Réponse rapide : La directive ePrivacy et le RGPD sont deux lois européennes distinctes mais qui se chevauchent et régissent conjointement le consentement aux cookies et la confidentialité en ligne. La directive ePrivacy établit les règles spécifiques pour le placement de cookies sur les appareils des utilisateurs, tandis que le RGPD définit les normes pour un consentement valide. La plupart des sites web opérant dans l'UE doivent se conformer aux deux, et à partir de 2026, une refonte législative majeure est en cours qui pourrait consolider les règles relatives aux cookies directement dans le RGPD.
Points clés à retenir
- La directive ePrivacy (2002, mise à jour 2009) est la loi principale exigeant le consentement avant de déposer des cookies non essentiels ; le RGPD (2018) définit ce que signifie réellement un "consentement valide".
- Les deux lois s'appliquent simultanément à la plupart des sites web destinés à l'UE, l'une ne remplace pas l'autre.
- La proposition de règlement ePrivacy a été officiellement retirée par la Commission européenne en février 2025.
- Le paquet législatif Omnibus numérique, dévoilé en novembre 2025, propose d'intégrer les règles de consentement aux cookies dans le RGPD via les nouveaux articles 88a et 88b.
- Les cookies essentiels (strictement nécessaires) sont exemptés des exigences de consentement en vertu de la directive ePrivacy.
- La directive ePrivacy a été transposée différemment dans les États membres de l'UE, créant des variations de conformité selon les pays.
- Une étude de 2026 a révélé que seulement 30,66 % des sites web comportaient un bouton "tout refuser", ce qui indique une non-conformité généralisée [7].
- Les bannières de consentement aux cookies peuvent satisfaire aux deux lois, mais seulement si elles remplissent les conditions du RGPD pour un consentement libre, spécifique, éclairé et univoque.
- Les plateformes de gestion du consentement (CMPs) devront s'adapter aux signaux de consentement au niveau du navigateur en vertu des modifications proposées du RGPD [3].
Quelle est la différence entre la directive ePrivacy et le RGPD
La directive ePrivacy et le RGPD remplissent des fonctions différentes mais complémentaires. La directive ePrivacy (Directive 2002/58/CE, modifiée par 2009/136/CE) est une loi sectorielle régissant la confidentialité des communications électroniques, y compris l'utilisation de cookies et de technologies de suivi similaires. Le RGPD est un règlement général sur la protection des données qui établit le cadre juridique pour le traitement des données personnelles dans tous les secteurs, y compris la définition et les exigences d'un consentement valide.
La distinction clé :
| Caractéristique | Directive ePrivacy | RGPD |
|---|---|---|
| Forme juridique | Directive de l'UE (nécessite une transposition nationale) | Règlement de l'UE (directement applicable) |
| Objectif principal | Cookies, suivi, communications électroniques | Tout traitement de données personnelles |
| Norme de consentement | Exige le consentement pour les cookies non essentiels | Définit ce que signifie un consentement valide |
| Organisme d'application | Régulateurs nationaux des télécommunications/DPA | Autorités nationales de protection des données |
| Statut (2026) | Toujours en vigueur ; réforme en attente | En vigueur ; amendements proposés en cours |
Parce que la directive ePrivacy est une directive plutôt qu'un règlement, chaque État membre de l'UE l'a transposée différemment dans sa législation nationale, ce qui a entraîné des variations dans l'application et les exigences spécifiques d'un pays à l'autre [6].
Devez-vous vous conformer à la fois à la directive ePrivacy et au RGPD, ou à un seul des deux ?
Les deux lois s'appliquent simultanément, et la conformité à l'une ne satisfait pas l'autre. La directive ePrivacy vous dit quand vous avez besoin d'un consentement (avant de déposer des cookies non essentiels) ; le RGPD vous dit à quoi doit ressembler ce consentement (librement donné, spécifique, éclairé, univoque et révocable à tout moment) [5].
Pensez-y de cette façon : la directive ePrivacy est le déclencheur, et le RGPD est la norme. Une bannière de cookies qui apparaît techniquement avant le chargement des cookies mais utilise des cases pré-cochées violerait les exigences de consentement du RGPD, même si elle se conforme nominalement à l'obligation de notification de la directive ePrivacy.
Erreur courante : Supposer qu'un avis de cookies (informant les utilisateurs de l'existence de cookies) est suffisant. Dans les deux cadres, une notification passive ne constitue pas un consentement pour les cookies non essentiels.
Comment la directive ePrivacy s'applique-t-elle aux cookies sur votre site web ?
La directive ePrivacy exige que les opérateurs de sites web obtiennent un consentement préalable et éclairé avant de stocker ou d'accéder à des informations sur l'appareil d'un utilisateur, ce qui couvre les cookies, les pixels, le stockage local et les technologies similaires [6]. Cette obligation s'applique que les données collectées soient ou non qualifiées de données personnelles en vertu du RGPD.
Concrètement, cela signifie :
- Aucun cookie non essentiel ne peut être activé avant qu'un utilisateur n'effectue une action affirmative pour consentir.
- Le mécanisme de consentement doit être clair et non lié à l'acceptation des conditions de service.
- Les utilisateurs doivent pouvoir retirer leur consentement aussi facilement qu'ils l'ont donné.
La directive s'applique à tout service ciblant les utilisateurs de l'UE, quel que soit le lieu d'établissement de l'opérateur du site web.
Quels cookies nécessitent un consentement en vertu de la directive ePrivacy vs. le RGPD ?
En vertu de la directive ePrivacy, le consentement est requis pour tous les cookies, à l'exception de ceux qui sont "strictement nécessaires" à un service explicitement demandé par l'utilisateur. En vertu du RGPD, tout traitement de données personnelles nécessite une base légale, et pour les cookies de suivi, cette base est presque toujours le consentement.
Catégories de cookies et exigences de consentement :
- Cookies strictement nécessaires (gestion de session, état de connexion, panier d'achat) : Aucun consentement requis en vertu de la directive ePrivacy. L'intérêt légitime ou la base d'exécution du contrat du RGPD peut s'appliquer.
- Cookies d'analyse (par exemple, suivi des pages vues qui identifie les utilisateurs) : Consentement requis en vertu des deux cadres.
- Cookies de marketing et de publicité (ciblage comportemental, reciblage) : Consentement requis en vertu des deux cadres, c'est la catégorie la plus risquée en matière d'application.
- Cookies fonctionnels (préférences linguistiques, paramètres d'interface utilisateur) : Débattus ; s'ils traitent des données personnelles, le consentement est l'approche la plus sûre.
La directive ePrivacy est-elle remplacée, et qu'est-ce que le règlement ePrivacy ?
La directive ePrivacy n'est pas remplacée par le RGPD. Cependant, un projet de règlement ePrivacy visait à remplacer la directive par une loi directement applicable à l'échelle de l'UE. Cette proposition a été officiellement retirée par la Commission européenne en février 2025, invoquant un manque d'accord prévisible entre les États membres et le caractère obsolète de la proposition compte tenu des récents changements technologiques [2].
La directive ePrivacy vs. le projet de règlement ePrivacy : Le règlement aurait été directement contraignant dans tous les États membres (éliminant les différences de transposition nationale), mais il n'a jamais été adopté.
À sa place, la Commission européenne a présenté le paquet législatif Omnibus numérique le 19 novembre 2025. Ce paquet propose d'intégrer les règles de consentement aux cookies directement dans le RGPD par le biais des nouveaux articles 88a et 88b [2][3]. L'article 88a définirait les scénarios où le consentement n'est pas requis (comme pour la transmission de communications électroniques ou les services explicitement demandés par l'utilisateur). L'article 88b introduirait des exigences pour des mécanismes de consentement automatisés et lisibles par machine, y compris les signaux de consentement au niveau du navigateur [3].
En juillet 2026, le paquet législatif Omnibus numérique est toujours en cours de processus législatif, le texte final étant attendu fin 2026 ou début 2027 [4].
Les cookies essentiels nécessitent-ils un consentement en vertu de la directive ePrivacy ?
Non. Les cookies strictement nécessaires sont explicitement exemptés de l'exigence de consentement de la directive ePrivacy. Ce sont des cookies sans lesquels le service que l'utilisateur a activement demandé ne peut pas fonctionner, par exemple, les identifiants de session, les jetons d'authentification et les cookies de panier d'achat [6].
Cas limite : Le terme "nécessaire" est interprété de manière restrictive. Un cookie qui améliore les performances ou permet l'analyse n'est pas strictement nécessaire, même si l'opérateur le considère comme opérationnellement important. En cas de doute, il est préférable d'exiger le consentement.
Comment obtenir un consentement aux cookies valide qui satisfasse les deux réglementations ?
Un consentement valide en vertu du RGPD (et donc en vertu de la directive ePrivacy, qui se réfère aux normes de consentement du RGPD) doit être :
- Librement donné, Pas de murs de consentement ou de regroupement forcé avec l'acceptation des conditions.
- Spécifique, Consentement séparé pour chaque catégorie de cookies (analyse, marketing, etc.).
- Éclairé, Les utilisateurs doivent savoir ce que font les cookies et qui traite les données.
- Univoque, Une action affirmative est requise ; les cases pré-cochées sont invalides.
- Révocable, Révoquer le consentement doit être aussi facile que de l'accorder [5].
Une plateforme de gestion du consentement (CMP) bien configurée gère ce flux de travail. Biscotti CMP est conçue pour prendre en charge ces exigences, y compris les catégories de consentement granulaires et l'enregistrement du consentement à des fins d'audit. Le paquet législatif Omnibus numérique proposant des signaux de consentement au niveau du navigateur en vertu de l'article 88b, les CMP devront également ingérer et respecter les signaux des paramètres du navigateur, un changement opérationnel important pour l'industrie [3].
Les bannières de cookies peuvent-elles satisfaire aux exigences de la directive ePrivacy et du RGPD ?
Oui, mais seulement si la bannière est correctement conçue. Une bannière de cookies qui répond aux normes de consentement du RGPD satisfera également à l'exigence de consentement de la directive ePrivacy, car la directive se réfère à la définition du consentement du RGPD pour les États membres de l'UE [5][6].
Une bannière conforme doit :
- Présenter une option claire "Accepter" et "Refuser" (ou équivalent) avec une proéminence visuelle égale.
- Ne pas utiliser de "dark patterns" (par exemple, rendre "Refuser" plus difficile à trouver que "Accepter").
- Bloquer les cookies non essentiels jusqu'à ce que le consentement soit donné.
- Enregistrer et stocker le consentement avec un horodatage et une référence de version.
- Permettre aux utilisateurs de modifier leurs préférences à tout moment.
Une étude de 2026 a révélé que seulement 30,66 % des sites web comportaient un bouton "tout refuser", ce qui signifie que la majorité des sites étudiés ne respectent probablement pas les attentes en matière de conformité [7].
Existe-t-il des pays où la directive ePrivacy ne s'applique pas ?
La directive ePrivacy s'applique à tous les États membres de l'UE. Cependant, comme il s'agit d'une directive (et non d'un règlement), chaque pays l'a transposée dans sa législation nationale avec des variations en termes de portée, de priorités d'application et de sanctions [6]. Les pays hors de l'UE, y compris le Royaume-Uni après le Brexit, ont leurs propres lois équivalentes (les Privacy and Electronic Communications Regulations du Royaume-Uni, ou PECR).
Choisissez votre base de conformité en fonction de l'emplacement de vos utilisateurs, et pas seulement de l'endroit où votre entreprise est enregistrée. Une entreprise basée aux États-Unis avec un trafic important en provenance de l'UE doit se conformer à la fois à la directive ePrivacy (telle que transposée dans les États membres concernés) et au RGPD.
Que se passe-t-il si vous ne respectez pas les règles de la directive ePrivacy ?
Le non-respect de la directive ePrivacy (telle que transposée dans la législation nationale) peut entraîner des amendes et des mesures d'exécution de la part des régulateurs nationaux. Les sanctions varient selon les États membres mais peuvent être substantielles, et les violations du RGPD déclenchées par un consentement invalide (par exemple, le traitement de données personnelles via des cookies de suivi sans base légale valide) entraînent des amendes pouvant aller jusqu'à 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros, le montant le plus élevé étant retenu [5].
Les autorités nationales de protection des données (DPA) continuent d'enquêter activement et d'infliger des amendes aux organisations pour les défaillances en matière de consentement aux cookies [1]. Les actions d'exécution ont ciblé aussi bien les grandes plateformes que les petits opérateurs.
Erreurs de conformité courantes :
- Déclenchement de cookies d'analyse ou de publicité au chargement de la page avant l'enregistrement du consentement.
- Utilisation de bannières de consentement qui ne bloquent pas les cookies avant l'interaction.
- Non-respect rapide du retrait du consentement.
- Non-mise à jour des enregistrements de consentement lorsque les politiques de cookies changent.
- Traiter les avis de cookies comme équivalents aux mécanismes de consentement.
Combien de temps les cookies peuvent-ils être stockés en vertu des règles de la directive ePrivacy ?
La directive ePrivacy ne spécifie pas directement une durée maximale de stockage des cookies. Cependant, les principes de minimisation des données et de limitation du stockage du RGPD s'appliquent lorsque les cookies traitent des données personnelles. Le consentement doit être limité dans le temps, et les régulateurs s'attendent généralement à ce que les organisations redemandent le consentement périodiquement, les directives couramment citées suggèrent 12 mois comme un intervalle raisonnable, bien qu'il ne s'agisse pas d'une limite légale stricte [6].
Conseil pratique : Définissez des périodes d'expiration des cookies proportionnées à leur objectif. Un cookie de session doit expirer lorsque le navigateur est fermé. Un cookie d'analyse n'a pas besoin d'une durée de vie de deux ans si six mois suffisent au même objectif.
Quelles sont les erreurs courantes commises par les entreprises en matière de conformité ePrivacy ?
Au-delà des problèmes mentionnés ci-dessus, plusieurs schémas apparaissent constamment dans les cas d'application et les audits :
- Consentement implicite : Supposer que la poursuite de la navigation constitue un consentement. Cela a été explicitement rejeté par les tribunaux de l'UE et les DPA.
- Consentement groupé : Combiner le consentement aux cookies avec l'acceptation de la politique de confidentialité en un seul clic.
- Ciblage géographique incohérent : Appliquer des règles de consentement plus strictes uniquement aux utilisateurs de certains pays tout en servant des cookies de suivi à d'autres, un risque étant donné que l'application peut suivre la localisation de l'utilisateur.
- Ignorer les variations nationales : Supposer qu'une seule configuration de bannière satisfait tous les États membres de l'UE, alors qu'en fait certains pays ont des exigences nationales plus strictes [6].
- Absence de piste d'audit du consentement : Ne pas enregistrer ce à quoi les utilisateurs ont consenti, quand et sous quelle version de l'avis de confidentialité [1].
Conclusion
La relation entre la directive ePrivacy et le RGPD : Naviguer dans les règles de l'UE en matière de cookies n'est pas une question de choix entre un cadre et l'autre, les deux s'appliquent, et les deux doivent être satisfaits. La directive ePrivacy définit quand le consentement est nécessaire pour les cookies ; le RGPD définit à quoi ressemble un consentement valide. Ensemble, ils constituent le fondement juridique de la conformité aux cookies dans toute l'UE.
Le paysage réglementaire évolue. La proposition de règlement ePrivacy a été retirée début 2025, et le paquet législatif Omnibus numérique propose désormais d'intégrer les règles relatives aux cookies directement dans le RGPD par le biais des articles 88a et 88b. Le texte final est attendu fin 2026 ou début 2027, mais les obligations actuelles restent pleinement en vigueur en attendant.
Prochaines étapes concrètes pour 2026 :
- Auditez le comportement des cookies de votre site web pour confirmer qu'aucun cookie non essentiel n'est activé avant que le consentement ne soit recueilli.
- Examinez votre bannière de consentement pour détecter les "dark patterns" et assurez-vous que les options "refuser" sont aussi visibles que les options "accepter".
- Mettez en œuvre une CMP telle que Biscotti CMP qui enregistre les consentements et prend en charge la gestion granulaire des catégories.
- Suivez les progrès du paquet législatif Omnibus numérique et évaluez si votre fournisseur de CMP se prépare à prendre en charge les signaux de consentement au niveau du navigateur.
- Vérifiez la transposition nationale de la directive ePrivacy dans chaque État membre de l'UE où vous avez un trafic d'utilisateurs important.
FAQ
Q : Le RGPD remplace-t-il la directive ePrivacy pour les cookies ? Non. Le RGPD et la directive ePrivacy coexistent. La directive ePrivacy reste la loi principale exigeant le consentement pour les cookies ; le RGPD régit ce que signifie un consentement valide et comment les données personnelles traitées via les cookies doivent être gérées.
Q : Qu'est-ce que le règlement ePrivacy, et est-il toujours d'actualité ? Le règlement ePrivacy était une proposition de loi de l'UE visant à remplacer la directive ePrivacy par un règlement directement applicable. Il a été officiellement retiré par la Commission européenne en février 2025 et ne sera pas mis en œuvre sous sa forme actuelle.
Q : Qu'est-ce que le paquet législatif Omnibus numérique ? Le paquet législatif Omnibus numérique, dévoilé en novembre 2025, est une proposition législative de l'UE qui simplifierait la réglementation numérique en intégrant les règles de consentement aux cookies dans le RGPD via les nouveaux articles 88a et 88b. En juillet 2026, il est toujours en cours d'examen législatif.
Q : Les cookies d'analyse sont-ils exemptés des exigences de consentement ? Non. Les cookies d'analyse qui identifient des utilisateurs ou des appareils individuels sont non essentiels et nécessitent un consentement préalable en vertu de la directive ePrivacy, qu'ils soient utilisés à des fins commerciales ou non.
Q : Un "cookie wall" (bloquant l'accès à moins que les utilisateurs n'acceptent les cookies) peut-il constituer un consentement valide ? Généralement non. Les régulateurs et les tribunaux de l'UE ont estimé que le consentement obtenu via des "cookie walls" n'est pas librement donné en vertu du RGPD, car les utilisateurs n'ont pas de véritable choix. Certaines DPA nationales autorisent les "cookie walls" dans des circonstances limitées si une alternative payante est proposée, mais cela reste contesté.
Q : À quelle fréquence les utilisateurs doivent-ils être invités à renouveler leur consentement aux cookies ? Il n'y a pas de période légale fixe, mais les régulateurs s'attendent généralement à ce que le consentement soit renouvelé lorsque les objectifs ou la liste des cookies changent de manière significative, ou après une période raisonnable (souvent citée comme 12 mois dans la pratique). Le consentement obtenu en vertu d'une version précédente d'un avis de confidentialité peut ne pas couvrir les nouvelles activités de traitement.
Q : Qu'est-ce qu'un cookie strictement nécessaire ? Un cookie strictement nécessaire est un cookie sans lequel un service explicitement demandé par l'utilisateur ne peut pas fonctionner, par exemple, un jeton de session de connexion ou un identifiant de panier d'achat. Ceux-ci sont exemptés de l'exigence de consentement de la directive ePrivacy.
Q : La directive ePrivacy s'applique-t-elle aux entreprises non européennes ? Oui, si ces entreprises ciblent ou servent des utilisateurs situés dans l'UE. La portée territoriale suit la localisation de l'utilisateur, et non l'adresse enregistrée de l'opérateur.
Q : Que dois-je rechercher dans une plateforme de gestion du consentement ? Une CMP conforme doit bloquer les cookies non essentiels avant le consentement, prendre en charge des catégories de consentement granulaires, enregistrer le consentement avec des horodatages, permettre un retrait facile et être prête à prendre en charge les signaux de consentement au niveau du navigateur, comme l'exigent les amendements proposés au RGPD.
Q : Puis-je utiliser une seule bannière de cookies pour l'ensemble de l'UE ? Une seule bannière peut servir de base, mais comme la directive ePrivacy a été transposée différemment dans les États membres, certains pays peuvent avoir des exigences plus strictes. Un examen juridique par rapport à la législation nationale de chaque marché cible est conseillé pour les sites à fort trafic.
Références
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai