Consentement aux cookies : les évolutions à venir et leurs conséquences pour les internautes

Quatre mois au lieu de six : c’est le délai qu’un site pourrait devoir respecter avant de redemander un consentement refusé, si le texte de compromis préparé par la présidence irlandaise du Conseil de l’UE aboutit. Le document circule depuis une semaine dans les cercles de la conformité et du marketing digital. Il touche un point que chaque internaute connaît : ces fenêtres qui s’affichent à l’arrivée sur un site, avec un bouton « tout accepter » plus visible que le reste. Voici ce que contient réellement ce texte, ce qu’il ne contient pas, et pourquoi il serait risqué de modifier sa plateforme dès aujourd’hui.

Consentement aux cookies : ce que prépare le Conseil de l’UE

Le document porte la référence 13886/26. Il est daté du 2 octobre 2026 et compte 163 pages. Classé LIMITE, donc à diffusion restreinte, il s’agit du mandat que les États membres devaient adopter pour négocier le Digital Omnibus, le paquet de simplification présenté par la Commission européenne le 19 novembre 2025 pour retoucher le RGPD, la directive ePrivacy et le Data Act.

Sur les cookies, la logique du refus change. L’internaute doit pouvoir dire non en un clic, et ce refus bloque toute nouvelle sollicitation pour la même finalité pendant au moins quatre mois. La Commission, puis le texte du Conseil du 3 septembre, prévoyaient six mois.

• Le document 13886/26 du Conseil de l’UE, daté du 2 octobre 2026, fixe à 4 mois minimum le délai avant de redemander un consentement refusé, contre 6 mois dans la proposition de la Commission.
• Le même texte dispenserait de consentement six usages, dont la mesure d’audience first-party et la mesure des publicités contextuelles, plafonnement de fréquence compris.
• Rien n’est adopté : les ambassadeurs des 27 n’ont pas voté le 7 octobre et n’ont pas examiné le texte le 11 octobre, selon Agence Europe.
• En France, la référence reste la recommandation de la CNIL, qui préconise de conserver un refus pendant 6 mois.

Les portes de sortie prévues par le compromis

Le texte n’enferme pas les éditeurs dans une règle unique. Une nouvelle demande reste possible si la finalité évolue, si un nouveau service voit le jour ou si le service change de façon substantielle. Elle l’est aussi lorsque l’enregistrement du refus disparaît pour une raison indépendante de l’éditeur, par exemple quand l’internaute efface ses cookies.

Ce dernier point mérite attention. Un refus stocké dans un cookie que le navigateur purge de lui-même libérerait l’éditeur du délai. Si une partie de l’audience navigue sur Safari, dont la chasse au traçage en ligne raccourcit déjà la durée de vie de certains stockages, la règle des quatre mois s’appliquerait de façon très inégale selon les navigateurs. La gestion des préférences devient donc une question technique autant que juridique.

Six usages qui pourraient échapper aux bannières de consentement

Le texte dresse une liste fermée de six usages dispensés de consentement. Pour un responsable analytics ou un acheteur média, c’est la partie la plus concrète du document :

1. La transmission d’une communication sur le réseau.
2. Le service explicitement demandé par l’internaute : langue, panier, formulaires.
3. La mesure d’audience first-party produisant des statistiques anonymes et agrégées.
4. La mesure d’audience des médias encadrée par l’article 24 de l’European Media Freedom Act.
5. La sécurité du service ou du terminal.
6. La mesure de l’affichage et de la performance des publicités contextuelles.

Le sixième point constitue l’ajout le plus notable pour les professionnels du marketing. Il couvrirait explicitement les cookies de plafonnement de fréquence et de mesure publicitaire, à trois conditions : des données pseudonymisées, aucun usage pour le profilage ou la publicité programmatique, et aucune observation de l’activité sur d’autres sites.

La nuance est essentielle. La mesure pourrait s’améliorer, pas le ciblage. Le retargeting, le ciblage comportemental et les enchères programmatiques resteraient suspendus au consentement. L’exemption first-party interdit tout croisement avec des données tierces, ce qui ferme la porte à la publicité ciblée construite sur un profil reconstitué.

Un tableau de bord des délais à connaître

Quatre textes circulent, avec des durées différentes. Le tableau ci-dessous résume l’état des règles applicables et des propositions en discussion.

Un mandat bloqué par le Data Act, pas par les cookies

Le 11 octobre, le Coreper, qui réunit les ambassadeurs des États membres, devait adopter ce mandat. Il ne l’a ni discuté ni voté, rapporte Agence Europe le 12 octobre. Le vote avait déjà été repoussé le 7 octobre sous la pression de Paris et de Berlin.

Le point de friction n’a rien à voir avec les bandeaux. L’Allemagne conteste les dispositions du Data Act sur les secrets d’affaires et demande que tout partage de données ainsi protégées passe par un accord explicite entre le détenteur et l’utilisateur. La présidence irlandaise pourrait consulter à nouveau les délégations, selon une source citée par l’agence.

Même voté, ce mandat ne serait qu’une position de départ. Le Parlement européen n’a pas adopté la sienne, et le trilogue peut tout rebattre. Le Conseil européen a demandé un accord sur l’ensemble des paquets omnibus avant la fin 2026, sans garantie que ce calendrier tienne. Les dates d’application posent d’ailleurs question : le texte prévoit une application de la partie ePrivacy six mois après publication au Journal officiel, mais laisse 24 mois aux États pour transposer la directive. Deux échéances difficiles à concilier.

Pourquoi il ne faut pas reconfigurer sa CMP maintenant

Raccourcir dès aujourd’hui la relance du bandeau à quatre mois serait une erreur. En France, le cadre reste la recommandation de la CNIL, qui préconise de conserver le choix de l’internaute, refus compris, pendant six mois. Relancer plus tôt revient à s’écarter de ce référentiel sans aucun texte voté pour couvrir la décision. La réglementation numérique évolue, mais elle n’a pas encore bougé sur ce point précis.

Ces semaines d’attente servent plutôt à préparer des scénarios. Première étape : inventorier les traceurs par finalité et repérer ceux qui relèveraient d’une exemption, mesure first-party ou mesure contextuelle. Deuxième étape : vérifier où la plateforme stocke le refus, cookie, stockage local ou serveur, et combien de refus disparaissent déjà avec les purges des navigateurs. Troisième étape : cartographier les outils analytiques, un chantier où les alternatives à Google Analytics conformes au RGPD simplifient souvent la mise en conformité.

Les sites marchands ont un intérêt supplémentaire à soigner ce chantier : les règles applicables au commerce en ligne en 2026 recoupent largement celles du cadre légal imposé à tout site web, notamment sur l’information préalable et la traçabilité des choix. Un panier, un formulaire de contact ou un module de paiement relèvent de l’usage explicitement demandé par l’internaute, donc hors consentement, à condition de ne pas y greffer de mesure publicitaire.

Côté revenus, l’enjeu est réel pour les éditeurs. Si l’exemption contextuelle survit au trilogue, une partie de la mesure display aujourd’hui suspendue à un « oui » deviendrait possible sans bandeau. C’est un argument à préparer pour les négociations avec les annonceurs, pas une ligne à inscrire dans un budget 2027.

Les quatre mois constituent donc une avancée modeste. L’exemption de la mesure contextuelle et first-party pèsera bien davantage pour les marketeurs. Tant que le Coreper n’a pas voté et que le Parlement n’a pas arrêté sa position, rien ne justifie de toucher à la configuration d’une CMP. La transparence des données et les droits des internautes progressent par étapes législatives, pas par anticipation technique. Et sur ce dossier, l’étape n’est pas franchie.