité de l'accès.