L’essentiel en bref
- Le document 13886/26 du Conseil de l’UE, daté du 2 octobre 2026, fixe à 4 mois minimum le délai avant de redemander un consentement cookies refusé, contre 6 mois dans la proposition de la Commission.
- Le même texte dispenserait de consentement six usages, dont la mesure d’audience first-party et la mesure des publicités contextuelles, plafonnement de fréquence compris.
- Rien n’est adopté : les ambassadeurs des 27 n’ont pas voté le 7 octobre et n’ont même pas examiné le texte le 11 octobre, selon Agence Europe.
- En France, la référence reste la recommandation de la CNIL, qui préconise de conserver un refus pendant 6 mois.
Ce que le texte du Conseil prévoit pour le consentement cookies
Le texte en question est un document de 163 pages classé LIMITE, c’est-à-dire à diffusion restreinte. Il s’agit du mandat que les États membres devaient adopter pour négocier le Digital Omnibus, le paquet de simplification présenté par la Commission européenne le 19 novembre 2025 pour retoucher le RGPD, la directive ePrivacy et le Data Act.
Sur les cookies, la règle du refus est réécrite. L’internaute doit pouvoir dire non en un clic, et ce refus interdit toute nouvelle demande pour la même finalité pendant au moins quatre mois, là où la Commission, puis le texte du Conseil du 3 septembre, prévoyaient six mois.
Le texte garde des portes de sortie. Une nouvelle demande reste permise si la finalité change, si un nouveau service est lancé ou si le service évolue substantiellement, et aussi quand l’enregistrement du refus disparaît pour des raisons indépendantes de l’éditeur, par exemple quand l’internaute efface ses cookies.
Ce dernier cas est plus important qu’il n’y paraît. Car un refus stocké dans un cookie que le navigateur supprime de lui-même libérerait l’éditeur du délai. Si une partie de votre audience navigue sur Safari, dont la chasse au tracking publicitaire raccourcit déjà la durée de vie de certains stockages, la règle des quatre mois s’appliquerait donc de façon très inégale selon les navigateurs.
Six usages qui pourraient échapper à la collecte de consentement pour les cookies
Si vous mesurez des campagnes display ou pilotez l’analytics d’un site, cette partie devrait vous intéresser. Le texte dresse une liste fermée de six usages dispensés de consentement :
- la transmission d’une communication sur le réseau ;
- le service explicitement demandé par l’internaute (langue, panier, formulaires) ;
- la mesure d’audience first-party qui produit des statistiques anonymes et agrégées ;
- la mesure d’audience des médias encadrée par l’article 24 de l’European Media Freedom Act ;
- la sécurité du service ou du terminal ;
- la mesure de l’affichage et de la performance des publicités contextuelles.
Le sixième est l’ajout le plus intéressant pour les professionnels du marketing. Cela couvrirait explicitement les cookies de plafonnement de fréquence et de mesure publicitaire, à condition que les données soient pseudonymisées, qu’elles ne servent ni au profilage ni à la publicité programmatique, et qu’elles ne portent pas sur l’activité de l’internaute sur d’autres sites.
En clair : la mesure pourrait être améliorée, mais pas le ciblage. Retargeting, ciblage comportemental et enchères programmatiques resteraient soumis au consentement, et l’exemption first-party interdit tout croisement avec des données tierces.
Un mandat bloqué par le Data Act, pas par les cookies
Le 11 octobre, le Coreper, qui réunit les ambassadeurs des États membres, devait adopter ce mandat. Il ne l’a ni discuté ni voté, rapporte Agence Europe le 12 octobre, alors que le vote avait déjà été repoussé le 7 octobre sous la pression de Paris et de Berlin.
Le point de friction n’a rien à voir avec vos bandeaux. L’Allemagne conteste les dispositions du Data Act sur les secrets d’affaires et veut que tout partage de données ainsi protégées passe par un accord explicite entre le détenteur et l’utilisateur. La présidence irlandaise pourrait consulter à nouveau les délégations, selon une source citée par l’agence.
Le Digital Omnibus est en salle d’attente, et personne n’a encore appelé son numéro. Même voté, ce mandat ne serait qu’une position de départ : le Parlement européen n’a pas adopté la sienne, et le trilogue, la négociation finale entre les institutions, peut tout rebattre. Le Conseil européen a demandé un accord sur l’ensemble des paquets omnibus avant la fin 2026, sans que personne ne puisse dire aujourd’hui si ce calendrier tiendra.
Les dates d’application posent elles aussi question. Le texte prévoit que la partie ePrivacy s’applique six mois après sa publication au Journal officiel, mais donne 24 mois aux États pour transposer cette directive, deux échéances qui sont assez contradictoires.
Pourquoi il ne faut pas reconfigurer votre CMP maintenant ?
Raccourcir dès aujourd’hui la relance de votre bandeau à quatre mois ? Mauvaise idée.
En France, la règle du jeu reste fixée par la CNIL, dont la recommandation de 2020 préconise de conserver le choix de l’internaute, refus compris, pendant six mois. Relancer plus tôt, c’est s’écarter de ce cadre sans aucun texte voté pour vous couvrir.
Ces semaines d’attente servent plutôt à préparer des scénarios. Concrètement, inventoriez vos traceurs par finalité et repérez ceux qui relèveraient d’une exemption, comme la mesure first-party ou la mesure contextuelle. Vérifiez ensuite où votre CMP stocke le refus (cookie, stockage local ou serveur) et combien de vos refus disparaissent déjà avec les purges des navigateurs.
Côté revenus, l’enjeu est réel pour les éditeurs. Si l’exemption contextuelle survit au trilogue, une partie de la mesure display aujourd’hui suspendue à un « oui » deviendrait possible sans bandeau, un argument à préparer pour vos négociations avec les annonceurs, pas une ligne à inscrire dans le budget 2027.
Notre verdict :
Les quatre mois sont une petite évolution intéressante mais l’exemption de la mesure contextuelle et first-party sera bien plus utile pour les marketeurs. Ceci dit, tant que le Coreper n’a pas voté et que le Parlement n’a pas de position, rien ne justifie de modifier votre CMP et sa configuration à ce stade.
Principalement passionné par les nouvelles technologies, l’IA, la cybersécurité, je suis un professionnel de nature discrète qui n’aime pas trop les réseaux sociaux (je n’ai pas de comptes publics). Rédacteur indépendant pour LEPTIDIGITAL, j’interviens en priorité sur des sujets d’actualité mais aussi sur des articles de fond. Pour me contacter : [email protected]
