Ce que le TTDSG et le TDDDG réglementent réellement

Le TTDSG transpose la directive ePrivacy de l'UE dans le droit allemand avec une précision inhabituelle. Là où le GDPR réglemente le traitement des données personnelles, le TTDSG réglemente tout stockage d'informations dans, ou accès à des informations déjà stockées sur, l'équipement terminal d'un utilisateur — que ces informations soient ou non des données personnelles. En termes simples : chaque cookie, chaque pixel, chaque écriture dans le stockage local, chaque script de prise d'empreinte est dans le champ d'application, même s'il ne collecte aucune donnée personnelle.

Article 25 — La règle centrale du consentement

La disposition pivot est l'article 25 du TTDSG (désormais article 25 TDDDG). Il interdit le stockage ou l'accès à toute information sur l'équipement terminal d'un utilisateur à moins que l'une de deux conditions soit remplie :

• L'utilisateur a donné un consentement éclairé, volontaire, spécifique et actif après avoir été informé de manière claire et complète, ou
• Le stockage ou l'accès est strictement nécessaire pour la fourniture d'un service de télémédia expressément demandé par l'utilisateur.

Il n'existe pas de base d'intérêt légitime. Il n'y a pas d'opt-in implicite. L'interprétation allemande du strictement nécessaire est plus étroite que dans de nombreuses autres juridictions européennes — elle couvre les cookies de session, l'équilibrage de charge et le traitement des paiements, mais pas les analyses, ni la publicité, ni la plupart des personnalisations.

Interaction avec le GDPR

Le TTDSG ne remplace pas le GDPR. Il se superpose à lui. Même si vous franchissez l'obstacle du TTDSG pour l'acte de déposer un cookie, vous avez toujours besoin d'une base légale GDPR pour tout traitement de données personnelles qui s'ensuit. Une posture de conformité allemande propre exige de passer les deux portes. Une erreur courante consiste à recueillir le consentement en vertu de l'article 6(1)(a) du GDPR et à supposer que cela couvre également le TTDSG — c'est le cas, à condition que le consentement satisfasse également aux exigences de spécificité du TTDSG, qui sont plus strictes que celles du GDPR à plusieurs égards.

En quoi l'Allemagne diffère du reste de l'UE

Les régulateurs à travers l'UE interprètent l'ePrivacy de manière légèrement différente. L'Allemagne se situe à l'extrémité stricte du spectre sur plusieurs points.

Consentement explicite requis pour les analyses

Les autorités allemandes de protection des données ont constamment soutenu que Google Analytics, Matomo (cloud), Adobe Analytics, Mixpanel et outils similaires nécessitent un consentement opt-in. Des analyses auto-hébergées et anonymisées avec une courte durée de conservation peuvent parfois se qualifier comme strictement nécessaires, mais la barre est haute et varie selon l'autorité. La Bavière, le Bade-Wurtemberg, Berlin et Hambourg publient chacun des orientations techniques détaillées, et elles ne sont pas identiques.

Schrems II et transferts vers les États-Unis

Les autorités allemandes de protection des données ont été parmi les plus agressives d'Europe sur les questions de transfert Schrems II. L'exécution d'un tracker hébergé aux États-Unis — même avec une certification Data Privacy Framework — attire l'attention si le suivi est envahissant ou implique des données de catégorie spéciale. La Datenschutzkonferenz (DSK), l'organe commun des autorités de protection des données fédérales et des Länder allemands, a émis des orientations répétées selon lesquelles la télémétrie envoyée à des sous-traitants américains sans mécanisme de transfert valide viole simultanément le GDPR et le TTDSG.

Patterns sombres explicitement interdits

Plusieurs autorités allemandes de protection des données ont émis des orientations d'application selon lesquelles la honte de confirmation, les cases cochées par défaut, la prédominance inégale des boutons et les patterns de divulgation forcée sont incompatibles avec un consentement TTDSG valide. Une bannière où « Tout accepter » est visuellement dominant et « Tout refuser » est enfoui derrière un deuxième clic échouera à un audit allemand en 2026.

Exigences pratiques de CMP pour le marché allemand

Pour satisfaire au TTDSG/TDDDG dans un environnement de production, votre plateforme de gestion du consentement et votre gestionnaire de tags doivent appliquer plusieurs comportements spécifiques.

Égale prédominance pour l'acceptation et le refus

La bannière de première couche doit afficher un bouton Tout refuser avec parité visuelle par rapport à Tout accepter. La couleur, la taille, la position et le coût d'interaction doivent être équilibrés. De nombreuses CMP livrent un modèle par défaut qui ne répond pas à cette barre dans leur version locale allemande.

Granularité par vendeur

Les régulateurs allemands s'attendent à ce que les utilisateurs puissent donner leur consentement par vendeur ou par finalité, et pas seulement via un seul interrupteur global. IAB TCF v2.2 répond à cette attente, mais seulement si votre liste de vendeurs est à jour et que les finalités sont clairement expliquées.

Blocage avant le consentement

Aucun script tiers ne peut se charger, aucun cookie ne peut être écrit et aucun pixel ne peut se déclencher avant que le consentement affirmatif soit enregistré. Cela s'applique à Google Analytics, Meta Pixel, LinkedIn Insight Tag, Hotjar, Criteo, TikTok et à chaque serveur publicitaire. L'utilisation de modes de gestion des tags tenant compte du consentement — comme l'initialisation du consentement de Google Tag Manager — est le pattern attendu.

Révocable en un clic

Les autorités allemandes de protection des données exigent que le retrait du consentement soit aussi facile que de l'accorder. Un mécanisme persistant et visible — un bouton flottant de réouverture, un lien dans le pied de page ou un affordance UI équivalent — doit être disponible sur chaque page du site.

Registres de consentement et piste d'audit

Le TTDSG hérite de l'article 7(1) du GDPR : le responsable du traitement doit être en mesure de démontrer que le consentement a été donné. Conservez des enregistrements du moment, de la manière et des finalités pour lesquelles le consentement a été accordé, idéalement pendant au moins 36 mois compte tenu du délai de prescription civil allemand. La plupart des CMP certifiées Google gèrent cela par défaut.

Applications mobiles et suivi SDK

Le TTDSG s'applique aux applications mobiles avec la même force. L'identifiant publicitaire sur Android, l'idfa sur iOS, toute prise d'empreinte au niveau du SDK et tout comportement de cookie inter-applications sont tous soumis à la règle du consentement.

Parité Android et iOS

En pratique, les éditeurs qui s'appuient sur l'invite iOS App Tracking Transparency ne peuvent pas supposer qu'elle satisfait au TTDSG — l'invite d'Apple est un contrôle au niveau de la plateforme et n'est pas en soi un consentement TTDSG valide. Vous avez besoin d'une couche CMP intégrée à l'application qui collecte le consentement conforme au TTDSG avant l'initialisation de tout SDK non strictement nécessaire.

Chaînes de consentement intégrées à l'application

Pour la publicité dans les applications mobiles, la chaîne IAB TCF ou la chaîne IAB GPP doit être générée et propagée à chaque SDK participant au pipeline d'enchères. Sans chaîne de consentement valide, chaque enchère est juridiquement exposée quelle que soit la manière dont le SDK configure son propre comportement.

Paysage d'application en 2026

Les autorités allemandes de protection des données sont devenues beaucoup plus actives en matière d'application du TTDSG en 2024 et 2025. Le Landesdatenschutzbeauftragte de Bavière à lui seul a ouvert des centaines d'enquêtes par an, et l'autorité berlinoise de protection des données a émis des amendes citant spécifiquement des violations de bannières de cookies.

Amendes constatées jusqu'à présent

Le TTDSG lui-même fixe une amende administrative maximale de 300 000 EUR par violation. Mais comme toute violation du TTDSG constitue généralement aussi une violation du GDPR, les autorités ont souvent cumulé la sanction GDPR plus élevée — jusqu'à 20 millions EUR ou 4 % du chiffre d'affaires annuel mondial. Les éditeurs et les opérateurs d'e-commerce sur le marché allemand devraient prévoir une responsabilité cumulée lorsqu'ils évaluent leur exposition.

Responsabilité civile

L'Allemagne est l'une des rares juridictions de l'UE où des utilisateurs individuels ont poursuivi avec succès en justice pour des dommages non matériels en vertu de l'article 82 du GDPR en relation avec des violations de cookies. Attendez-vous à ce que les recours collectifs de consommateurs, souvent organisés par les Verbraucherzentralen et des cabinets d'avocats demandeurs, se poursuivent en 2026.

Liste de contrôle d'audit pour le trafic allemand

• La CMP présente Tout accepter et Tout refuser avec une prédominance visuelle égale sur la première couche
• Aucun cookie, pixel ou script tiers ne se charge avant le consentement, y compris les analyses et les tests A/B
• La granularité par finalité et par vendeur est proposée, avec des descriptions de finalités en langage clair en allemand
• Le mécanisme de retrait du consentement est persistant et accessible depuis chaque page
• Les enregistrements de consentement sont conservés avec l'horodatage, la version du consentement et les finalités accordées
• Les applications mobiles appliquent le consentement TTDSG avant l'initialisation de tout SDK non strictement nécessaire, indépendamment de l'invite iOS ATT
• Les accords de traitement des données et les évaluations de transfert Schrems II sont documentés pour chaque vendeur basé aux États-Unis
• La revue des patterns sombres est effectuée conformément aux dernières orientations DSK
• La politique de confidentialité nomme tous les sous-traitants, identifie séparément la base légale en vertu du GDPR et la base du consentement en vertu du TTDSG, et est disponible en allemand
• La liste des vendeurs est synchronisée avec IAB TCF v2.2 et mise à jour lors de l'ajout de nouveaux partenaires

Les perspectives 2026

Le changement de nom en TDDDG en 2024 n'a pas assoupli l'application allemande. Si quoi que ce soit, les autorités sont mieux dotées en ressources et mieux coordonnées par le biais du DSK qu'il y a deux ans. La trajectoire est claire : les niveaux de consentement vont s'élever, l'examen des patterns sombres va s'intensifier, et les évaluations de transfert Schrems II vont devenir un axe d'audit standard. Les éditeurs et annonceurs opérant en Allemagne qui ont investi dans un stack de consentement approprié en 2024-2025 sont globalement en bonne position. Ceux qui ont laissé la conformité allemande pour plus tard entrent en 2026 avec des lacunes connues et un intérêt réglementaire croissant. La bonne décision est de combler ces lacunes maintenant — avant qu'une enquête du Landesdatenschutzbeauftragte ne force la question selon un calendrier que vous ne contrôlez pas.