Omnibus numérique et cookies : ce qui se prépare

Onze mois après sa présentation, le volet « données et vie privée » de l’Omnibus numérique est toujours en discussion. On fait le tri entre ce qui s’applique déjà, ce qui fait consensus et ce qui reste ouvert.

Point d’étape au 5 novembre 2026. Cet article sera mis à jour.

1. Rien ne change pour l’instant. Les règles actuelles sur les cookies restent celles qui s’appliquent, et la CNIL continue de sanctionner.
2. Les États membres ont arrêté leur position, le Parlement pas encore. Le Conseil a adopté son mandat de négociation le 21 octobre. Le Parlement européen ne votera pas sa position avant début 2027.
3. La fin des bannières n’est plus au programme. Le texte prévoyait que l’internaute règle son choix une fois pour toutes dans son navigateur, mais cette option a été retirée en cours de négociation, au moins pour l’instant.
4. Le changement le plus probable : un refus vaudra pour plusieurs mois. Après un « non », le site ne pourrait plus reposer la question avant quatre mois dans le mandat du Conseil, contre six dans la proposition de la Commission (le Parlement n’a pas encore tranché). Le premier affichage de la bannière deviendrait donc décisif.
5. Une ouverture : mesurer sans demander l’accord de l’internaute. Ce serait possible pour mesurer la fréquentation de son site, et peut-être pour la performance des publicités contextuelles.
6. Ce qu’on peut faire dès maintenant : séparer les flux de données. D’un côté les données qui servent à mesurer, de l’autre, celles qui servent à cibler ou à alimenter Google et Meta. Ce travail reste utile, quelle que soit la version finale du texte.

Le 19 novembre 2025, la Commission européenne présentait l’Omnibus numérique, un (gros) paquet législatif. Dans la presse marketing, un titre s’est imposé en quelques heures : la fin des bannières cookies.

Onze mois plus tard, la bannière est toujours là et le texte a changé de forme trois fois. Les compromis successifs de la présidence du Conseil de l’Union européenne ont retiré les signaux de consentement transmis par le navigateur, ramené de six à quatre mois le délai avant de pouvoir resolliciter un consentement refusé et ajouté deux exemptions. Le vote, d’abord prévu le 7 octobre, a été reporté deux fois avant que les États membres n’arrêtent enfin leur position de négociation le 21 octobre. Cette position va donc être débattue au Parlement avec un vote qui n’est pas attendu avant début 2027. Les annonceurs, eux, restent avec leur question : que peut-on ajuster dès maintenant dans la collecte ?

Omnibus numérique : où en est le texte en octobre 2026 ?

Le volet « données et vie privée » (procédure 2025/0360(COD)) suit le parcours habituel d’un texte européen : proposition de la Commission, position du Conseil, position du Parlement, puis négociation d’un texte commun en trilogue. Le Conseil européen vise un accord sur l’ensemble des textes Omnibus d’ici fin 2026. Pour l’heure, nous en sommes là : les signaux de consentement du navigateur ont disparu dès le compromis de juin, le retour des cookies dans la directive ePrivacy date de celui de septembre. D’après le mandat du Conseil publié le 22 octobre (doc. 14756/26), l’écart entre la proposition initiale et la position des États membres se présente ainsi :

Ce que les annonceurs appliquent déjà

Plusieurs mesures présentées comme des nouveautés de l’Omnibus sont déjà en vigueur en France. L’article 82 de la loi Informatique et Libertés impose le consentement préalable pour tout traceur qui ne relève pas d’une exemption. La CNIL exige que refuser soit aussi simple qu’accepter, et que le retrait du consentement reste possible à tout moment.

La mesure d’audience sans consentement existe aussi. La CNIL l’admet quand cinq conditions sont réunies : une finalité limitée à la mesure d’audience du site, pour le compte exclusif de l’éditeur ; des statistiques anonymes ; aucun recoupement avec d’autres traitements ; aucun suivi entre sites ou applications ; aucune réutilisation des données par le fournisseur de l’outil.

C’est ce régime qui sert de référence aux contrôles. En 2025, 21 des 83 sanctions prononcées par la CNIL concernaient les cookies et autres traceurs, pour trois motifs récurrents : des traceurs déposés sans consentement, une information trop incomplète pour que le consentement soit valable, un refus ou retrait non respecté. Le fait qu’une exemption soit en cours de discussion à Bruxelles ne fournit aujourd’hui aucune base légale à une évolution des pratiques. Les choix d’architecture non plus. Passer au server-side, collecter sur son propre domaine ou se passer des cookies tiers améliore la qualité et la maîtrise de la collecte, mais ne change pas le régime applicable qui dépend de la finalité du traitement et de ses destinataires.

Refus en un clic, délai de relance : les changements présents dans toutes les versions

Certaines dispositions figurent dans la proposition de la Commission comme dans chacun des compromis. Elles ont donc de bonnes chances de se retrouver dans le texte final, même si leurs paramètres peuvent encore bouger.

Le refus en un clic est déjà la règle pour les sites français. Pour un annonceur présent sur plusieurs marchés, avec des bannières configurées pays par pays, une règle européenne commune simplifierait le paramétrage.

Le délai avant une nouvelle demande aurait des effets plus visibles. La CNIL demande déjà d’enregistrer le refus pour ne pas solliciter l’utilisateur à chaque visite, sans fixer de durée dans la loi. Le texte européen ajouterait un plancher. Le mandat du Conseil en précise les exceptions : un site peut redemander le consentement plus tôt si la finalité change (nouveau service, modification substantielle du service), ou si le cookie qui enregistre le refus n’est plus valable pour une raison indépendante du site — typiquement parce que l’utilisateur a supprimé ses cookies. Attention, donc : un refus n’est pas gravé dans le marbre pendant quatre mois. Alliance Digitale (association professionnelle française du marketing digital et de la data) demande la suppression de cette règle, qui reste discutée.

Prenons le cas d’un e-commerçant qui réaffiche sa bannière à chaque session après un refus, en comptant qu’une partie des visiteurs finira par accepter. Avec un délai de quatre mois, un visiteur qui refuse en octobre reste hors du périmètre consenti jusqu’en février. Le taux de consentement obtenu au premier affichage de la bannière pèse alors bien plus lourd dans le volume de données disponibles.

L’exemption de mesure d’audience prendrait enfin une forme européenne, ce qui réduirait les écarts d’interprétation entre autorités nationales pour une mesure agrégée.

Signaux du navigateur, publicité contextuelle, pseudonymisation : des points encore ouverts

Trois sujets restent ouverts qui pourraient fortement influencer le volume de données qu’il serait possible de collecter.

Sur les signaux du navigateur, le mandat du Conseil enterre le mécanisme. Dix-neuf organisations, dont le CEPD, avaient demandé en septembre sa réintroduction, sans succès. Le Parlement peut encore le réinscrire et ce sera l’un des points de friction des trilogues.

Sur la définition de la donnée personnelle, le Conseil garde la phrase clé de la Commission : une information n’est pas personnelle pour une entité qui ne peut pas identifier la personne. Le Conseil ajoute aussi un article : des données pseudonymisées ne seraient pas personnelles pour un tiers incapable de réidentifier la personne, mais elles le restent pour un sous-traitant. Concrètement, un prestataire de mesure ou une clean room ne peut pas s’appuyer sur ce texte pour requalifier les données qu’il traite. Le CEPD conteste toujours cette logique, et rien n’est finalisé.

Mesure, attribution, activation : trois usages que toutes les versions distinguent

Entre la proposition de la Commission et le dernier compromis, beaucoup de dispositions ont bougé. Une distinction est toutefois restée stable : aucune version ne place sous la même exemption la mesure d’audience, l’attribution individuelle et l’activation publicitaire.

Dans beaucoup de dispositifs, ces trois usages partent pourtant du même point. Un retailer déclenche un tag au moment de la commande : l’événement alimente son outil d’analytics, part vers Meta par la Conversions API et sert à rapprocher la commande du profil client dans le CRM. Tant que ces flux restent liés, la part qui relève de la mesure suit le régime de l’usage le plus exigeant.

Séparer les flux par finalité garde son utilité quelle que soit l’issue de la négociation. Si l’exemption de mesure est confirmée, le flux de mesure sera prêt à en bénéficier. Si le texte évolue encore, la cartographie des finalités servira à démontrer la conformité au régime actuel.

Les prochaines étapes ?

Maintenant que le Conseil a arrêté sa position, la suite revient au Parlement : avis de la commission des affaires juridiques les 4-5 novembre, puis vote en commission début 2027. Les trilogues ne pourront commencer qu’ensuite.

C’est sur la date d’application que le mandat du Conseil surprend : il supprime le délai de six mois voulu par la Commission et laisse les règles cookies dans la directive ePrivacy. Chaque État disposera de 24 mois pour les transposer. Concrètement, rien ne changerait donc pour les annonceurs dans les 2 années qui suivront l’adoption finale. Et l’application se ferait pays par pays, comme pour le RGPD, adopté en 2016 et applicable en 2018. 

À suivre.