> Sanctions record, Consent Mode v2 obligatoire, Digital Omnibus, contrôles automatisés CNIL. Le guide complet de la conformité cookies et RGPD en 2026. > > Canonical: https://www.flowconsent.com/fr/blog/rgpd-cookies-2026-ce-qui-change [Réglementation](https://www.flowconsent.com/fr/blog?category=regulation) # RGPD et cookies en 2026 : ce qui a changé et ce qui arrive Par FlowConsent · Publié le 31 mars 2026 · Mis à jour le 9 octobre 2026 · 9 min de lecture En bref Sanctions record, Consent Mode v2 obligatoire, Digital Omnibus, contrôles CNIL automatisés. Le guide complet des règles cookies et RGPD en 2026. ## TL;DR Le cadre réglementaire des cookies et de la protection des données personnelles continue d'évoluer en 2026. La Commission européenne a proposé le Digital Omnibus (novembre 2025), qui prévoit des modifications ciblées du RGPD et de la directive ePrivacy pour réduire la "fatigue du consentement" et simplifier la conformité. La CNIL poursuit ses contrôles avec des sanctions record (90 millions d'euros contre Google en novembre 2025, 42 millions contre Free en janvier 2026). Le [Consent Mode v2](https://www.flowconsent.com/fr/blog/google-consent-mode-v2-guide-implementation) est devenu obligatoire pour les annonceurs dans l'EEE, et de nouvelles recommandations CNIL sur le consentement multi-terminaux sont entrées en vigueur en janvier 2026. Ce guide fait le point sur ce qui a changé et ce qui arrive. ## Ce qui est en vigueur : les règles actuelles du RGPD et de la directive ePrivacy La réglementation des cookies repose sur deux textes complémentaires : le RGPD (règlement européen) et la directive ePrivacy (2002/58/CE), transposée en droit français par l'article 82 de la loi Informatique et Libertés. Ces deux textes coexistent, ce qui crée parfois des chevauchements. Le RGPD définit les règles générales de la protection des données personnelles : base légale du traitement, droits des personnes, obligations de sécurité, sanctions. La directive ePrivacy porte spécifiquement sur la confidentialité des communications électroniques, y compris les règles de dépôt et de lecture de cookies sur le terminal de l'utilisateur. En France, la CNIL a publié ses lignes directrices et sa recommandation sur les cookies en 2020, avec une mise en conformité obligatoire au 31 mars 2021. Ces règles n'ont pas changé fondamentalement en 2026, mais leur application se durcit. ## Quelles sont les règles actuelles du consentement cookies ? Tout cookie non strictement nécessaire au fonctionnement du site nécessite le consentement explicite de l'utilisateur avant d'être déposé. Cela couvre les cookies publicitaires, les cookies d'analytics, les cookies de réseaux sociaux et tout autre traceur non essentiel. Le consentement doit être libre, spécifique, éclairé et univoque. Concrètement : le bouton Refuser doit être aussi visible et accessible que le bouton Accepter (même niveau, même format, même taille). La CNIL a confirmé que la seule présence d'un bouton "Paramétrer" à côté de "Tout accepter" ne suffit pas : un mécanisme de refus de premier niveau est obligatoire. Aucun cookie non essentiel ne doit être déposé avant que l'utilisateur ait fait son choix. Les scripts doivent être bloqués par défaut et ne se déclencher qu'après consentement. L'utilisateur doit pouvoir retirer son consentement aussi facilement qu'il l'a donné. Cela vaut aussi pour les contenus intégrés : une vidéo YouTube dépose des cookies à la lecture, même en mode de confidentialité avancée, comme l'explique notre guide pour [intégrer des vidéos YouTube sans cookies](https://www.flowconsent.com/fr/blog/youtube-nocookie-integrer-video-sans-cookies-rgpd). Les cookies strictement nécessaires (authentification, panier d'achat, préférences de langue, sécurité) sont exemptés de consentement. Certains cookies de mesure d'audience peuvent également bénéficier d'une exemption sous conditions strictes, comme dans le cas de [Matomo configuré en mode exempté CNIL](https://www.flowconsent.com/fr/blog/matomo-cookies-rgpd-bandeau-obligatoire). ## Ce qui a changé entre 2024 et 2026 ### Consent Mode v2 obligatoire (mars 2024) Google a rendu l'implémentation du [Consent Mode v2](https://www.flowconsent.com/fr/blog/consent-mode-basic-vs-advanced-lequel-choisir) obligatoire pour les annonceurs ciblant des utilisateurs dans l'EEE. Sans Consent Mode, les fonctionnalités de remarketing, de mesure des conversions et de création d'audiences sont limitées ou désactivées dans Google Ads. Cette obligation a forcé de nombreux sites à revoir leur implémentation technique du consentement. ### Sanctions CNIL record (2025-2026) La CNIL a intensifié ses contrôles et prononce des sanctions significatives. En septembre 2025, Google a été sanctionné à hauteur de 325 millions d'euros (publicités insérées sans consentement dans Gmail, cookies déposés sans accord à la création de compte) et Shein à 150 millions d'euros. En novembre 2025, Google a reçu une amende supplémentaire de 90 millions d'euros pour le dépôt automatique du cookie publicitaire NID avant l'affichage du bandeau de consentement. Pour les décisions antérieures et leurs enseignements, consultez notre récapitulatif des [sanctions de la CNIL liées aux cookies](https://www.flowconsent.com/fr/blog/sanctions-cnil-cookies-cas-reels). En janvier 2026, Free et Free Mobile ont été sanctionnés à hauteur de 42 millions d'euros au total pour des défauts de sécurisation des données personnelles. Ces sanctions rappellent que la conformité RGPD ne se limite pas aux cookies, mais englobe l'ensemble de la chaîne de traitement des données. ### Recommandations CNIL sur le consentement multi-terminaux (janvier 2026) La CNIL a publié ses recommandations finales sur le consentement multi-terminaux le 16 janvier 2026. Ces recommandations précisent les conditions dans lesquelles un consentement donné sur un appareil (par exemple un ordinateur) peut être étendu à d'autres appareils du même utilisateur (smartphone, tablette). Cette possibilité est encadrée par des conditions strictes d'identification et de transparence. ### Consultation CNIL sur le rejeu de session (février 2026) En février 2026, la CNIL a lancé une consultation publique sur un projet de recommandation relative au rejeu de session (session replay). Cette technologie, qui permet d'enregistrer et de rejouer les interactions d'un utilisateur sur un site (clics, défilements, saisies), soulève des questions spécifiques de consentement et de minimisation des données. Les outils d'enregistrement de sessions comme Hotjar sont directement concernés : consultez notre guide sur [Hotjar, les enregistrements de sessions et le RGPD](https://www.flowconsent.com/fr/blog/hotjar-cookies-rgpd-conformite). ### Contrôles automatisés de la CNIL La CNIL utilise désormais des robots pour détecter automatiquement les sites non conformes. Ces contrôles automatisés permettent de vérifier à grande échelle si les cookies sont déposés avant consentement, si le bouton Refuser est présent et si les [dark patterns](https://www.flowconsent.com/fr/blog/dark-patterns-cookies-cnil-interdit) sont utilisés. Les PME sont de plus en plus ciblées par ces contrôles, pas seulement les grands groupes. Pour repérer une régression avant un contrôle automatisé, FlowConsent propose une [surveillance continue de la conformité](https://www.flowconsent.com/fr/doc/compliance-monitoring) avec des scans hebdomadaires de pages représentatives. ## Ce qui arrive : le Digital Omnibus et l'avenir des cookies Le 19 novembre 2025, la Commission européenne a publié le "Digital Omnibus Package", un ensemble de propositions visant à simplifier le cadre réglementaire numérique européen. Ce texte propose des modifications au RGPD, à la directive ePrivacy, au Data Act et à la directive NIS2. ### Exemption de consentement pour la mesure d'audience Le Digital Omnibus propose que le consentement ne soit plus requis pour les cookies utilisés à des fins de mesure d'audience agrégée et de sécurité. Cette mesure vise à réduire le nombre de bannières cookies en exemptant les analytics first-party de l'obligation de consentement, sous réserve de conditions strictes (données agrégées, pas de partage avec des tiers). L'EDPB et l'EDPS soutiennent cet objectif dans leur avis conjoint 2/2026 du 11 février 2026. En attendant, notre [guide complet de l'analytics sans cookies](https://www.flowconsent.com/fr/blog/analytics-sans-cookies-guide-complet) présente les options qui limitent déjà le besoin de consentement. ### Interdiction de redemander le consentement pendant 6 mois Le Digital Omnibus prévoit qu'après un refus de consentement, le site ne pourra pas redemander le consentement pour la même finalité pendant au moins 6 mois. Cette mesure vise à lutter contre la "fatigue du consentement" qui pousse de nombreux utilisateurs à accepter les cookies par lassitude. ### Préférences de consentement au niveau du navigateur La proposition prévoit que les utilisateurs puissent paramétrer leurs préférences de consentement directement dans leur navigateur, et que les sites web respectent ces préférences via des mécanismes automatisés et lisibles par les machines. L'EDPB et l'EDPS soutiennent fortement cette approche, qui pourrait à terme réduire la dépendance aux bannières cookies. ### Intégration des règles cookies dans le RGPD Le Digital Omnibus propose d'intégrer certaines règles sur les cookies directement dans le RGPD (article 88a proposé), plutôt que de les laisser dans la directive ePrivacy. L'EDPB et l'EDPS ont exprimé des réserves sur cette approche, car le RGPD ne couvre que les données personnelles, alors que la directive ePrivacy protège toute information stockée sur le terminal de l'utilisateur, y compris les données non personnelles. Cette séparation pourrait créer de l'insécurité juridique. ### Où en est le processus législatif ? Le Digital Omnibus est en phase de consultation (clôturée le 15 mars 2026 pour le volet principal). Le texte doit encore être négocié par le Parlement européen et le Conseil de l'UE. L'adoption finale n'est pas attendue avant fin 2026 au plus tôt, et l'entrée en vigueur effective prendra probablement plusieurs années. Les règles actuelles restent donc pleinement applicables. ## Que faut-il faire concrètement en 2026 ? Les règles actuelles restent en vigueur. Le Digital Omnibus n'entrera pas en vigueur à court terme. Voici les actions prioritaires pour être conforme en 2026. Vérifiez que votre [bannière cookies](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide) est conforme aux exigences actuelles de la CNIL : bouton Refuser de premier niveau, même taille et même couleur que le bouton Accepter, pas de cookies déposés avant consentement, information claire sur les finalités. Implémentez le [Consent Mode v2](https://www.flowconsent.com/fr/blog/google-tag-manager-consent-mode-guide-integration) si vous utilisez des tags Google (GA4, Google Ads). Le mode basic est recommandé pour les utilisateurs dans l'EEE. Auditez régulièrement les cookies et traceurs de votre site. Les scripts tiers peuvent déposer des cookies à votre insu. Utilisez un [scanner de cookies](https://www.flowconsent.com/fr/scan) pour identifier les traceurs présents. Vérifiez que la [preuve de consentement](https://www.flowconsent.com/fr/blog/preuve-consentement-cookies-stocker-duree) est correctement stockée : qui a consenti, quand, à quoi, avec quelle version de la bannière. La durée de conservation recommandée est de 13 mois pour les cookies et de 25 mois pour les preuves. Documentez votre configuration dans votre registre des traitements. En cas de contrôle CNIL, vous devez pouvoir démontrer la conformité de votre implémentation. ## Erreurs fréquentes (et comment les éviter) **Croire que le Digital Omnibus change les règles dès maintenant.** Le texte est en phase de consultation et de négociation. Les règles actuelles (RGPD + ePrivacy + lignes directrices CNIL) restent pleinement applicables. Correction : ne relâchez pas votre conformité en anticipant des simplifications qui ne sont pas encore votées. **Ignorer les contrôles automatisés de la CNIL.** La CNIL utilise désormais des robots pour scanner les sites à grande échelle. Les PME sont ciblées autant que les grands groupes. Correction : vérifiez régulièrement votre conformité avec un audit de cookies. **Ne pas mettre à jour la bannière après l'ajout de nouveaux scripts.** Chaque nouveau traceur ajouté au site doit être intégré dans la bannière de consentement et bloqué par défaut. Correction : auditez les cookies à chaque modification du site et mettez à jour la configuration de votre CMP. **Confondre conformité cookies et conformité RGPD globale.** Les cookies ne sont qu'une partie du RGPD. La sécurité des données (article 32), les droits des personnes (accès, rectification, suppression), la gestion des sous-traitants et les analyses d'impact sont également des obligations. Correction : adoptez une approche globale de la conformité, pas uniquement centrée sur les cookies. **Se contenter d'une CMP par défaut sans la configurer.** Installer une CMP ne suffit pas. La configuration par défaut ne correspond pas toujours aux exigences de la CNIL (bouton Refuser manquant, scripts non bloqués avant consentement). Correction : [choisissez une CMP adaptée](https://www.flowconsent.com/fr/blog/choisir-cmp-plateforme-gestion-consentement) et configurez-la selon les recommandations CNIL. **Sous-estimer les montants des sanctions.** Les sanctions CNIL ne concernent pas que les GAFAM. En 2025, plus de 60 % des sanctions concernaient des PME. Les montants sont proportionnés au chiffre d'affaires, mais peuvent atteindre plusieurs dizaines de milliers d'euros même pour de petites structures. ## Checklist : conformité cookies et RGPD en 2026 1. La [bannière cookies](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide) est conforme CNIL : bouton Refuser de premier niveau, même taille et format que le bouton Accepter. 2. Aucun cookie non essentiel n'est déposé avant le consentement de l'utilisateur. 3. Les scripts tiers (analytics, publicité, réseaux sociaux) sont bloqués par défaut. 4. Le [Consent Mode v2](https://www.flowconsent.com/fr/blog/consent-mode-basic-vs-advanced-lequel-choisir) est implémenté pour les tags Google (mode basic recommandé pour l'EEE). 5. L'utilisateur peut retirer son consentement aussi facilement qu'il l'a donné. 6. La preuve de consentement est stockée (qui, quand, quoi, version de la bannière). 7. La durée de vie des cookies est limitée à 13 mois maximum. 8. Un [audit de cookies](https://www.flowconsent.com/fr/scan) est réalisé régulièrement (au minimum à chaque modification du site). 9. La politique de cookies est à jour et accessible depuis la bannière. 10. La configuration de la CMP est documentée dans le registre des traitements. 11. Les tags tiers (Facebook, LinkedIn, TikTok) sont bloqués séparément, pas uniquement via le Consent Mode. 12. Les recommandations CNIL sur le consentement multi-terminaux sont prises en compte si applicable. ## Conclusion Le cadre réglementaire des cookies et du RGPD en 2026 se caractérise par deux mouvements simultanés. D'un côté, les règles existantes sont appliquées avec plus de rigueur : contrôles automatisés, sanctions record, focus sur les dark patterns et le blocage effectif des scripts avant consentement. De l'autre, le Digital Omnibus propose des simplifications qui pourraient réduire la fatigue du consentement, notamment l'exemption de la mesure d'audience et les préférences de consentement au niveau du navigateur. Ces simplifications ne sont pas encore en vigueur. En attendant, la conformité aux règles actuelles reste la priorité. Les fondamentaux ne changent pas : consentement libre, éclairé et univoque, blocage des scripts avant consentement, bouton Refuser de premier niveau, preuve de consentement, audit régulier. Pour vérifier l'état de conformité de votre site et identifier les traceurs qui se chargent avant consentement, [lancez un scan gratuit avec FlowConsent](https://www.flowconsent.com/fr/scan). [Retour au blog](https://www.flowconsent.com/fr/blog) Partager l'article · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Frgpd-cookies-2026-ce-qui-change) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Frgpd-cookies-2026-ce-qui-change) Questions ## Questions fréquentes sur ce sujet. Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite. [Nous écrire](https://www.flowconsent.com/fr/demo) ### Le Digital Omnibus change-t-il les règles des cookies en 2026 ? Pas encore. Le Digital Omnibus est une proposition de la Commission européenne publiée en novembre 2025. Le texte est en phase de consultation et de négociation. Les règles actuelles (RGPD + directive ePrivacy + lignes directrices CNIL) restent pleinement applicables. L'adoption finale n'est pas attendue avant fin 2026 au plus tôt. ### Quelles sont les sanctions CNIL les plus récentes concernant les cookies ? En septembre 2025, Google a été sanctionné à 325 millions d'euros et Shein à 150 millions d'euros pour des manquements liés aux cookies et au consentement. En novembre 2025, Google a reçu une amende supplémentaire de 90 millions d'euros pour le dépôt du cookie NID avant consentement. En janvier 2026, Free et Free Mobile ont été sanctionnés à 42 millions d'euros pour des défauts de sécurisation des données. ### Le Consent Mode v2 est-il obligatoire en 2026 ? Oui. Depuis mars 2024, Google exige l'implémentation du Consent Mode v2 pour les annonceurs ciblant des utilisateurs dans l'Espace Économique Européen. Sans Consent Mode, les fonctionnalités de remarketing et de mesure des conversions sont limitées ou désactivées dans Google Ads. ### Le Digital Omnibus va-t-il supprimer les bannières cookies ? Non, mais il pourrait les réduire. La proposition prévoit des exemptions de consentement pour la mesure d'audience agrégée, des préférences de consentement au niveau du navigateur, et une interdiction de redemander le consentement pendant 6 mois après un refus. Ces mesures pourraient réduire le nombre de bannières, mais pas les supprimer entièrement. ### La CNIL contrôle-t-elle aussi les PME pour les cookies ? Oui. La CNIL utilise désormais des robots pour scanner les sites à grande échelle. En 2025, plus de 60 % des sanctions concernaient des PME. Les contrôles automatisés vérifient le dépôt de cookies avant consentement, la présence du bouton Refuser et l'utilisation de dark patterns. ### Qu'est-ce que le consentement multi-terminaux de la CNIL ? Les recommandations CNIL sur le consentement multi-terminaux, publiées en janvier 2026, précisent les conditions dans lesquelles un consentement donné sur un appareil peut être étendu à d'autres appareils du même utilisateur. Cette possibilité est encadrée par des conditions strictes d'identification et de transparence. À lire aussi ## Pour aller plus loin. [Tous les articles](https://www.flowconsent.com/fr/blog) [Réglementation · 1 avril 2026](https://www.flowconsent.com/fr/blog/digital-markets-act-dma-cookies-consentement) ### [Digital Markets Act et cookies : ce que ça change](https://www.flowconsent.com/fr/blog/digital-markets-act-dma-cookies-consentement) [Lire l'article ](https://www.flowconsent.com/fr/blog/digital-markets-act-dma-cookies-consentement)· [Réglementation · 17 mars 2026](https://www.flowconsent.com/fr/blog/sanctions-cnil-cookies-cas-reels) ### [Sanctions CNIL liées aux cookies : les cas réels à connaître](https://www.flowconsent.com/fr/blog/sanctions-cnil-cookies-cas-reels) [Google, Amazon, Shein, Apple, TikTok : la CNIL sanctionne régulièrement les manquements liés aux cookies. Panorama des cas publics et leçons à en tirer.](https://www.flowconsent.com/fr/blog/sanctions-cnil-cookies-cas-reels) [Lire l'article ](https://www.flowconsent.com/fr/blog/sanctions-cnil-cookies-cas-reels)· [Guides par plateforme · 24 octobre 2026](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd) ### [Bandeau cookies Framer : installer un consentement conforme au RGPD (2026)](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd) [Quand un site Framer a besoin d'un bandeau cookies, ce que contrôle vraiment le composant intégré de Framer, et comment installer et tester un bandeau qui bloque les scripts avant consentement.](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd) [Lire l'article](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd) ## Mettez votre site en conformité aujourd'hui. Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement. [Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)