Mise à jour : en février 2025, la Commission européenne a retiré sa proposition de règlement ePrivacy. Le retrait figure à l’annexe IV du programme de travail de la Commission pour 2025, avec pour motif qu’aucun accord n’était prévisible. Pour les cookies, cela signifie que la directive ePrivacy de 2002 et ses transpositions nationales restent en vigueur, et que le RGPD continue de régir les données personnelles collectées via les cookies. Nous avons conservé cet article comme trace de ce que la proposition aurait changé, car ses idées principales (consentement au niveau du navigateur, exemption pour l’analytics first-party, règles sur les cookie walls) reviennent sans cesse dans les recommandations des autorités et les décisions de justice.

L’histoire : de la directive à un règlement qui n’est jamais arrivé

L’histoire de la législation ePrivacy en Europe commence bien avant le RGPD. En 2002, l’Union européenne a adopté la directive ePrivacy (directive 2002/58/CE), aussi appelée directive vie privée et communications électroniques. Elle a fixé des règles pour le traitement des données personnelles dans le secteur des communications électroniques : confidentialité des communications, données de trafic et de localisation, identification de la ligne appelante et prospection non sollicitée. Nous la décrivons en détail sur notre page consacrée à la directive ePrivacy.

En 2009, la directive a été modifiée par la « directive cookies » (directive 2009/136/CE), qui a introduit l’obligation d’obtenir un consentement éclairé avant de stocker ou de lire des informations sur l’appareil d’un utilisateur : le fondement juridique des bannières cookies que nous connaissons. S’agissant d’une directive et non d’un règlement, chaque État membre l’a transposée différemment. Certains ont adopté des règles strictes d’opt-in, d’autres ont admis un consentement implicite, et l’application a varié d’un pays à l’autre.

Cette mosaïque a créé de la confusion pour les entreprises transfrontalières et une protection inégale des consommateurs. En janvier 2017, la Commission européenne a proposé de remplacer la directive par un règlement directement applicable dans tous les États membres. Le plan initial prévoyait son application à partir du 25 mai 2018, en même temps que le RGPD.

Cela ne s’est pas produit. La proposition est devenue l’un des dossiers les plus disputés de l’histoire de l’UE, avec le lobbying du secteur publicitaire, des opérateurs télécoms et des éditeurs d’un côté, des défenseurs de la vie privée et des associations de consommateurs de l’autre. Le Conseil a adopté son mandat de négociation en février 2021, mais les trilogues qui ont suivi n’ont pas abouti. En février 2025, la Commission a retiré la proposition dans son programme de travail 2025, invoquant l’absence d’accord prévisible et une proposition devenue obsolète face aux textes plus récents.

Directive contre règlement : pourquoi la distinction comptait

La différence entre une directive et un règlement de l’UE n’est pas qu’administrative :

  • Une directive fixe des objectifs que les États membres doivent atteindre, mais laisse à chaque pays le choix de la transposition. Il en résulte 27 transpositions nationales, chacune avec ses nuances, ses mécanismes de contrôle et ses sanctions.
  • Un règlement s’applique directement dans tous les États membres dès son entrée en vigueur. Il n’y a pas d’étape de transposition et les règles sont les mêmes partout.

Sous la directive ePrivacy, les règles sur les cookies diffèrent toujours d’un pays à l’autre. En France, la CNIL a publié des recommandations détaillées et contrôle activement le consentement aux cookies. En Allemagne, l’application est plus fragmentée en raison de la structure fédérale des autorités. En République tchèque, l’ÚOOÚ adopte une posture un peu moins offensive. Le règlement aurait supprimé ces différences. La proposition retirée, elles demeurent, et la réponse pratique pour un site web reste le droit national des pays qu’il vise.

En quoi ePrivacy diffère du RGPD

Le RGPD et ePrivacy sont des instruments complémentaires, non alternatifs. Ils couvrent des terrains différents qui se recoupent :

  • Le RGPD est un règlement général qui s’applique à tout traitement de données personnelles, quel que soit le support. Notre guide RGPD en résume les bases.
  • ePrivacy est un droit sectoriel (lex specialis) pour les communications électroniques. Il couvre la confidentialité des communications et des métadonnées, l’utilisation des cookies et technologies similaires, la prospection directe par e-mail et messagerie, et le traitement des données de trafic et de localisation par les opérateurs.

Dans la hiérarchie du droit de l’UE, ePrivacy prime sur le RGPD pour les matières qu’il traite spécifiquement. C’est vrai de la directive aujourd’hui et cela l’aurait été du règlement : les règles sur le moment où un consentement est requis pour déposer des cookies viennent d’ePrivacy, tandis que le RGPD régit ce qu’il advient ensuite des données personnelles. La Cour de justice a confirmé cette répartition dans Planet49 (C-673/17).

Ce que le règlement ePrivacy aurait changé pour les cookies

La proposition de la Commission et les positions du Conseil adoptées entre 2017 et 2021 donnent une image claire de ce qui était sur la table :

1. Paramètres de consentement au niveau du navigateur

L’une des propositions les plus marquantes était la gestion du consentement au niveau du navigateur. Au lieu de rencontrer une bannière sur chaque site, les utilisateurs auraient défini une fois leurs préférences dans leur navigateur, et les sites les auraient lues et respectées. Ce concept, parfois appelé Do Not Track 2.0 ou Advanced Data Protection Control, aurait réduit la lassitude liée aux bannières tout en donnant aux utilisateurs un contrôle durable.

Les détails n’ont jamais été réglés : quels navigateurs mettraient en œuvre ces paramètres, quelle granularité auraient les préférences (tout ou rien, ou finalité par finalité) et que se passerait-il avec les navigateurs sans cette fonction. Certains textes traitaient les paramètres du navigateur comme un consentement valable, d’autres gardaient les bannières de site en solution de repli.

2. Cookie walls et modèles « payer ou consentir »

Les propositions traitaient de la pratique controversée des cookie walls, où un site bloque l’accès au contenu tant que l’utilisateur n’accepte pas tous les cookies. Sous le RGPD, leur légalité fait débat, certaines autorités y voyant une atteinte au caractère libre du consentement. Le règlement aurait pu clarifier la situation en autorisant un accès conditionnel dans des circonstances précises.

Le modèle « payer ou consentir », où l’utilisateur choisit entre accepter les cookies publicitaires ou payer un abonnement, a été partiellement admis par certaines autorités (la DSB autrichienne et la CNIL française ont publié des recommandations indiquant qu’il peut être acceptable sous conditions). On attendait du règlement des règles plus claires, exigeant probablement que l’alternative au consentement soit raisonnable, non excessive et clairement présentée. Sans lui, autorités et tribunaux tranchent au cas par cas.

3. Exemptions pour l’analytics first-party

Le changement le plus attendu des exploitants de sites aurait été une exemption de consentement pour certaines catégories de cookies. Selon les propositions, les cookies suivants n’auraient pas nécessité de consentement :

  • Les cookies strictement nécessaires à un service demandé par l’utilisateur (déjà le cas sous la directive)
  • Les cookies d’analytics first-party utilisés uniquement pour mesurer l’audience d’un site, à condition que les données ne soient ni partagées avec des tiers ni utilisées pour du profilage
  • Les cookies qui mémorisent les préférences de l’utilisateur (langue, accessibilité) le temps d’une session
  • Les cookies servant à détecter et prévenir la fraude ou les menaces de sécurité

L’exemption pour l’analytics first-party aurait été significative. Des outils comme Matomo ou Plausible en mode first-party auraient pu fonctionner sans consentement ; Google Analytics ne se serait probablement pas qualifié, car il partage les données avec Google. L’exemption n’est jamais arrivée : les cookies analytics nécessitent toujours un consentement. Nous comparons les alternatives dans l’article analytics sans cookies.

4. Des règles pour les technologies de suivi au-delà des cookies

Le règlement aurait explicitement couvert toutes les formes de suivi, notamment :

  • Le fingerprinting de navigateur
  • Les pixels de suivi et balises web
  • Le stockage local (localStorage, sessionStorage, IndexedDB)
  • Le fingerprinting d’appareil dans les applications mobiles
  • Le suivi inter-appareils par ultrasons

En pratique, cela changeait moins qu’il n’y paraît. L’article 5, paragraphe 3, de la directive actuelle parle déjà du stockage d’informations ou de l’accès à des informations stockées dans l’équipement terminal de l’utilisateur, et les autorités l’appliquent aujourd’hui au stockage local, aux pixels et au fingerprinting.

5. Application directe et sanctions

Comme le RGPD, le règlement aurait instauré un mécanisme d’application directe avec un barème à deux niveaux :

  • Niveau inférieur : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les infractions moins graves
  • Niveau supérieur : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les infractions les plus graves, y compris l’absence de consentement valable pour les cookies et les technologies de suivi

Aujourd’hui, les sanctions pour les infractions liées aux cookies varient toujours selon les États membres. Lorsque des données personnelles sont en jeu, les autorités sanctionnent sur le fondement du RGPD ; sinon, elles s’appuient sur la transposition nationale de la directive, dont les plafonds sont souvent modestes.

Ce qui s’applique aujourd’hui

  • La directive ePrivacy 2002/58/CE, article 5, paragraphe 3, via le droit national : stocker ou lire des informations sur l’appareil de l’utilisateur requiert un consentement, sauf nécessité stricte pour un service demandé par l’utilisateur.
  • Le RGPD pour les données personnelles collectées via les cookies. Le consentement doit répondre aux articles 4, point 11, et 7, tels qu’interprétés dans les lignes directrices 05/2020 du CEPD.
  • L’arrêt Planet49 de la CJUE (C-673/17) : une case pré-cochée n’est pas un consentement, qu’il s’agisse ou non de données personnelles.
  • Le Digital Markets Act pour les contrôleurs d’accès, auquel Google a lié son exigence de Consent Mode v2.

Ce que cela signifie pour votre site

  • Continuez à respecter les règles actuelles. Rien n’a été assoupli : consentement avant les cookies non essentiels, refus aussi simple que l’acceptation, politique de cookies. La liste pas à pas est dans notre checklist de conformité cookies.
  • Auditez toutes les technologies de suivi, y compris localStorage, pixels et scripts de fingerprinting ; la directive les couvre toutes. Le scanner de cookies automatique s’en charge pour vous.
  • Revoyez votre prospection directe. Les règles nationales sur l’e-mail marketing restent en place ; assurez-vous d’un consentement clair et d’une désinscription qui fonctionne.
  • Envisagez un analytics respectueux de la vie privée. L’exemption first-party n’est jamais arrivée, mais les outils sans cookies n’ont pas besoin de consentement tant qu’ils ne stockent rien sur l’appareil.
  • Suivez le CEPD et votre autorité nationale. La régulation des cookies avance désormais par recommandations et décisions, pas par une nouvelle loi.

Consentio maintient votre bannière alignée sur les règles qui s’appliquent aujourd’hui : RGPD, directive ePrivacy et ses transpositions nationales. Si les règles changent, nous le répercutons dans la bannière pour vous.

Sources