En bref : la directive ePrivacy interdit de déposer ou de lire un cookie, ou tout autre traceur, sur le terminal d'un internaute sans son consentement préalable, sauf s'il est strictement nécessaire au service demandé. Elle concerne tous les sites et applications accessibles depuis l'Union européenne, à travers la loi de chaque État membre. En cas de manquement, ce sont les autorités nationales qui sanctionnent, comme la CNIL avec ses amendes de plusieurs centaines de millions d'euros.
Directive ePrivacy : de quoi parle-t-on ?
La directive ePrivacy est la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques. Les États membres devaient la transposer avant le 31 octobre 2003.
La règle qui intéresse les sites web figure à l'article 5, paragraphe 3. Dans sa rédaction issue de la directive 2009/136/CE du 25 novembre 2009, elle pose que le stockage d'informations, ou l'accès à des informations déjà stockées, dans l'équipement terminal d'un utilisateur n'est permis qu'à condition que cet utilisateur ait donné son consentement, après avoir reçu une information claire et complète, notamment sur les finalités. C'est cette révision de 2009 qui a fait passer l'Europe d'un simple droit d'opposition à un régime de consentement préalable.
Contrairement au RGPD, une directive n'est pas directement applicable. Chaque pays l'a transposée dans sa loi :
- en France, à l'article 82 de la loi Informatique et Libertés ;
- en Allemagne, au § 25 du TDDDG ;
- en Espagne, à l'article 22.2 de la LSSI.
Les principes sont communs, mais les autorités, les procédures et les montants de sanction varient d'un pays à l'autre. Pour un site qui vise plusieurs marchés européens, la bonne pratique est de s'aligner sur le niveau d'exigence le plus élevé.
Où en est le règlement ePrivacy ? La Commission avait proposé en 2017 un règlement destiné à remplacer la directive. Dans les annexes de son programme de travail 2025, elle l'a inscrit parmi les propositions retirées, en relevant qu'aucun accord n'était attendu entre les colégislateurs et que le texte était dépassé. La directive reste donc la référence en 2026. Des pistes de simplification des règles cookies sont discutées au niveau européen, mais tant qu'un texte n'est pas adopté et applicable, rien ne change pour votre bandeau. Notre article sur le règlement ePrivacy et ce qui change pour les cookies suit ce dossier.
Qui est concerné ?
L'article 5(3) vise toute personne qui stocke ou lit une information sur le terminal d'un utilisateur. En pratique :
- tous les éditeurs de sites web qui déposent des cookies ou intègrent des services tiers qui en déposent (analyse, publicité, vidéos, réseaux sociaux, chat) ;
- les applications mobiles qui accèdent à des identifiants de l'appareil ;
- les fournisseurs de technologies publicitaires qui lisent des informations sur le terminal ;
- les entreprises hors UE dont les sites sont consultés depuis l'Europe et qui déposent des traceurs sur des terminaux situés dans l'Union.
Point important : la règle protège le terminal, pas seulement les données personnelles. La CJUE l'a confirmé dans l'arrêt Planet49 du 1er octobre 2019 : que les informations stockées ou consultées constituent ou non des données à caractère personnel n'influe pas sur l'exigence de consentement. Un cookie « anonyme » non essentiel reste soumis au consentement.
Le champ technique est large. Dans ses lignes directrices 2/2023, dont la version finale a été adoptée le 7 octobre 2024, le comité européen de la protection des données (EDPB) précise la portée technique de l'article 5(3), au-delà des seuls cookies. Il y analyse notamment le suivi par URL et par pixel, le traitement local sur l'appareil, le suivi fondé sur la seule adresse IP, les remontées d'objets connectés et les identifiants uniques.
Ce que la directive ePrivacy impose pour les cookies et le consentement
La règle : consentement préalable
Avant tout dépôt ou toute lecture d'un traceur non essentiel, l'utilisateur doit avoir consenti. La directive renvoie aux règles générales de protection des données pour définir ce consentement : depuis 2018, c'est donc le consentement au sens du RGPD, libre, spécifique, éclairé et univoque, exprimé par un acte positif clair. La CJUE a jugé dans Planet49 qu'une case cochée par défaut ne suffit pas.
Les deux exemptions
Le texte ne prévoit que deux cas dans lesquels le consentement n'est pas requis :
- le stockage ou l'accès dont la seule finalité est de permettre la transmission d'une communication sur un réseau ;
- le stockage ou l'accès strictement nécessaire pour fournir un service de la société de l'information expressément demandé par l'utilisateur.
Entrent typiquement dans la deuxième catégorie : le cookie de session, le panier d'achat, l'authentification, la mémorisation du choix de cookies lui-même, l'équilibrage de charge. En France, la CNIL admet aussi, sous conditions strictes, certains traceurs de mesure d'audience : finalité limitée à la mesure d'audience du site, durée de vie de 13 mois au plus sans prorogation automatique, données conservées 25 mois au maximum. Pour mesurer sans bandeau, voyez notre guide analytics sans cookies.
Information, retrait et preuve
Le consentement n'est valable que si l'information est « claire et complète » sur les finalités. Le RGPD, auquel la directive renvoie, ajoute :
- le retrait à tout moment, aussi simple que le consentement lui-même ;
- la preuve : le responsable doit pouvoir démontrer que le consentement a été donné ;
- la spécificité : un consentement par finalité, pas un accord global.
La directive ne fixe pas de durée de validité du choix. Ce sont les autorités nationales qui donnent des repères : la CNIL considère par exemple qu'une conservation des choix pendant 6 mois constitue généralement une bonne pratique.
Le bandeau de cookies conforme à la directive ePrivacy
La directive ne décrit pas de bandeau, mais ses exigences se traduisent en règles d'interface communes à la plupart des autorités européennes :
- un choix préalable : aucun traceur non essentiel avant le clic ;
- un bouton Accepter et un bouton Refuser présentés de manière équilibrée ;
- une information par finalité, avec accès au détail des partenaires ;
- un moyen permanent de revenir sur son choix ;
- aucun consentement implicite : ni défilement, ni poursuite de la navigation, ni case précochée.
Les dark patterns les plus sanctionnés sont les boutons de refus cachés ou moins visibles, les parcours de refus plus longs que l'acceptation et les traceurs déclenchés malgré un refus. Notre guide du bandeau cookies conforme détaille chaque élément, et l'article faut-il un bandeau cookies sur votre site ? vous aide à savoir si vous en avez besoin.
Sanctions et contrôles
Qui contrôle ? La directive laisse chaque État membre désigner l'autorité compétente. En France, c'est la CNIL ; en Espagne, l'AEPD ; en Allemagne, les autorités de protection des données.
Quel plafond ? L'article 15 bis demande aux États de prévoir des sanctions « effectives, proportionnées et dissuasives », éventuellement pénales. Le montant dépend donc de la loi nationale. En France, c'est la formation restreinte de la CNIL qui sanctionne les manquements à l'article 82 : ses amendes de 325 et 150 millions d'euros prononcées en septembre 2025 contre Google et SHEIN donnent l'ordre de grandeur possible pour les acteurs à forte audience.
Trois décisions réelles illustrent l'application de la règle :
- SHEIN, 150 millions d'euros (CNIL, 1er septembre 2025) : traceurs publicitaires déposés dès l'arrivée sur le site, avant toute interaction avec le bandeau, bandeaux incomplets et choix des utilisateurs non respecté, sur le fondement de l'article 82.
- Vodafone España, 20 000 euros (AEPD, 28 avril 2023) : l'autorité espagnole a sanctionné l'utilisation de cookies non nécessaires sans consentement préalable, en violation de l'article 22.2 de la LSSI. Le recours de l'entreprise a été rejeté.
- Planet49 (CJUE, 1er octobre 2019) : la case précochée ne vaut pas consentement, et la règle s'applique même si les informations ne sont pas des données personnelles.
D'autres cas français sont analysés dans notre article sur les sanctions CNIL liées aux cookies.
Checklist de conformité
- Listez tous les accès au terminal : cookies, stockage local, pixels, scripts tiers.
- Isolez les traceurs strictement nécessaires au service demandé, les seuls exemptés.
- Vérifiez les règles du pays visé (France, Allemagne, Espagne) si vous ciblez plusieurs marchés.
- Bloquez les scripts non essentiels jusqu'au consentement.
- Affichez Accepter et Refuser de façon équilibrée, avec un paramétrage par finalité.
- Supprimez tout consentement implicite (défilement, cases précochées).
- Permettez le retrait à tout moment via un lien ou une icône permanente.
- Conservez la preuve de chaque choix.
- Réauditez régulièrement : chaque nouveau tag ou plugin peut réintroduire un traceur non déclaré.
Comment FlowConsent vous aide à respecter la directive ePrivacy
FlowConsent applique la logique de l'article 5(3) par défaut : les scripts tiers sont bloqués avant le consentement, puis libérés finalité par finalité selon le choix du visiteur. Le bandeau propose Accepter et Refuser au même niveau, un panneau de paramétrage et un rappel permanent pour modifier son choix. Le scan automatique identifie les traceurs présents sur vos pages, et la documentation sur les services et bases légales vous aide à distinguer ce qui est exempté de ce qui ne l'est pas. Chaque choix est enregistré en preuve de consentement exportable, et l'outil est hébergé en Europe.
Lancez notre scanner gratuit pour voir ce que votre site dépose avant consentement, puis créez votre compte : gratuit jusqu'à 25 000 sessions par mois, installation en une dizaine de minutes.
Pour aller plus loin
La directive ePrivacy est la règle de base, mais son application concrète dépend du pays, de l'outil et de l'évolution des textes européens. Les articles suivants expliquent le fonctionnement des cookies, le cas où un bandeau est obligatoire et la manière de mesurer votre audience sans consentement.