TL;DR
Le règlement ePrivacy est un texte européen en cours de négociation depuis 2017, destiné à remplacer la directive ePrivacy de 2002 (celle qui a imposé les bandeaux cookies). Une fois adopté, il harmonisera les règles de consentement cookies dans toute l'UE, supprimera les transpositions nationales divergentes et alignera le cadre juridique avec le RGPD. Pour les éditeurs de sites, cela signifie des règles plus claires, mais aussi potentiellement plus strictes, sur le dépôt de cookies et le tracking en ligne.
Qu'est-ce que le règlement ePrivacy ?
Le règlement ePrivacy est un projet de règlement européen qui doit remplacer la directive 2002/58/CE (directive ePrivacy), modifiée en 2009. Cette directive est le texte à l'origine de l'obligation de consentement pour les cookies. Le règlement vise à moderniser ce cadre pour l'adapter aux réalités du web actuel.
Contrairement à une directive, qui doit être transposée par chaque État membre (ce qui crée des différences entre pays), un règlement s'applique directement et uniformément dans toute l'UE. C'est la même logique que le RGPD : un texte unique, une application homogène.
Ce n'est pas le seul texte européen qui touche aux cookies : les règles de consentement du Digital Markets Act s'appliquent aux plateformes gatekeepers depuis mars 2024.
Le texte est en négociation au Conseil de l'UE depuis 2017. Plusieurs versions ont circulé, mais les États membres et le Parlement européen n'ont pas encore trouvé d'accord final. Malgré ce retard, les grandes orientations du texte sont connues et permettent d'anticiper les changements à venir.
Pourquoi la directive ePrivacy actuelle pose problème ?
La directive ePrivacy de 2002 a été conçue avant l'explosion du tracking en ligne. Elle impose le consentement pour le dépôt de cookies, mais laisse chaque pays transposer les règles à sa façon. Résultat : les règles varient d'un pays à l'autre, ce qui complique la vie des éditeurs de sites internationaux.
Des transpositions nationales divergentes
En France, la CNIL a adopté des lignes directrices strictes (consentement explicite, refus aussi facile que l'acceptation). En Allemagne, les autorités régionales appliquent des règles proches mais avec des nuances. En Espagne, l'AEPD a une approche différente sur certains points. Pour un site qui opère dans toute l'Europe, cette mosaïque de règles est un casse-tête.
La CNIL fait respecter ces règles par des amendes, comme le montrent ces cas réels de sanctions CNIL liées aux cookies.
Un texte inadapté aux nouvelles technologies
La directive de 2002 parle de "cookies" mais ne couvre pas explicitement le fingerprinting, le tracking par identifiants publicitaires mobiles, ni les technologies de tracking sans cookies comme les méthodes de tracking sans cookies. Le règlement ePrivacy vise à combler ces lacunes en élargissant la définition des traceurs couverts.
Que va changer le règlement ePrivacy pour les cookies ?
Même si le texte n'est pas finalisé, plusieurs changements majeurs font consensus dans les versions successives du projet. Voici les principaux impacts attendus pour les éditeurs de sites.
Une définition élargie des traceurs
Le règlement ePrivacy ne se limitera plus aux cookies. Il couvrira toute technique de stockage ou d'accès à des informations sur le terminal de l'utilisateur. Cela inclut le fingerprinting (empreinte numérique du navigateur), les pixels invisibles, le stockage local (localStorage, IndexedDB), les identifiants publicitaires et potentiellement certaines méthodes de tracking server-side.
Le consentement via les paramètres du navigateur
L'une des propositions les plus discutées du règlement ePrivacy est la possibilité pour les utilisateurs de gérer leur consentement directement depuis les paramètres de leur navigateur, plutôt que via un bandeau cookies sur chaque site. Si cette disposition est adoptée, elle pourrait réduire le nombre de bandeaux affichés aux utilisateurs.
Cette idée répond à un vrai problème, analysé dans notre article sur la consent fatigue et les visiteurs qui ignorent les bandeaux cookies.
En pratique, les navigateurs proposeraient une interface standard permettant de définir des préférences de consentement par défaut (accepter, refuser, gérer par catégorie). Les sites devraient respecter ces préférences sans afficher de bandeau supplémentaire, sauf si des finalités spécifiques nécessitent un consentement séparé.
Pour comprendre les catégories utilisées aujourd'hui par les bandeaux, consultez notre guide des 4 catégories de cookies RGPD.
Des règles uniformes dans toute l'UE
Fini les transpositions nationales divergentes. Le règlement s'appliquera directement dans les 27 États membres, comme le RGPD. Les éditeurs de sites internationaux n'auront plus à gérer des variations de règles entre la France, l'Allemagne, l'Espagne ou les Pays-Bas.
Le traitement des métadonnées de communication
Le règlement ePrivacy élargit aussi son champ aux métadonnées des communications électroniques (localisation, horodatage, destinataires). Ce volet concerne principalement les opérateurs télécoms et les services de messagerie, mais il peut impacter les outils d'analytics qui exploitent des données de localisation ou de session.
Quel calendrier pour le règlement ePrivacy ?
Le projet de règlement ePrivacy a été présenté par la Commission européenne en janvier 2017. Le Parlement européen a adopté sa position en octobre 2017. Depuis, les négociations au Conseil se sont enlisées en raison de désaccords entre États membres, notamment sur la gestion du consentement par les navigateurs et les exceptions pour les cookies analytiques.
En 2021, la présidence portugaise du Conseil a proposé un compromis, mais celui-ci n'a pas abouti. À ce jour (2026), le texte n'est toujours pas adopté. Plusieurs experts estiment que l'adoption pourrait intervenir entre 2027 et 2028, avec une période de transition de 24 mois avant application effective.
En attendant, la directive ePrivacy de 2002 (modifiée en 2009) reste le texte en vigueur, complété par les lignes directrices nationales (CNIL, BfDI, AEPD, etc.) et par le cadre RGPD pour les cookies.
Erreurs fréquentes sur le règlement ePrivacy
Attendre le règlement pour se mettre en conformité. Le RGPD et les lignes directrices nationales (CNIL, etc.) s'appliquent déjà. Le règlement ePrivacy ne va pas "créer" une obligation de consentement, il va clarifier et uniformiser des règles qui existent déjà. Ne pas attendre pour configurer correctement votre CMP.
Croire que les bandeaux cookies vont disparaître. Même si le règlement prévoit la gestion du consentement via le navigateur, cette disposition est encore débattue et son implémentation technique prendra du temps. Les bandeaux cookies resteront nécessaires pendant plusieurs années au minimum.
Confondre ePrivacy et RGPD. Le RGPD régit le traitement des données personnelles. La directive (et le futur règlement) ePrivacy régit spécifiquement l'accès au terminal de l'utilisateur (cookies, fingerprinting, etc.). Les deux textes se complètent : le RGPD fournit les principes généraux, ePrivacy fournit les règles spécifiques aux traceurs.
Les conditions qu'un consentement doit remplir pour être valable au sens du RGPD sont détaillées dans notre article sur les 7 conditions de validité du consentement RGPD.
Penser que le fingerprinting échappe à la réglementation. Le règlement ePrivacy vise explicitement à couvrir le fingerprinting et les techniques de tracking sans cookies. Les sites qui ont abandonné les cookies pour le fingerprinting devront obtenir un consentement équivalent.
Ignorer les exceptions pour les cookies analytiques. Certaines versions du projet prévoient une exception de consentement pour les cookies analytiques first-party qui ne sont pas partagés avec des tiers. C'est déjà le cas en pratique dans plusieurs pays (France avec la CNIL pour Matomo en configuration exemptée). Le règlement pourrait officialiser cette exception à l'échelle européenne.
Checklist pour anticiper le règlement ePrivacy
- Faire un inventaire complet de tous les traceurs sur votre site (cookies, localStorage, fingerprinting, pixels)
- Vérifier que votre CMP couvre les traceurs au-delà des seuls cookies HTTP
- Documenter les finalités de chaque traceur et les tiers destinataires des données
- Configurer votre CMP pour bloquer les scripts avant consentement, y compris le fingerprinting
- Suivre l'évolution du texte ePrivacy via les publications de la Commission européenne et les avis de votre autorité nationale
- Préparer votre politique de cookies pour intégrer les nouvelles définitions (traceurs, métadonnées)
- Tester le comportement de votre site quand le navigateur signale un refus global de tracking
- Documenter votre conformité actuelle pour faciliter la transition vers le futur règlement
Conclusion
Le règlement ePrivacy n'est pas encore adopté, mais ses grandes orientations sont claires : élargir la définition des traceurs, uniformiser les règles en Europe et potentiellement intégrer le consentement dans les navigateurs. Les éditeurs de sites qui respectent déjà le RGPD et les lignes directrices de la CNIL sont bien positionnés pour s'adapter au futur règlement.
Le point de départ : réaliser un audit complet de vos traceurs (pas seulement les cookies HTTP) pour identifier les technologies qui seront couvertes par le futur règlement. Scannez votre site gratuitement avec FlowConsent pour obtenir un inventaire complet.