Le consentement aux cookies est réécrit : ce que change le Digital Omnibus

La bannière cookies est l'élément d'interface le plus détesté d'Europe. Elle reste aussi, huit ans après, juridiquement fragile sur une large part des sites. Bruxelles a enfin décidé de s'attaquer aux deux problèmes à la fois, et le véhicule est le paquet Digital Omnibus proposé le 19 novembre 2025.

Cet article couvre ce que contient réellement la proposition, ce qui est déjà du droit aujourd'hui, et ce que nous changerions ou non dans une implémentation de consentement dès maintenant. En août 2026, le dossier est encore en trilogue, donc une partie de ceci bougera.

Comment on en est arrivé là

Le consentement aux cookies n'a jamais vécu dans le RGPD. Il vit à l'article 5, paragraphe 3, de la directive ePrivacy de 2002, modifiée en 2009, qui dispose que stocker des informations sur l'équipement terminal d'un utilisateur, ou y accéder, requiert un consentement sauf si c'est strictement nécessaire à un service demandé par l'utilisateur.

Cette directive devait être remplacée par un règlement ePrivacy. La proposition est restée bloquée au Conseil pendant huit ans et a été formellement retirée le 11 février 2025. Il nous reste une directive de 2002, transposée de vingt-sept manières légèrement différentes, qui surveille un web qui n'existait pas lors de sa rédaction.

Le résultat est le désordre que tout le monde connaît : des bannières qui diffèrent selon les pays, des consentements techniquement invalides sur un grand nombre de sites, et des utilisateurs qui cliquent sur accepter par réflexe parce que refuser prend plus longtemps.

Ce qui est déjà applicable aujourd'hui

Avant d'aborder la proposition, il faut être franc sur l'état actuel, car beaucoup d'équipes croient leur bannière conforme alors qu'elle ne l'est pas.

L'application a été constante et précise. En septembre 2025, l'autorité française a infligé le même jour 325 millions d'euros d'amende à Google et 150 millions à Shein. Les constats étaient mécaniques plutôt que philosophiques : des cookies déposés avant l'apparition de la bannière, et une option de refus qui ne refusait pas de manière fiable.

Les règles que les régulateurs appliquent réellement :

Rien de non essentiel avant que l'utilisateur n'agisse. Ni la balise d'analytics, ni le pixel, ni le widget de chat, ni la police tierce. Si cela se déclenche au chargement, peu importe ce que dit la bannière.

Refuser doit égaler accepter. Même niveau, même poids visuel, même nombre de clics. Faire du refus un parcours en deux étapes à travers un panneau de préférences alors qu'accepter est un bouton est traité comme un dark pattern qui invalide le consentement.

Le consentement est granulaire. Un interrupteur unique regroupant analytique, publicité et personnalisation n'est pas un consentement spécifique.

Le retrait doit être aussi facile que l'octroi. Un contrôle accessible en permanence, pas un e-mail au support.

Le consentement expire. La plupart des autorités travaillent avec environ six à treize mois avant de redemander.

Le modèle payer ou consentir est étroit. L'avis 08/2024 du Comité européen de la protection des données indique que les grandes plateformes ne peuvent généralement pas présenter un choix binaire entre accepter le pistage et payer. Une véritable alternative gratuite sans publicité comportementale est attendue.

Si votre bannière échoue sur l'un des deux premiers points, corrigez cela avant de vous soucier de la réforme. Ce sont ceux qui génèrent des amendes aujourd'hui.

Ce que propose le Digital Omnibus

Le mouvement structurel central est de sortir les règles sur les équipements terminaux de l'ancienne directive et de les placer dans le RGPD lui-même, via deux nouveaux articles.

Article 88a : consentement pour l'accès aux équipements terminaux

Il remplace l'article 5, paragraphe 3, de la directive ePrivacy et, surtout, élargit l'ensemble des finalités ne nécessitant pas de consentement. L'exemption actuelle pour le strictement nécessaire est si étroite que même une simple mesure d'audience exige généralement une bannière. La proposition étend les exemptions vers la sécurité, la mesure d'audience agrégée et le maintien de l'intégrité du service.

Deux changements opérationnels retiennent l'attention :

• Acceptation ou refus en un clic. Le choix doit être présentable en une action, dans les deux sens.
• Une période de latence. Si un utilisateur refuse, vous n'êtes pas censé redemander pendant six mois. Cela seul supprimerait une grande partie de la fatigue liée aux bannières.

Article 88b : signaux de consentement lisibles par machine

C'est le plus intéressant pour les ingénieurs. Il rendrait les signaux de consentement au niveau du navigateur ou du système juridiquement contraignants pour les responsables de traitement. Si un utilisateur exprime une préférence une fois, dans son navigateur, les sites devraient l'honorer plutôt que redemander.

Une version antérieure du paquet incluait un mécanisme navigateur plus fort, abandonné en cours de négociation. Ce qui subsiste, c'est le principe selon lequel les signaux automatisés comptent.

Autres points à connaître

Le paquet propose également de porter le délai de notification des violations de données de 72 à 96 heures, et ajuste plusieurs définitions autour des données pseudonymisées et de l'entraînement des IA. Cela dépasse le cadre de cet article, mais voyage dans le même véhicule, ce qui explique en partie que le dossier soit disputé.

Calendrier, et pourquoi ne pas planifier dessus encore

Le tableau réaliste en août 2026 :

• La proposition est en trilogue entre Parlement, Conseil et Commission.
• Un vote final est attendu plus tard en 2026, même si les calendriers ont déjà glissé.
• L'article 88a s'appliquerait environ six mois après l'entrée en vigueur.
• L'article 88b s'appliquerait sous environ 24 mois.

La date plausible la plus proche pour les règles du clic unique et de la latence se situe donc quelque part en 2027, et les obligations sur les signaux navigateur en 2028. Quiconque vous dit que la bannière cookies est morte cette année vous vend quelque chose.

Ce que nous changerions maintenant, et ce que nous ne changerions pas

La réforme n'est pas du droit, mais la direction est assez stable pour éclairer l'architecture. Voici comment nous conseillons nos clients.

À faire maintenant

Corriger la mécanique. Refuser aussi simple qu'accepter, rien qui se déclenche avant l'interaction, catégories granulaires, retrait fonctionnel. C'est le droit actuel et c'est là que sont les amendes.

Séparer l'état de consentement de l'interface de consentement. Gardez un service de consentement qui détient l'état, l'expose à l'application et stocke la preuve avec une référence de version. La bannière devient alors une couche de présentation remplaçable. Quand les règles changent, vous remplacez l'interface et gardez la plomberie.

Stocker correctement les enregistrements de consentement. Horodatage, état par catégorie, identifiant de la version du texte de bannière, mécanisme utilisé et source de la décision. Sans la version du texte, vous ne pouvez pas prouver ce que l'utilisateur a réellement accepté.

Commencer à écouter les signaux. Global Privacy Control est déjà juridiquement pertinent dans plusieurs juridictions et coûte très peu à honorer. Le lire aujourd'hui fait de l'article 88b, s'il aboutit, un changement de configuration plutôt qu'un projet.

Auditer vos balises pour de vrai. Pas dans l'interface du gestionnaire de balises, mais dans le navigateur, sur une vraie page, avec un profil vierge. Comptez les requêtes avant consentement. Il y en a généralement plus que l'équipe ne le pense.

À ne pas faire encore

Ne retirez pas le consentement granulaire en supposant que les exemptions vont s'élargir. Si le texte final se resserre, il faudra le reconstruire.

Ne réécrivez pas votre politique de confidentialité autour de numéros d'articles en projet.

Ne supprimez pas la bannière pour la mesure d'audience. L'exemption élargie est une proposition, pas une autorisation.

Ne vous engagez pas sur un processus à 96 heures. Continuez d'opérer à 72.

La question de conception plus large

Il y a un basculement plus large qu'il faut nommer. Les régulateurs sont passés de la question de savoir si vous avez un consentement à celle de savoir comment vous l'avez obtenu. La mécanique d'interface est désormais la surface d'application. C'est pourquoi les affaires de bannières cookies portent sur le placement des boutons et le nombre de clics plutôt que sur la rédaction d'une politique.

Cette tendance dépasse le Digital Omnibus. Le Digital Fairness Act, attendu comme proposition fin 2026, vise directement les dark patterns, les interfaces manipulatrices, les prix personnalisés et le design addictif. L'application se situe réalistiquement en 2028 ou plus tard, mais il indique quels motifs ont une date de péremption.

Si vos chiffres de croissance dépendent d'une interface confuse, c'est désormais un risque de conformité avec une date, plutôt qu'une optimisation astucieuse.

Une note sur l'analytique

Une bonne part du problème de bannière est auto-infligée. Les équipes chargent une plateforme d'analytics tierce qui exige un consentement, perdent ensuite un tiers de leurs données à cause des refus, puis essaient de contourner cela par le design.

Une analytique auto-hébergée et respectueuse de la vie privée peut changer le calcul, car une mesure qui reste sur votre propre infrastructure et ne construit pas de profils inter-sites a un argument bien plus solide pour l'exemption, et s'inscrirait confortablement dans les exemptions élargies que propose l'Omnibus. Nous avons décrit une option dans notre guide de mise en place de Matomo, et la même logique vaut pour l'automatisation marketing auto-hébergée.

Ce n'est pas une astuce de conformité. C'est une vraie réduction de ce que vous avez à justifier.

Où cela se situe dans le tableau d'ensemble

Le consentement aux cookies est une pièce d'un édifice réglementaire bien plus vaste. La carte complète de la conformité numérique européenne 2026 couvre le reste, et le guide RGPD orienté ingénierie couvre la couche en dessous.

Si vous voulez faire relire votre implémentation de consentement au regard de ce que les régulateurs appliquent réellement, ou la reconstruire pour que le prochain changement de règle soit une configuration et non une réécriture, écrivez à office@c9group.dev.

Nous construisons des systèmes, nous ne donnons pas d'avis juridique, et la décision finale sur l'interprétation appartient à vos conseils.