Digital Omnibus et cookies : ce qui change pour la mesure
Ce que le Digital Omnibus change pour les cookies et la mesure d'audience : état de la procédure au 10 novembre 2026, adopté, proposé ou incertain.
Le paquet Digital Omnibus de la Commission européenne propose de modifier les règles sur les cookies, dont l’article 5(3) de la directive ePrivacy. Au 10 novembre 2026, le texte n’est pas adopté : le Conseil a un mandat de négociation, le Parlement européen n’a pas encore de position. Pour un site qui mesure son audience, rien ne change aujourd’hui, et il faut déjà documenter sa mesure pour être prêt si le texte passe. Pour vérifier votre configuration actuelle, un consultant Consent Mode peut faire un audit.
Cet article n’est pas un avis juridique. Les textes officiels n’étaient pas consultables directement pendant ma recherche : je me suis appuyé sur les analyses publiées depuis la proposition et sur les références de procédure ci-dessous. Les points sur la portée exacte des exemptions et les délais doivent être validés par votre avocat ou votre DPO.
Où en est la procédure
La Commission a publié sa proposition le 19 novembre 2025 (COM(2025) 837, dossier 2025/0360(COD)). Elle déplaçait les règles sur les traceurs dans le RGPD, en deux nouveaux articles, 88a et 88b.
Le Conseil a adopté son mandat le 21 octobre 2026 (document ST 14756/26). Selon les analyses consultées, il garde les règles cookies dans l’article 5(3) de la directive ePrivacy et supprime les articles 88a et 88b du RGPD. Le Parlement européen n’a pas encore adopté sa position. Les analyses situent l’entrée en vigueur en 2027 au plus tôt.
Consent Mode v2 
Google Analytics 4 
Google Tag Manager Les deux premières étapes sont franchies. Les étapes en grisé restent à venir, sans date fixée.
Ce qui est proposé, ce qui est adopté et ce qui reste incertain :
- Adopté : rien. Aucun texte n’a force de loi à ce jour.
- Proposé : la version de la Commission, de novembre 2025.
- Mandat : la position de négociation du Conseil, d’octobre 2026. Ce n’est pas une loi.
- Incertain : la forme finale, le calendrier, et la place que le Parlement donnera à la mesure d’audience.
Ce qui change et ce qui ne change pas
Le tableau compare le droit en vigueur et le mandat du Conseil. Quand le texte ne précise pas un point, je l’indique.
| Sujet | Droit en vigueur | Projet (mandat du Conseil, non adopté) |
|---|---|---|
| Base de la règle | Article 5(3) ePrivacy, transposé en France à l’article 82 de la loi Informatique et Libertés : consentement avant dépôt ou lecture, sauf exceptions étroites | Règle conservée dans l’article 5(3) révisé, avec une liste de finalités sans consentement |
| Mesure d’audience, en interne | Exemption admise par la CNIL sous des conditions cumulatives, précisées dans son outil d’auto-évaluation de 2025 | Exemption pour des informations agrégées et anonymes, créées par le fournisseur du service ou par un tiers agissant pour son compte |
| Partage ou réutilisation des données | Consentement requis, sauf si une exemption s’applique | Les données ne doivent servir à aucune autre finalité, ni être partagées avec des tiers ni combinées à d’autres données |
| Refus après une demande | Un refus doit être respecté. La CNIL recommande de ne pas redemander pendant six mois | Pas de nouvelle demande pour la même finalité pendant au moins quatre mois (six mois dans la proposition de la Commission) |
| Forme du refus | Refuser doit être aussi simple qu’accepter | Refus en un clic |
| Signaux du navigateur | Pas d’obligation générale | Prévus par la Commission (article 88b). Les analyses consultées ne disent pas clairement ce qu’il advient de ces signaux dans le mandat du Conseil |
| Bandeau | Obligatoire pour les traceurs soumis au consentement | Probablement maintenu selon les juristes qui ont commenté le texte |
Ce qui ne change pas
- Les cookies de publicité personnalisée restent soumis au consentement dans les textes lus.
- Le Consent Mode v2 reste la référence technique. Une balise Google qui part avant le choix reste non conforme.
- La CNIL reste l’autorité française. Ses sanctions 2025 portent d’abord sur les cookies, comme le montre le bilan CNIL 2025.
Ce qui pourrait changer
Si le texte passe dans la forme du mandat, une mesure agrégée, faite pour le compte du site, ne demanderait plus de consentement. La condition la plus stricte est celle du partage : un outil qui réutilise les données pour ses propres besoins sort du cadre. Les bannières centrales et les cookie walls restent, eux, traités par les règles actuelles.
Ce que je conseille maintenant
- Ne rien retirer. Le texte n’est pas adopté. Le bandeau et le Consent Mode v2 restent obligatoires aujourd’hui.
- Documenter votre mesure d’audience dès maintenant. Pour chaque outil : finalité, sous-traitant et contrat, absence de partage, absence de combinaison avec d’autres données, durée de conservation. C’est la liste des conditions du projet, et c’est aussi ce qu’un contrôle CNIL demande en pratique. Faites-la valider par votre DPO.
- Ne pas migrer de CMP pour anticiper. Une bascule technique sur la base d’un texte en négociation coûte cher et peut casser la mesure. Si une migration est déjà prévue, la méthode est dans le guide de migration de CMP.
- Ne pas promettre à un client une mesure sans consentement en s’appuyant sur le projet. Ce n’est pas le droit en vigueur.
- Revoir le sujet à trois moments : le vote de la commission compétente du Parlement, la phase de trilogue, la publication au Journal officiel.
Pour les bonnes pratiques actuelles, le guide pratique du Consent Mode v2 reste le point de départ.
Sources
- Parlement européen, suivi de la procédure 2025/0360(COD) : oeil.secure.europarl.europa.eu
- Commission européenne, proposition COM(2025) 837 : EUR-Lex
- Conseil de l’Union européenne, mandat, document ST 14756/26 du 22 octobre 2026, tel que cité par Relevant Audience
- CNIL, cookies et traceurs : cnil.fr
- Analyse de la proposition, Osborne Clarke, 10 décembre 2025 : osborneclarke.com
