Cookies : ce que l'omnibus européen changerait pour votre bandeau

Le 21 octobre 2026, les États membres ont arrêté leur position de négociation sur l'omnibus numérique européen. Elle allonge la liste des traceurs utilisables sans consentement, dont la mesure d'audience, fait passer le délai de notification d'une violation de données de 72 à 96 heures, et abandonne le signal de refus transmis par le navigateur que proposait la Commission.

La bonne nouvelle pour votre bandeau cookies est donc réelle, mais elle n'est pas pour tout de suite. Ce n'est qu'une position du Conseil : le Parlement européen n'a pas encore adoptée la sienne, les négociations n'ont pas commencé, et le texte final peut encore bouger sur les points les plus disputés. En attendant, le droit applicable n'a pas changé d'une ligne. Voici ce qui est sur la table, ce qui ne l'est plus, et ce qu'il est raisonnable de faire dès maintenant.

Ce qui s'est passé le 21 octobre

La Commission européenne a présenté son paquet de simplification numérique le 19 novembre 2025. Il touche à la fois au RGPD, à la directive vie privée et communications électroniques, au règlement sur les données et au signalement des incidents. Sa page de présentation en donne le périmètre.

Le 21 octobre 2026, les représentants des États membres ont adopté le mandat qui servira de position du Conseil dans les négociations avec le Parlement. Le communiqué du Conseil en résume la logique, et le texte du mandat, document 14756/26, en donne la rédaction exacte. C'est cette rédaction que nous avons lue pour cet article, plutôt que les résumés qui circulent.

Un point mérite d'être posé tout de suite, parce qu'il est faux dans beaucoup de titres : rien n'a été voté. Un mandat de négociation n'est ni une loi ni un accord. C'est la position que les gouvernements défendront face aux eurodéputés.

Les finalités qui n'exigeraient plus de consentement

Le cœur du sujet pour un éditeur de site tient dans la réécriture de l'article 5, paragraphe 3, de la directive vie privée, celui qui impose le consentement avant de lire ou d'écrire dans le terminal d'un utilisateur. Le mandat y inscrit une liste fermée de finalités exemptées. Quatre méritent votre attention.

• La mesure d'audience propriétaire. Produire des statistiques agrégées anonymes sur l'usage d'un service en ligne, à condition que ce soit fait par le fournisseur du service demandé par l'utilisateur, ou par un tiers pour son compte, et que les données ne soient ni utilisées pour une autre finalité, ni partagées avec des tiers, ni combinées avec des données de tiers.
• La mesure d'audience des médias. Celle prévue par l'article 24 du règlement européen sur la liberté des médias, sous réserve de pseudonymisation après collecte, sans suivi de l'activité de l'utilisateur en dehors du service, et sans donnée personnelle partagée avec des tiers.
• La sécurité technique. Maintenir ou rétablir la sécurité technique des moyens strictement nécessaires à la fourniture du service, ou celle du terminal utilisé.
• La mesure de la publicité contextuelle. Mesurer l'affichage et la performance d'une publicité fondée sur le contexte, à condition que les données soient pseudonymisées après collecte comme mesure de sécurité, qu'elles ne servent pas au profilage ni à la publicité programmatique, et que la mesure ne porte pas sur l'activité passée ou future de l'utilisateur, y compris entre sites, applications ou services.

La formulation est serrée, et c'est volontaire. Le texte ferme explicitement la porte au recoupement entre sites, au profilage et à la revente. Autrement dit, les outils qui réutilisent vos données pour leur propre compte resteraient dehors, exactement comme aujourd'hui.

Le signal navigateur passe à la trappe

C'est le renoncement le plus lourd, et il est passé presque inaperçu. La Commission voulait sortir les règles sur les traceurs de la directive vie privée pour les inscrire dans le RGPD, avec deux nouveautés : un refus en un clic et surtout un signal automatisé, lisible par machine, par lequel le navigateur aurait exprimé une fois pour toutes le choix de l'internaute.

Le Conseil supprime ce dispositif et renvoie les règles à leur place actuelle, dans la directive vie privée. Les bandeaux survivent donc, simplement avec moins de cas où ils sont obligatoires. Pour les éditeurs, c'est un gain. Pour les internautes, la solution qui aurait réellement fait disparaître la fatigue du consentement disparaît du texte.

Deux garde-fous subsistent côté utilisateur. Le refus doit rester possible de manière simple et intelligible, par un bouton unique ou un moyen équivalent. Et surtout, après un refus, le même consentement ne pourra pas être redemandé avant au moins quatre mois pour la même finalité. Si vous redemandez le consentement à chaque visite, ce point vous concerne directement.

Violation de données : 72 heures deviendraient 96

Le mandat modifie l'article 33 du RGPD. Le délai de notification d'une violation de données à l'autorité de contrôle passerait de 72 à 96 heures après en avoir pris connaissance, avec le même ajustement pour les institutions européennes vis-à-vis du Contrôleur européen de la protection des données.

Le seuil de déclenchement bouge aussi : seules les violations susceptibles d'engendrer un risque élevé pour les droits et libertés seraient notifiées à l'autorité, les autres restant consignées dans le registre interne. Le Comité européen de la protection des données publierait un modèle commun et des listes de cas présumés à risque élevé ou non.

Vingt-quatre heures de plus, cela paraît peu. En pratique, c'est la différence entre une notification bâclée le dimanche soir et une notification étayée. Mais le point important reste inchangé : le délai court à partir du moment où vous prenez connaissance de la violation, ce qui suppose d'être capable de la détecter. C'est le même constat que nous faisions à propos de la sécurisation des applications, et que l'on retrouve dans le Cyber Resilience Act comme dans NIS 2 : une obligation de signalement sans capacité de détection ne protège de rien.

À noter enfin, le guichet unique européen imaginé par la Commission pour regrouper les signalements a été ramené par le Conseil à des points d'entrée nationaux, avec un point d'information au niveau européen.

Qui contrôlerait tout cela

Le mandat prévoit que les États membres désignent l'autorité de contrôle RGPD pour superviser et faire appliquer les règles de l'article 5, paragraphe 3. En France, cela confirmerait la CNIL dans un rôle qu'elle exerce déjà en pratique sur les traceurs. Une clarification utile, puisque la base juridique relève aujourd'hui de la directive vie privée et non du RGPD.

Le volet IA, moins commenté et plus structurant

Pendant que l'attention se porte sur les bandeaux, le mandat traite un sujet qui engage davantage les entreprises qui construisent des produits IA. Il introduit une disposition consacrée au traitement de données personnelles dans le cadre du développement et de l'exploitation d'un système ou d'un modèle d'intelligence artificielle.

Le principe retenu par le Conseil : un tel traitement peut reposer sur l'intérêt légitime du responsable ou d'un tiers, au sens de l'article 6, paragraphe 1, point f, du RGPD. L'exception reste la règle habituelle : cet intérêt s'efface devant les intérêts ou les libertés fondamentales de la personne concernée, et le texte mentionne expressément le cas où cette personne est un enfant. La mise en balance, le droit d'opposition et les garanties restent donc obligatoires, ce n'est pas un blanc-seing.

Le mandat ajoute aussi des aménagements pour les données sensibles de l'article 9, notamment lorsqu'elles se retrouvent de manière résiduelle dans un jeu d'entraînement sans être recherchées, et pour la vérification biométrique de type un contre un quand les données restent sous le contrôle de la personne. Si vous entraînez ou exploitez un modèle sur des données issues de vos utilisateurs, c'est la partie du paquet à suivre de près, davantage que les cookies. Elle complète ce que nous écrivions sur l'AI Act, qui traite la conformité du système là où l'omnibus traite la base légale des données.

Les trois points qui peuvent encore bouger

Un mandat de négociation n'est pas un texte final, et certains sujets sont des points de friction connus avec le Parlement. Trois méritent d'être suivis.

La place des cookies, d'abord. Le Conseil a ramené les règles dans la directive vie privée alors que la Commission voulait les faire passer dans le RGPD. Ce choix d'architecture décide du calendrier réel : un règlement s'applique directement, une directive doit être transposée par chaque État. Si le Parlement rouvre ce point, la date d'entrée en application changera.

La pseudonymisation ensuite, c'est-à-dire la question de savoir quand une donnée pseudonymisée cesse d'être une donnée personnelle. Le Conseil conserve la définition actuelle de la donnée personnelle et traite le sujet à part, en prévoyant un avis du Comité européen de la protection des données. La rédaction finale aura des conséquences très concrètes sur les analyses d'audience et les jeux de données d'entraînement.

L'intérêt légitime pour l'IA, enfin, qui est sans doute la disposition la plus discutée du paquet. Les autorités de protection des données ont déjà exprimé des réserves sur l'équilibre général du texte. C'est le point où l'écart entre la position du Conseil et celle du Parlement risque d'être le plus large.

Pourquoi il ne faut rien changer à votre bandeau aujourd'hui

Le calendrier est la partie que la plupart des articles escamotent, et c'est pourtant elle qui commande votre décision.

Le Parlement européen doit d'abord adopter sa propre position. Le vote en commission est attendu début 2027. Viennent ensuite les négociations entre les trois institutions, qui porteront précisément sur les points les plus disputés, dont la place des cookies. Le texte final sera publié au Journal officiel, entrera en vigueur quelques jours plus tard, mais plusieurs de ses dispositions ne s'appliqueront qu'après un délai supplémentaire. La partie vie privée, elle, passe par une directive que les États membres devront transposer, avec un délai de vingt-quatre mois après adoption prévu dans le mandat.

Conclusion pratique : retirer un bandeau aujourd'hui au motif que l'Europe s'apprête à assouplir les règles reviendrait à appliquer un texte qui n'existe pas. Le RGPD et la directive vie privée s'appliquent dans leur version actuelle, délai de 72 heures compris.

Ce que vous pouvez faire, en revanche, dès maintenant

Voici le point que l'actualité fait oublier : pour la mesure d'audience, l'exemption n'a pas attendu l'omnibus. Elle existe déjà en droit français, au titre de l'article 82 de la loi Informatique et Libertés, et la CNIL en publie les critères. Une finalité strictement limitée à la mesure d'audience, pour le compte exclusif de l'éditeur, des statistiques anonymes, aucun recoupement, aucun suivi entre sites.

Autrement dit, beaucoup de sites pourraient déjà se passer de bandeau pour leur mesure d'audience, à condition de changer d'outil. C'est exactement le sujet que nous avons traité dans notre comparatif des alternatives à Google Analytics : ce qui bloque n'est pas la loi, c'est le choix d'un outil qui réutilise les données pour son propre compte.

Trois actions utiles, donc, et aucune ne dépend de l'issue des négociations. D'abord, inventorier vos traceurs finalité par finalité, et vérifier lesquels relèvent déjà d'une exemption. Ensuite, vérifier que votre refus est aussi simple que votre acceptation, et que vous ne redemandez pas le consentement à chaque visite : ces deux points sont déjà exigés aujourd'hui, et le futur texte les durcit plutôt qu'il ne les assouplit. Enfin, documenter vos choix, comme pour le reste de votre conformité RGPD.

Si l'omnibus est adopté dans l'esprit du mandat, ce travail d'inventaire sera exactement celui qui vous permettra de supprimer des bandeaux sans risque. Il n'est donc jamais perdu.

Ce que nous en retenons

Le Conseil a posé une position favorable aux éditeurs : plus de finalités exemptées de consentement, dont la mesure d'audience propriétaire et la sécurité technique, et vingt-quatre heures de plus pour notifier une violation de données. Il a en revanche renoncé au signal navigateur, c'est-à-dire à la seule mesure qui aurait vraiment réduit le nombre de bandeaux affichés.

Rien de tout cela n'est applicable. Le Parlement doit se prononcer, le trilogue reste à mener, et la transposition prendra encore des mois. Prudence, donc, face aux titres qui annoncent la fin des bandeaux cookies.

Ce qui est actionnable aujourd'hui, c'est l'exemption française pour la mesure d'audience, et un bandeau honnête où refuser coûte un clic comme accepter. Nous accompagnons ces arbitrages sur nos projets d'applications souveraines, mesure d'audience comprise. Si vous voulez savoir quels traceurs de votre site pourraient déjà s'en passer, parlons-en.