Digital Omnibus et cookies : usages sans consentement et délai de 4 mois avant de redemander

Si vous exploitez un site ou une application dans l'UE, rien ne change pour l'instant : conservez votre bannière de consentement actuelle et continuez à recueillir le consentement. Le 21 octobre 2026, le Conseil de l'UE a arrêté sa position de négociation sur le Digital Omnibus, le paquet qui réécrit une partie du RGPD et des règles sur les cookies. Le Parlement européen doit encore adopter sa propre position avant que les deux institutions ne négocient un texte final. Le texte du Conseil indique néanmoins la direction prise : une courte liste d'usages qui ne nécessiteraient plus de consentement, un délai de quatre mois avant de redemander après un refus, et aucune obligation de respecter les signaux de consentement envoyés par le navigateur.

Digital Omnibus et cookies : usages sans consentement et délai de 4 mois avant de redemander

La position du Conseil en un coup d'œil

Sujet	Proposition de la Commission européenne (novembre 2025)	Position du Conseil (octobre 2026)
Où se trouvent les règles sur les cookies	Transférées dans le RGPD (nouveaux articles 88a et 88b)	Maintenues à l'article 5(3) de la directive ePrivacy
Règle par défaut	Consentement requis pour stocker ou lire des données sur un terminal	Inchangée : le consentement reste la règle
Usages sans consentement	Une courte liste d'exemptions	Une liste fermée de six finalités, dont la mesure d'audience first-party et la mesure publicitaire contextuelle
Refus	Refus facile	Un bouton en un seul clic ou un moyen équivalent
Redemander après un refus	Pas avant six mois	Pas avant quatre mois, pour la même finalité
Signaux de consentement du navigateur	Les sites doivent respecter des signaux automatisés et lisibles par machine	Supprimés
Contrôle	Autorités chargées du RGPD	Autorités chargées du RGPD

Le mandat a été approuvé par les ambassadeurs de l'UE le 21 octobre et diffusé sous la référence de document du Conseil 14756/26 le 22 octobre. Le communiqué de presse du Conseil confirme les points principaux : la directive ePrivacy reste le cadre applicable aux cookies, et le consentement ne serait pas requis pour les cookies servant à fournir un service, à mesurer l'audience ou à protéger un terminal.

Les règles sur les cookies restent dans la directive ePrivacy

La Commission souhaitait transférer les règles sur les cookies dans le RGPD. Le Conseil est revenu sur ce choix et les a conservées dans une version réécrite de l'article 5(3) de la directive ePrivacy. Pour les propriétaires de sites, l'effet pratique est limité : le consentement reste la règle pour tout ce qui stocke ou lit des informations sur le terminal de l'utilisateur, qu'il s'agisse de cookies, de local storage, de pixels ou de fingerprinting. Un changement mérite toutefois l'attention. Le contrôle reviendrait aux autorités de protection des données qui supervisent déjà le RGPD. Dans certains États membres, ce n'est pas le même régulateur que celui qui traite les cookies aujourd'hui.

Six usages qui ne nécessiteraient pas de consentement

Le texte du Conseil énumère six finalités exemptées de consentement. Chacune est assortie de conditions :

1. Transmission. Acheminer une communication sur un réseau.
2. Un service demandé par l'utilisateur. Fournir un service, « y compris sa fonctionnalité », expressément demandé par l'utilisateur. Les paniers d'achat, les connexions et les préférences de langue entrent dans cette catégorie.
3. Mesure d'audience first-party. Produire des statistiques anonymes et agrégées sur l'utilisation de votre propre service. Les données ne peuvent pas servir à une autre finalité, être partagées avec des tiers ni être combinées avec des données de tiers. Un sous-traitant peut s'en charger pour votre compte.
4. Mesure d'audience des médias. La mesure prévue à l'article 24 du European Media Freedom Act (règlement européen sur la liberté des médias), avec pseudonymisation des données personnelles après la collecte et aucun suivi en dehors du service mesuré.
5. Sécurité technique. Maintenir ou rétablir la sécurité de ce qui est strictement nécessaire à la fourniture du service.
6. Mesure publicitaire contextuelle. Mesurer l'affichage et la performance de publicités choisies uniquement en fonction du contenu affiché lors d'une seule visite ou d'une seule recherche. Cela ne peut impliquer ni profilage ni données sur l'activité passée ou future de l'utilisateur, et les données doivent être pseudonymisées après la collecte.

La liste est fermée. La publicité personnalisée, le retargeting, les outils d'analyse tiers qui croisent des données entre plusieurs sites et la constitution de profils utilisateurs nécessitent toujours un consentement. C'est aussi le cas de la plupart des traitements qui passent par l'IAB TCF.

Un délai de quatre mois avant de redemander

Si un utilisateur refuse, le texte du Conseil prévoit que le fournisseur « ne formule pas de nouvelle demande de consentement pour la même finalité pendant une période d'au moins quatre mois ». La Commission avait proposé six mois. Le refus doit aussi pouvoir s'exprimer par un bouton en un seul clic ou un moyen équivalent, ce qui correspond à ce que la plupart des régulateurs attendent déjà d'un bouton Reject All (Tout refuser).

Deux détails comptent pour l'application concrète. Le délai s'applique finalité par finalité : un refus des cookies d'analyse n'empêche pas une demande ultérieure portant sur une autre finalité. Et il vise « une nouvelle demande » : un site qui modifie sa bannière et sollicite à nouveau tous ses visiteurs solliciterait aussi les personnes qui ont refusé récemment.

Les signaux de consentement du navigateur ont été abandonnés

L'article 88b proposé par la Commission aurait obligé les sites à respecter les signaux automatisés et lisibles par machine de consentement et de refus envoyés par les navigateurs. Le Conseil l'a supprimé, en même temps que l'article 88a. Dans le texte du Conseil, le choix de consentement reste une affaire entre l'utilisateur et chaque site, enregistrée par la plateforme de gestion du consentement du site. C'est une orientation différente de celle de la Californie, où AB 566 impose aux navigateurs de proposer un signal de préférence d'opt-out à partir du 1er janvier 2027.

Ce que le texte du Conseil ne tranche pas

• Le TCF et les vendors. Le texte ne dit rien des plateformes de gestion du consentement ni de l'IAB TCF. Il ne précise pas comment un vendor intégré à votre page indiquerait qu'il s'appuie sur l'une des six exemptions, ni comment une exemption serait signalée dans une TC string. Tant que ce point n'est pas clarifié, continuez à recueillir le consentement pour les vendors TCF comme aujourd'hui. Voir IAB TCF 2.4 et comment vérifier vos vendors.
• Le sens de « performance » dans la mesure publicitaire contextuelle. Le terme n'est pas défini.
• Le calendrier. Le texte laisse aux États membres 24 mois après l'adoption pour transposer les règles, mais une autre disposition appliquerait les modifications de la directive ePrivacy six mois après la publication au Journal officiel. Les négociations devront trancher. Le vote en commission au Parlement est attendu début 2027, un texte final est donc peu probable avant cette date.

Ce qu'il faut faire maintenant

Rien dans le texte du Conseil n'a valeur de loi, et les règles actuelles continuent de s'appliquer : consentement avant tout cookie non essentiel, refus aussi simple que l'acceptation et preuve de chaque choix. Quelques mesures faciliteront la transition si le texte final ressemble à celui-ci :

• Associez chaque cookie à une finalité. Identifiez les tags qui relèveraient des six exemptions et ceux qui nécessiteraient toujours un consentement. Un scan des cookies est le moyen le plus rapide d'obtenir la liste.
• Conservez les refus avec leur horodatage et leur finalité. Une règle de quatre mois ne peut s'appliquer que si vous savez quand chaque utilisateur a refusé et ce qu'il a refusé. La fonction Consent Logging d'UniConsent enregistre chaque événement de consentement et de refus, ce qui vous permet de prouver à quel moment un choix a été fait.
• Planifiez les modifications de bannière. Dans UniConsent, un changement de Config Version sollicite à nouveau tous les visiteurs récurrents, et le Re-consent Interval (jusqu'à 150 jours) détermine la fréquence à laquelle les mises à jour de la liste des vendors font réapparaître la bannière. Si une règle de quatre mois entre en vigueur, ce sont ces paramètres que vous ajusterez.
• Ne supprimez pas encore le consentement pour l'analyse d'audience. La mesure first-party agrégée pourrait être exemptée, mais les conditions sont strictes et rien ne s'applique tant que le texte final n'est pas adopté et en vigueur.

UniConsent est une CMP certifiée par Google et une CMP enregistrée auprès de l'IAB TCF (ID 68). Elle suit ces évolutions pour vous et met à jour la bannière, les finalités et les journaux dès que les règles seront définitives. Démarrez un essai gratuit pour vérifier votre configuration dès aujourd'hui.

FAQ

Qu'est-ce que le Digital Omnibus ? Un ensemble de propositions européennes publié par la Commission européenne en novembre 2025 pour simplifier les règles du numérique. Il modifie une partie du RGPD, les règles ePrivacy sur les cookies et la notification des incidents.

Le Digital Omnibus est-il déjà en vigueur ? Non. Le Conseil a arrêté sa position de négociation le 21 octobre 2026. Le Parlement européen n'a pas encore adopté la sienne, et le texte final sera issu des négociations entre les deux institutions.

Les bannières cookies vont-elles disparaître ? Non. Le consentement reste la règle. Les sites qui n'utilisent des cookies que pour les six finalités exemptées pourraient se passer de bannière, mais tout site avec de la publicité, du retargeting ou des outils d'analyse tiers en aura toujours besoin.

Le délai de quatre mois s'applique-t-il déjà ? Non. Il n'existe aujourd'hui aucun délai d'attente fixe à l'échelle de l'UE, même si plusieurs régulateurs déconseillent déjà de redemander de manière répétée après un refus.