Votre bandeau cookies pourrait bientôt ressembler à une relique des années 2020 : moins intrusif, plus automatisé, et avec des exemptions élargies. Mais aujourd’hui, il reste votre meilleure protection contre une sanction CNIL.
Le 19 novembre 2025, la Commission européenne présentait son paquet « Digital Omnibus », une réforme majeure visant à simplifier et harmoniser le RGPD, la directive ePrivacy et l’AI Act. Parmi les mesures phares : l’intégration des règles cookies directement dans le RGPD, avec des exemptions élargies et l’introduction de signaux de consentement automatisés via les navigateurs. Objectif affiché ? Réduire la « fatigue du consentement » tout en maintenant un haut niveau de protection des données.
Mais à Bruxelles, les négociations sont loin d’être terminées. Les trilogues (discussions entre Commission, Conseil et Parlement) se poursuivent pendant l’été 2026, et rien n’est définitivement adopté. En France, la CNIL continue d’appliquer les règles actuelles, avec une procédure simplifiée pour sanctionner les bandeaux non conformes. Alors, que faire ? Attendre sagement que Bruxelles tranche, ou anticiper sans prendre de risques ?
Ce qui pourrait changer : exemptions, signaux automatisés et RGPD allégé
Le Digital Omnibus ne supprime pas l’obligation de consentement pour les cookies, mais il en redessine les contours. Voici les trois évolutions majeures en discussion :
1. Des exemptions cookies élargies
Aujourd’hui, la directive ePrivacy (transposée en droit français) impose le consentement pour tous les cookies non strictement nécessaires. Le Digital Omnibus propose d’élargir les exemptions à deux catégories :
- Mesure d’audience anonymisée : les cookies utilisés pour analyser le trafic d’un site (ex. : Google Analytics) pourraient être exemptés de consentement, à condition que les données soient anonymisées et ne permettent pas de suivre un utilisateur individuel.
- Sécurité et fraude : les cookies utilisés pour détecter les tentatives de fraude (ex. : attaques par force brute) ou pour authentifier les utilisateurs pourraient également être exemptés.
Ces exemptions s’inspirent des lignes directrices actuelles de la CNIL, mais avec un champ potentiellement plus large. Par exemple, la CNIL autorise déjà les cookies de mesure d’audience sous conditions (pas de croisement avec d’autres données, durée de conservation limitée). Le Digital Omnibus pourrait généraliser cette approche.
2. Des signaux de consentement automatisés
Imaginez un monde où vous n’auriez plus à cliquer sur « Accepter » ou « Refuser » à chaque visite : vos préférences de consentement seraient enregistrées directement dans votre navigateur (Chrome, Firefox, Safari) et opposables aux sites. C’est l’une des pistes les plus ambitieuses du Digital Omnibus.
Concrètement :
- L’utilisateur configure ses préférences (ex. : « Refuser les cookies publicitaires ») dans les paramètres de son navigateur.
- À chaque visite sur un site, le navigateur envoie automatiquement ce signal au serveur.
- Le site doit respecter ce choix, sans afficher de bandeau intrusif.
Cette solution soulève cependant des défis techniques et juridiques :
- Interopérabilité : tous les navigateurs et sites doivent parler le même langage (standards techniques à définir).
- Preuve du consentement : comment un site prouve-t-il qu’il a bien respecté le signal envoyé par le navigateur ?
- Flexibilité : un utilisateur doit pouvoir modifier ses préférences à tout moment, et ces changements doivent être pris en compte immédiatement.
Les régulateurs (EDPB, EDPS) soutiennent cette approche en théorie, mais soulignent qu’elle ne sera pas opérationnelle avant plusieurs années. En attendant, les bandeaux cookies restent la norme.
3. Un RGPD allégé pour certaines données
Le Digital Omnibus propose également de resserrer la définition des données personnelles. Aujourd’hui, le RGPD s’applique dès qu’une donnée peut être reliée à une personne identifiée ou identifiable, même indirectement. Demain, certaines données pseudonymisées pourraient sortir du champ du RGPD si l’entreprise prouve qu’elle ne peut pas réidentifier la personne.
Exemple : un identifiant unique généré aléatoirement (ex. : « User_12345 ») ne serait plus considéré comme une donnée personnelle si l’entreprise n’a pas accès à la clé de réidentification. Cette mesure vise à faciliter l’innovation, notamment dans les domaines de l’IA et de la recherche.
Autre changement : l’intérêt légitime pourrait devenir une base légale valable pour l’entraînement des systèmes d’IA, sous conditions strictes (analyse d’impact, droit d’opposition renforcé). Aujourd’hui, cette base est rarement utilisée pour les traitements à grande échelle, en raison des risques juridiques.
| Évolution proposée | Impact sur les cookies | Calendrier prévisionnel | Risque juridique actuel |
|---|---|---|---|
| Exemptions élargies (mesure d’audience, sécurité) | Moins de cookies soumis au consentement | Adoption : 2027 Transposition : 2028 | Faible (inspiré des règles CNIL actuelles) |
| Signaux automatisés (navigateur) | Bandeau cookies potentiellement supprimé | Adoption : 2027 Mise en œuvre : 2029+ | Élevé (défis techniques et juridiques) |
| Données pseudonymisées hors RGPD | Moins de données soumises au RGPD | Adoption : 2027 Transposition : 2028 | Moyen (preuve de non-réidentification requise) |
| Intérêt légitime pour l’IA | Base légale élargie pour l’entraînement IA | Adoption : 2027 Transposition : 2028 | Moyen (conditions strictes à respecter) |
Ce qui ne change pas (et qui peut vous coûter cher)
Malgré les annonces bruxelloises, rien ne change aujourd’hui. Les règles actuelles (RGPD + directive ePrivacy) s’appliquent toujours, et la CNIL continue de sanctionner les manquements. Voici ce qui reste obligatoire, et les erreurs à éviter :
1. Le consentement reste la règle pour la plupart des cookies
Votre bandeau cookies doit toujours :
- Être visible dès l’arrivée sur le site : pas de scroll nécessaire, pas de dissimulation derrière un lien.
- Permettre un refus aussi simple qu’un acceptation : un bouton « Tout refuser » doit être aussi accessible qu’un bouton « Tout accepter ».
- Ne pas influencer le choix de l’utilisateur : pas de case pré-cochée, pas de design trompeur (ex. : bouton « Accepter » en vert et « Refuser » en gris).
- Conserver la preuve du consentement : pendant 6 mois (durée recommandée par la CNIL).
En 2025, la CNIL a sanctionné 42 % des sites contrôlés pour des bandeaux non conformes (source : rapport annuel CNIL 2025). Les amendes peuvent atteindre 2 % du chiffre d’affaires mondial (plafond RGPD), avec une procédure simplifiée pour les manquements évidents.
2. Les cookies strictement nécessaires restent exemptés
Les cookies suivants n’ont jamais nécessité de consentement, et cela ne changera pas :
- Cookies de panier d’achat (e-commerce).
- Cookies d’authentification (connexion à un compte).
- Cookies de préférences utilisateur (ex. : choix de la langue).
- Cookies de sécurité (ex. : détection de tentatives de piratage).
Attention : un cookie de mesure d’audience (ex. : Google Analytics) n’est pas considéré comme strictement nécessaire. Il nécessite aujourd’hui un consentement, sauf si les données sont anonymisées (selon les critères de la CNIL).
3. La transparence reste obligatoire
Votre politique de confidentialité doit toujours expliquer :
- Quels cookies sont utilisés : liste exhaustive, avec leur finalité (ex. : publicité ciblée, mesure d’audience).
- Qui les dépose : votre site, des tiers (ex. : Google, Facebook).
- Combien de temps ils sont conservés : durée de vie de chaque cookie.
- Comment les refuser : lien vers les outils de désactivation (ex. : YourAdChoices, NAI).
La CNIL recommande également d’informer les utilisateurs sur les conséquences d’un refus (ex. : « Si vous refusez les cookies publicitaires, vous verrez des publicités non ciblées »).
Votre bandeau cookies est-il conforme ?
Générez un bandeau cookies 100 % conforme RGPD en 2 minutes, avec des exemptions adaptées à votre activité et une politique de confidentialité intégrée.
Comment anticiper sans risquer une sanction ?
Le Digital Omnibus ne sera pas adopté avant 2027, et sa transposition en droit français prendra encore 12 à 24 mois. En attendant, voici comment vous préparer sans mettre en péril votre conformité actuelle :
1. Auditez votre bandeau cookies actuel
Utilisez la checklist CNIL 2026 pour vérifier que votre bandeau respecte les règles actuelles. Voici les points clés à contrôler :
- Le refus est-il aussi simple que l’acceptation ? Testez votre bandeau : le bouton « Tout refuser » doit être aussi visible et accessible que le bouton « Tout accepter ».
- Les cases sont-elles pré-cochées ? Si oui, c’est interdit. L’utilisateur doit faire un choix actif.
- Le bandeau réapparaît-il après un refus ? Non. Une fois que l’utilisateur a refusé, le bandeau ne doit plus s’afficher (sauf si ses préférences changent).
- La preuve du consentement est-elle conservée ? Vous devez pouvoir prouver que l’utilisateur a bien consenti (ou refusé), pendant au moins 6 mois.
- Les finalités sont-elles claires ? Évitez les formulations vagues comme « Améliorer votre expérience ». Préférez « Mesurer l’audience de notre site » ou « Personnaliser les publicités ».
2. Préparez-vous aux signaux automatisés
Les signaux de consentement automatisés (via les navigateurs) ne seront pas opérationnels avant 2028, mais vous pouvez d’ores et déjà :
- Suivre les standards techniques : le W3C (World Wide Web Consortium) travaille sur des spécifications pour les signaux de consentement. Restez informé via leur site officiel.
- Documenter vos processus : si vous utilisez déjà des outils de gestion du consentement (ex. : OneTrust, Quantcast), vérifiez qu’ils sont compatibles avec les futurs standards.
- Former vos équipes : les développeurs et les juristes doivent comprendre les enjeux techniques et juridiques des signaux automatisés.
3. Anticipez les exemptions élargies
Si le Digital Omnibus élargit les exemptions cookies, vous pourrez peut-être :
- Supprimer le consentement pour les cookies de mesure d’audience anonymisée : vérifiez que vos outils (ex. : Matomo, Google Analytics en mode anonymisé) respectent les critères de la CNIL.
- Simplifier votre bandeau : moins de finalités à afficher = moins de complexité pour l’utilisateur.
- Mettre à jour votre politique de confidentialité : expliquez clairement quels cookies sont exemptés et pourquoi.
Attention : ces exemptions ne seront applicables qu’après l’adoption et la transposition du Digital Omnibus. En attendant, continuez à demander le consentement pour tous les cookies non strictement nécessaires.
4. Surveillez les positions des régulateurs
Les régulateurs européens (EDPB, EDPS) et la CNIL publient régulièrement des avis et des lignes directrices sur le Digital Omnibus. Voici où trouver les informations officielles :
- Site de l’EDPB (European Data Protection Board) : avis conjoints sur le Digital Omnibus.
- Site de l’EDPS (European Data Protection Supervisor) : analyses juridiques.
- Site de la CNIL : mises à jour sur la transposition en France.
- RGPDKit : décryptages des évolutions réglementaires.
Présentation du Digital Omnibus
La Commission européenne présente son paquet de réformes, incluant l’intégration des règles cookies dans le RGPD et des exemptions élargies.
Mandat de négociation du Conseil adopté
Les États membres donnent leur feu vert pour entamer les négociations avec le Parlement européen.
Rapport conjoint IMCO-LIBE adopté
Les commissions du Parlement européen chargées du marché intérieur (IMCO) et des libertés civiles (LIBE) adoptent un rapport commun, ouvrant la voie aux trilogues.
Trilogues en cours
Négociations entre Commission, Conseil et Parlement pour trouver un compromis. Les discussions portent notamment sur les exemptions cookies et les signaux automatisés.
Accord politique attendu
Un compromis pourrait être trouvé d’ici la fin de l’année, mais les détails techniques restent à finaliser.
Adoption définitive
Le texte est adopté par le Parlement et le Conseil européens. Début de la transposition en droit national.
Transposition en France
Le Digital Omnibus est transposé dans le droit français. Les nouvelles règles cookies entrent en vigueur.
Questions fréquentes
Le Digital Omnibus va-t-il supprimer l’obligation du bandeau cookies ?
Non. Le consentement restera la règle générale pour les cookies, mais avec des exemptions élargies (mesure d’audience anonymisée, sécurité) et une possible introduction de signaux automatisés via les navigateurs. Votre bandeau cookies reste obligatoire aujourd’hui, et la CNIL continue de sanctionner les manquements.
Quelles sont les exemptions cookies envisagées par le Digital Omnibus ?
Les exemptions pourraient inclure :
- Les cookies de mesure d’audience anonymisée (ex. : Google Analytics en mode anonymisé).
- Les cookies liés à la sécurité (détection de fraudes, authentification).
- Les cookies strictement nécessaires (panier d’achat, préférences utilisateur), déjà exemptés aujourd’hui.
Ces exemptions s’inspirent des lignes directrices actuelles de la CNIL, mais avec un champ potentiellement élargi.
Les signaux automatisés de consentement (via navigateur) remplaceront-ils le bandeau cookies ?
C’est une piste explorée par le Digital Omnibus, mais elle ne sera pas opérationnelle avant plusieurs années. Les défis techniques (interopérabilité, preuve du consentement) et juridiques (opposabilité des signaux) sont nombreux. En attendant, les bandeaux cookies restent la norme.
Dois-je modifier mon bandeau cookies dès maintenant ?
Non. Tant que le Digital Omnibus n’est pas adopté et transposé en droit français, les règles actuelles (RGPD + directive ePrivacy) s’appliquent. Concentrez-vous sur la conformité de votre bandeau actuel : refus aussi simple que l’acceptation, pas de cases pré-cochées, preuve du consentement conservée pendant 6 mois.
Quand le Digital Omnibus sera-t-il adopté ?
Les trilogues (négociations entre Commission, Conseil et Parlement) sont en cours pendant l’été 2026. Un accord politique pourrait être trouvé d’ici fin 2026, mais la transposition en droit national prendra encore 12 à 24 mois. Les nouvelles règles ne seront pas applicables avant 2027 ou 2028.
Quels sont les risques si je ne respecte pas les règles cookies actuelles ?
La CNIL utilise depuis 2024 une procédure simplifiée pour sanctionner les bandeaux non conformes, avec des amendes pouvant atteindre 2 % du chiffre d’affaires mondial (plafond RGPD). En 2025, 42 % des sanctions CNIL concernaient des manquements aux règles cookies (source : rapport annuel CNIL 2025).
Les données pseudonymisées seront-elles toujours soumises au RGPD ?
Le Digital Omnibus propose de resserrer la définition des données personnelles : certaines données pseudonymisées pourraient sortir du champ du RGPD si l’entreprise prouve qu’elle ne peut pas réidentifier la personne. Cependant, cette mesure ne sera applicable qu’après l’adoption et la transposition du texte. En attendant, le RGPD s’applique à toutes les données pseudonymisées.
L’intérêt légitime peut-il devenir une base légale pour l’entraînement des systèmes d’IA ?
Oui, c’est l’une des pistes du Digital Omnibus. Aujourd’hui, l’intérêt légitime est rarement utilisé pour les traitements à grande échelle (ex. : entraînement d’IA), en raison des risques juridiques. Le Digital Omnibus pourrait clarifier les conditions d’utilisation de cette base légale, sous réserve d’une analyse d’impact et d’un droit d’opposition renforcé.
Recevez la checklist de conformité RGPD (12 points)
La liste complète des éléments à vérifier sur votre site, point par point, pour vous mettre en conformité. Envoi immédiat par e-mail.
Jérémy Pierre
Expert en conformité RGPD, Jérémy accompagne les sites et agences dans la mise en conformité de leurs traitements de données depuis le lancement de RGPDKit.
Rédaction assistée par IA. Cet article a été préparé avec l’aide d’outils d’intelligence artificielle, à partir de sources juridiques publiques (textes officiels, délibérations de la CNIL), puis relu avant publication. Les références citées peuvent être vérifiées directement auprès des sources indiquées. Il ne constitue pas un conseil juridique personnalisé.