Guide de conformité à la loi jordanienne sur la protection des données personnelles pour le consentement aux cookies : loi n° 24 de 2023 pour les éditeurs en 2026
La Jordanie est devenue le premier pays du Levant à adopter un statut complet de protection des données avec la loi sur la protection des données personnelles n° 24 de 2023, publiée au Journal officiel le 17 septembre 2023, avec une période de grâce de six mois qui l'a mise en vigueur contraignante en mars 2024. La loi est administrée par le Conseil de protection des données personnelles, organe indépendant institué par la loi sous l'autorité du Ministère de l'économie numérique et de l'entrepreneuriat, avec des responsabilités de supervision quotidiennes et le pouvoir d'émettre des règlements d'application, de désigner des juridictions adéquates pour les transferts transfrontaliers et d'imposer des sanctions administratives. En 2026, le Conseil est doté de personnel, les règlements d'application couvrent la surface procédurale et substantielle, et l'application jordanienne est passée d'une possibilité théorique à un historique documenté. La conséquence pour les éditeurs est claire : une posture de consentement aux cookies qui fonctionnait sous le cadre fragmenté d'avant 2023 n'est plus suffisante, et une posture satisfaisant le GDPR ne satisfera le PDPL jordanien que si l'intégration tient compte des points précis où les régimes divergent.
Ce qu'exige réellement le PDPL jordanien
La loi s'applique au traitement des données personnelles des personnes situées en Jordanie, indépendamment du lieu d'établissement du responsable du traitement ou du sous-traitant, ainsi qu'aux responsables du traitement et aux sous-traitants établis en Jordanie, indépendamment du lieu de résidence des personnes concernées. Le champ territorial est donc large et couvre la plupart des éditeurs desservant des lecteurs jordaniens ; le cas marginal le plus courant — un éditeur non jordanien sans infrastructure jordanienne mais avec des visiteurs jordaniens — se résout par référence à la question de savoir si le responsable du traitement a activement orienté ses services vers la Jordanie. Les données personnelles sont définies de façon large comme toute information qui identifie ou rend identifiable une personne physique ; les données personnelles sensibles — incluant les données relatives à l'origine ethnique, l'opinion politique, les convictions religieuses, la santé, la vie sexuelle, les casiers judiciaires et les données financières — sont soumises à un seuil de consentement plus élevé et à des protections procédurales supplémentaires.
La loi établit des bases légitimes pour le traitement, l'ensemble standard des droits des personnes concernées — accès, rectification, effacement, limitation, opposition et portabilité —, un cadre de responsabilité responsable-sous-traitant avec désignation obligatoire d'un délégué à la protection des données pour les catégories les plus à risque, des obligations de notification de violation au Conseil dans les 72 heures suivant la prise de connaissance, des contrôles de transferts transfrontaliers reposant sur des décisions d'adéquation du Conseil ou des garanties approuvées, et un régime de sanctions administratives avec des amendes allant jusqu'à JOD 1 million par infraction, plus des sanctions pénales pour les catégories les plus graves, notamment le transfert transfrontalier non autorisé et le traitement de données sensibles sans base appropriée.
Comment le PDPL traite le consentement aux cookies
Le PDPL jordanien ne contient pas de disposition distincte à la manière de l'ePrivacy sur les cookies ; les cookies et les technologies analogues de stockage et d'accès relèvent du cadre général du consentement. La norme est un accord explicite, libre, spécifique et éclairé attesté par un acte positif — la famille d'exigences que le GDPR a établie comme référence mondiale et que la Jordanie a importée avec sa propre couche procédurale. Le Conseil, dans ses lignes directrices publiées, a confirmé que les cases pré-cochées, le consentement implicite déduit de la poursuite de la navigation et les bannières de consentement groupé ne satisfont pas au seuil de la loi. Cela place fermement la Jordanie dans la lignée de la trajectoire mondiale et signifie que la posture que les éditeurs adoptent déjà pour le trafic de l'EEE est le bon point de départ pour le trafic jordanien.
L'effet pratique est que les cookies et les technologies analogues qui ne sont pas strictement nécessaires à la fourniture du service que l'utilisateur a activement demandé ne doivent pas être déposés avant que l'utilisateur ait consenti. Les cookies strictement nécessaires — identifiants de session, contenu du panier, jetons de sécurité, cookies d'équilibrage de charge — peuvent être déposés sur la base que l'utilisateur a activement demandé le service. Tout le reste — analytique, publicité, personnalisation, tests A/B, replay de session et tout tag tiers — requiert un consentement préalable.
Comment le PDPL jordanien diverge du GDPR en pratique
Trois différences importent lors du raccordement d'un CMP. Premièrement, le PDPL exige que les responsables du traitement qui traitent les données personnelles d'un nombre de personnes concernées supérieur à un seuil défini par le Conseil, ou qui traitent des données personnelles sensibles, s'inscrivent auprès du Conseil et obtiennent une licence de traitement — une autorisation documentée devant être renouvelée selon le cycle défini par le Conseil et produite sur demande. Deuxièmement, les règles de transfert transfrontalier du PDPL exigent que le Conseil désigne les juridictions de destination ; les transferts vers des juridictions non désignées nécessitent soit le consentement explicite de la personne concernée, soit des garanties contractuelles approuvées par le Conseil, soit l'une des dérogations légales étroites. Troisièmement, le PDPL impose la désignation obligatoire d'un délégué à la protection des données pour les responsables du traitement dépassant le seuil défini par le Conseil, le DPO étant désigné dans les dossiers du responsable du traitement auprès du Conseil et servant de point de contact pour les demandes des personnes concernées et les questions du Conseil.
À quoi ressemble une bannière de cookies conforme sous le PDPL
Les exigences techniques convergent avec ce que tout CMP moderne produit déjà, mais le libellé, la documentation et le journal des consentements doivent refléter les spécificités jordaniennes. La bannière de premier niveau doit présenter à l'utilisateur un vrai choix — accepter, refuser, gérer — où l'option de refus est au moins aussi visible que l'option d'acceptation. Le consentement groupé est interdit, de sorte que le second niveau doit permettre un opt-in par catégorie couvrant au minimum l'analytique, la publicité et tout traitement dépendant de transferts transfrontaliers. Les catégories doivent être désactivées par défaut (off) ; la bannière ne doit pas charger de tags avant que l'utilisateur les ait activés de façon affirmative.
L'avis de confidentialité affiché depuis la bannière doit identifier le responsable du traitement, son numéro d'enregistrement auprès du Conseil le cas échéant, les catégories de données personnelles collectées, la base légale de chaque finalité de traitement, la durée de conservation des données, les catégories de destinataires y compris les sous-traitants situés hors de Jordanie, les droits de la personne concernée en vertu de la loi, les coordonnées du DPO lorsque sa désignation est obligatoire, et les coordonnées du Conseil pour les réclamations. Un avis conforme au standard de l'article 13 du GDPR se recoupe en grande partie, mais les lignes relatives à l'enregistrement au Conseil et aux coordonnées du DPO doivent être ajoutées explicitement.
Le modèle d'intégration qui passe un examen du Conseil
L'implémentation de référence comprend quatre parties mobiles. La première est un CMP prenant en charge un opt-in par catégorie désactivé par défaut et exposant le choix de l'utilisateur via une chaîne de consentement structurée que l'éditeur peut conserver. La deuxième est une couche de chargement des tags — un gestionnaire de tags côté serveur ou une porte native CMP — qui applique strictement l'état du consentement avant le dépôt de tout cookie non essentiel. La troisième est un journal des consentements, stocké côté serveur, qui enregistre pour chaque événement de consentement le choix de l'utilisateur par catégorie, l'horodatage, la version de la bannière et un identifiant IP tronqué ou haché, afin que le responsable du traitement puisse produire l'enregistrement sur demande du Conseil. La quatrième est un chemin de retrait au moins aussi facile que l'octroi initial — généralement un lien permanent de réouverture de la bannière dans le pied de page.
- Tags analytiques — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — ne doivent se charger qu'après l'octroi de la catégorie analytique. Chaque plateforme prend en charge une configuration conditionnée par le consentement qui empêche toute écriture de cookie avant l'ouverture de la porte.
- Tags publicitaires — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, enchérisseurs programmatiques d'en-tête — doivent être conditionnés au consentement de la même façon ; et lorsque le partenaire publicitaire transfère des données hors de Jordanie vers une juridiction que le Conseil n'a pas désignée, la juridiction destinataire et la base du transfert doivent figurer dans l'avis de confidentialité.
- Outils de replay de session et de cartes de chaleur — Hotjar, Microsoft Clarity, FullStory, Contentsquare — doivent se trouver derrière une porte distincte et plus stricte, car le Conseil s'est aligné sur les lignes directrices internationales signalant le rendu des champs de saisie comme une catégorie nécessitant un consentement explicite et granulaire.
- Les divulgations de transferts transfrontaliers doivent être spécifiques à chaque juridiction destinataire et faire référence à la décision d'adéquation du Conseil, à une garantie approuvée ou au consentement explicite de la personne concernée comme base légale.
Validation, enregistrement et posture d'audit pour 2026
Un déploiement jordanien défendable en 2026 doit passer quatre contrôles techniques. Premièrement, une session de navigateur propre servie depuis une adresse IP jordanienne doit produire zéro cookie non essentiel avant que la bannière n'ait été actionnée. Deuxièmement, le parcours de refus global doit aboutir à la même posture qu'une session sans action — aucun tag analytique, aucun tag publicitaire, aucun script de replay de session. Troisièmement, un flux d'acceptation globale ne doit produire que les tags pour lesquels l'utilisateur a consenti, et le journal des consentements doit contenir un enregistrement correspondant. Quatrièmement, un flux de retrait doit immédiatement arrêter les déclenchements de tags supplémentaires, faire expirer les cookies déposés lors de la session consentie et déclencher tout signal de suppression ou de retrait requis par les partenaires destinataires.
Au-delà des contrôles techniques, c'est la posture d'enregistrement et d'audit qui rend un déploiement défendable. Les responsables du traitement traitant des données personnelles de résidents jordaniens au-dessus des seuils définis par le Conseil doivent détenir l'enregistrement et la licence de traitement correspondants auprès du Conseil ; le dossier d'enregistrement — avec le journal des consentements, l'avis de confidentialité, les résultats de l'analyse d'impact sur la protection des données pour les traitements les plus risqués, les documents de désignation du DPO et les autorisations de transferts transfrontaliers — constitue la documentation que le Conseil peut demander lors d'un examen de conformité. Un CMP correctement configuré avec un journal côté serveur, une couche de chargement de tags appliquant l'état du consentement, un avis de confidentialité nommant chaque destination de transfert transfrontalier, les lignes de contact du DPO et du Conseil, et les documents d'enregistrement en dossier est ce qui transforme le PDPL jordanien d'un inconnu réglementaire en une partie défendable de la posture de consentement d'un éditeur dans la région du Levant.