L’omnibus numérique est la proposition de la Commission européenne COM(2025) 837 du 19 novembre 2025, qui simplifie les règles de l’Union en matière de données, de vie privée et de cybersécurité, cookies compris. Le 21 octobre 2026, le Conseil de l’UE a adopté son mandat de négociation et s’est écarté de la Commission sur un point qui concerne presque tous les sites web. Les cookies resteraient régis par la directive ePrivacy, et non par le RGPD, et les cas où le consentement n’est pas nécessaire seraient élargis. Rien de tout cela n’est encore du droit applicable. Le Parlement européen doit encore adopter sa position et négocier avec le Conseil. En attendant, l’Espagne applique l’article 22.2 de sa loi sur les services de la société de l’information (LSSI), tel que l’interprète l’Agence espagnole de protection des données (AEPD).
Si vous avez besoin d’un conseil juridique en droit du numérique pour vos cookies et vos mentions légales, demandez une évaluation initiale gratuite.
Le Conseil maintient les cookies et les autres technologies de traçage dans la directive ePrivacy et ajoute des finalités pour lesquelles le consentement ne sera pas requis. C’est ce qu’indique le communiqué du Conseil de l’UE du 21 octobre 2026 (en anglais), qui donne trois exemples. Ce sont les cookies nécessaires à la fourniture du service, la mesure d’audience et la sécurité de l’appareil de l’utilisateur. L’objectif affiché est de réduire le nombre de bandeaux de cookies.
Le mandat est la position avec laquelle le Conseil négociera. La présidence irlandaise ouvrira les discussions avec le Parlement européen dès que celui-ci aura adopté la sienne. Le texte du Conseil a été publié le 22 octobre 2026 sous le numéro de document 14756/26. Chacun de ses points peut encore changer avant l’accord final.
Le mandat va plus loin. Il conserve la définition actuelle de la donnée à caractère personnel, soutient l’allongement du délai de notification des violations de données et remplace le guichet unique européen de notification des incidents par un point d’entrée national dans chaque État membre. Nous présentons l’ensemble du dossier dans notre analyse de l’omnibus numérique et du RGPD.
La Commission proposait de sortir les cookies de la directive ePrivacy pour les intégrer au RGPD, avec un nouvel article 88 bis, lorsque l’information stockée est une donnée à caractère personnel. Le Conseil refuse ce transfert et conserve le régime actuel de l’article 5, paragraphe 3, de la directive, mis à jour avec une liste fermée de finalités exemptées.
| Point | Proposition de la Commission (19/11/2025) | Mandat du Conseil (21/10/2026) |
|---|---|---|
| Où sont régis les cookies | Dans le RGPD, lorsqu’il s’agit de données personnelles | Dans la directive ePrivacy, comme aujourd’hui |
| Cookies sans consentement | Liste fermée dans le RGPD (transmission, service demandé, mesure d’audience propre et sécurité) | Liste fermée dans la directive, avec notamment le service demandé, la mesure d’audience et la sécurité de l’appareil |
| Refus et nouvelle demande | Refus en un clic et six mois avant de redemander | Également encadré, avec des modifications, et laissé à la négociation |
| Signaux automatiques du navigateur | Obligation de les respecter | Traités avec des modifications, encore à négocier |
| Statut | Proposition | Position de négociation, sans celle du Parlement |
La différence a un effet pratique en Espagne. La directive ePrivacy y est appliquée par la loi 34/2002 sur les services de la société de l’information (LSSI). Si les cookies restent dans la directive, le changement arrivera probablement par une réforme de la LSSI, et non directement comme ce serait le cas avec un article du RGPD.
Le mandat fixe une liste limitée de finalités qui ne requièrent pas de consentement, et ses considérants expliquent chacune d’elles. La règle générale ne change pas. Stocker des informations sur l’appareil de l’utilisateur, ou accéder à celles qui s’y trouvent déjà, exige toujours son consentement en dehors de ces cas.
Le consentement ne sera pas nécessaire lorsque le cookie est indispensable pour fournir un service que l’utilisateur a expressément demandé. Les considérants donnent deux exemples, mémoriser la langue choisie et conserver les articles du panier. Cette exception existe déjà aujourd’hui, avec une rédaction plus claire.
La mesure d’audience pourra se faire sans consentement à condition que les données ne soient pas utilisées à une autre fin. C’est le changement que la plupart des sites remarqueront, car les outils d’analyse sont la raison la plus fréquente du bandeau.
L’Espagne admet déjà quelque chose de semblable. En janvier 2024, l’AEPD a publié son guide sur l’usage des cookies pour les outils de mesure d’audience (en espagnol), qui exempte de consentement les cookies d’analyse remplissant six conditions à la fois. Ils doivent se limiter à mesurer l’audience du site lui-même, produire uniquement des statistiques anonymes pour l’éditeur et ne pas être recoupés avec d’autres traitements. Les données ne peuvent pas être transmises à des tiers, il ne peut y avoir ni suivi entre sites ni identifiant partagé, et le fournisseur ne peut pas réutiliser les données pour ses propres fins. Le cookie dure treize mois au maximum et les données sont conservées vingt-cinq mois.
Les cookies et accès qui maintiennent ou rétablissent la sécurité de l’appareil, comme les mises à jour de sécurité, ne nécessiteront pas non plus de consentement. Les considérants limitent cette exception au strict nécessaire et rappellent que l’utilisateur peut désactiver l’installation automatique des mises à jour.
Aujourd’hui, un site ne peut déposer des cookies non exemptés que si l’utilisateur y consent après avoir reçu une information claire et complète sur leur usage et leurs finalités. C’est l’article 22.2 de la LSSI. Sont exclus le stockage technique servant à transmettre une communication et celui strictement nécessaire à un service expressément demandé par l’utilisateur.
Le Guide de l’AEPD sur l’usage des cookies, dans sa version de mai 2024, précise comment recueillir ce consentement. L’option de refus doit figurer dans la même couche, au même niveau et avec la même visibilité que l’option d’acceptation. À titre de bonne pratique, l’AEPD recommande de ne pas conserver la validité d’un consentement au-delà de vingt-quatre mois.
Déposer des cookies sans informer l’utilisateur ou sans le consentement exigé par l’article 22.2 constitue une infraction légère au sens de l’article 38.4.g de la LSSI. L’amende peut atteindre 30 000 euros selon l’article 39.1.c de la même loi.
Il n’y a pas de date. Le Parlement européen n’a pas encore adopté sa position sur l’omnibus numérique, et la négociation avec le Conseil ne peut pas commencer sans elle. Après un accord, le texte devra être adopté, publié au Journal officiel de l’UE et, pour ce qui modifie la directive ePrivacy, transposé en droit espagnol.
Les présidents du Conseil, du Parlement et de la Commission ont signé le 24 avril 2026 la feuille de route « One Europe, One Market ». Son objectif est de conclure tous les paquets de simplification d’ici la fin de 2027. C’est un objectif politique, pas un délai juridique. Tant que le changement n’est pas publié, la LSSI et les critères de l’AEPD s’appliquent pleinement.
Une boutique en ligne fictive de Bilbao, Lumen Hogar, vend des lampes et utilise un outil d’analyse qui exploite aussi les données pour ses propres fins publicitaires. En octobre, elle lit que le Conseil veut exempter la mesure d’audience du consentement et envisage de retirer ces cookies de son bandeau.
Elle ne le peut pas. Aujourd’hui, l’exemption de l’AEPD exige que le fournisseur ne réutilise pas les données, et le mandat du Conseil subordonne lui aussi l’exemption à l’absence d’utilisation des données à une autre fin. Lumen Hogar maintient donc ces cookies sous consentement. Elle compare en revanche son outil avec un outil de mesure qui remplit les six conditions du guide de janvier 2024. Si elle en change, elle peut l’exempter dès maintenant, signer le contrat de sous-traitance de l’article 28 du RGPD et être prête pour la règle européenne, quelle que soit sa forme finale.
Aucun changement de l’omnibus n’est encore obligatoire, mais certains ajustements sont utiles avec la loi actuelle comme avec la future.
Dans une boutique en ligne, les cookies croisent les autres obligations de protection des données, comme nous l’expliquons dans notre article sur le RGPD pour une boutique en ligne. La politique de cookies fait aussi partie des mentions légales et CGV d’une boutique en ligne.
Pas complètement. Le mandat du Conseil du 21 octobre 2026 élargit les cas où le consentement n’est pas nécessaire, comme la mesure d’audience ou la sécurité de l’appareil, ce qui permettra à certains sites de simplifier leur bandeau. Les cookies publicitaires et ceux partagés avec des tiers resteront soumis au consentement, et le changement n’est pas encore adopté.
Aujourd’hui, seulement s’ils remplissent les conditions du guide de l’AEPD de janvier 2024. Ils doivent se limiter à mesurer l’audience de votre site, produire des statistiques anonymes, ne pas être partagés ni recoupés avec d’autres données et ne pas permettre de suivi entre sites. Le fournisseur ne peut pas réutiliser les données. Si votre outil ne remplit pas une condition, le consentement est nécessaire.
Ils n’ont pas de date. Le Conseil a fixé sa position le 21 octobre 2026, mais il manque celle du Parlement européen et la négociation entre les deux. Le texte devra ensuite être publié et, comme les cookies resteraient dans la directive ePrivacy, l’Espagne devrait le transposer dans la LSSI. D’ici là, l’article 22.2 de la LSSI et le guide de l’AEPD s’appliquent.
Jusqu’à 30 000 euros. Déposer des cookies sans informer l’utilisateur ou sans le consentement exigé par l’article 22.2 de la LSSI est une infraction légère de l’article 38.4.g de cette loi. L’article 39.1.c sanctionne les infractions légères d’une amende pouvant atteindre 30 000 euros. C’est l’AEPD qui inflige ces sanctions.
Par l’endroit où les cookies sont régis. La Commission proposait de les intégrer au RGPD lorsqu’il s’agit de données personnelles, avec un nouvel article 88 bis. Le Conseil préfère les laisser dans la directive ePrivacy, comme aujourd’hui, et y élargir la liste des finalités exemptées de consentement. Les deux versions exemptent la mesure d’audience et la sécurité, à des conditions différentes.
Les cookies sont la partie de l’omnibus numérique que la plupart des sites remarqueront, et aussi celle qu’il est le plus facile d’anticiper à tort. Le plus raisonnable aujourd’hui est de classer les cookies par finalité, d’aligner l’outil d’analyse sur ce que l’AEPD permet déjà et de préparer le bandeau à être simplifié lorsque la règle européenne sera adoptée. Chez Innovatech, nous revoyons cookies, bandeaux et mentions légales dans le cadre de notre conseil juridique en droit du numérique. Présentez-nous votre situation et nous vous proposerons une évaluation initiale gratuite.
Marta Suárez-Mansilla est associée gérante d'Innovatech Legal et abogada inscrite à l'ICAM (Ilustre Colegio de la Abogacía de Madrid), active en droit des technologies. Elle a suivi le cours Copyright de la Harvard Law School et le programme Blockchain de BerkeleyX, et conseille des entreprises technologiques depuis plus de huit ans.