Mesure d’audience et cookies : vers une simplification du RGPD ?

Le 21 octobre dernier, les États membres de l’Union européenne ont adopté leur position sur le Digital Omnibus, le projet de simplification du RGPD et des règles sur les cookies que la Commission a présenté il y a près d’un an. Leur texte supprimerait le consentement pour mesurer l’audience des sites et les résultats de campagnes publicitaires contextuelles. Explications…

Consentement aux cookies : les règles qui s’appliquent aujourd’hui aux sites B2B

En France, les cookies obéissent à un cadre fixé par une directive européenne de 2002 et précisé par la CNIL depuis 2019. Ce cadre s’applique aux sites B2B comme aux sites grand public. Il détermine les outils que les équipes marketing peuvent activer à l’arrivée d’un visiteur, et ceux dont l’activation reste conditionnée à son accord.

Cookies : un accord préalable obligatoire, même face à un public professionnel

L’article 82 de la loi Informatique et Libertés transpose en droit français l’article 5.3 de la directive 2002/58/CE, dite « ePrivacy ». Il oblige les éditeurs de sites à recueillir le consentement des internautes avant de déposer ou de lire des cookies et autres traceurs sur leur ordinateur, leur tablette ou leur téléphone.

Le texte prévoit toutefois deux exceptions :

• les traceurs qui servent uniquement à transmettre une communication ;
• et ceux qui sont strictement nécessaires au service en ligne que l’utilisateur a expressément demandé.

Ces règles valent pour tous les visiteurs, qu’ils naviguent à titre personnel ou pour le compte de leur entreprise. Dans le B2B, la prospection par email peut se faire sur le principe de l’opt-out, c’est-à-dire sans consentement préalable, sous conditions. Les cookies déposés sur le site de l’entreprise n’en bénéficient pas : ils exigent le consentement de chaque visiteur, professionnel ou non.

Bandeau cookies : ce que la CNIL exige depuis 2021

La CNIL a précisé la façon de recueillir le consentement dans une série de lignes directrices et une recommandation publiées le 29 septembre 2020. Les sites ont dû s’y conformer à partir du 31 mars 2021. Ils doivent depuis :

• considérer que l’internaute qui continue à naviguer refuse les cookies, puisque la poursuite de la navigation n’est pas un acte positif ;
• permettre de refuser les cookies aussi facilement que de les accepter, la CNIL recommandant pour cela de proposer un bouton « tout refuser » en plus du bouton « tout accepter » ;
• respecter le choix de l’internaute pendant la même durée, qu’il ait accepté ou refusé. La CNIL recommande de fixer cette durée à six mois, mais elle précise qu’il s’agit d’une bonne pratique qui peut s’apprécier au cas par cas, selon la nature du site.

Cookies exemptés ou soumis au consentement : comment classer les traceurs d’un site B2B ?

Les équipes marketing doivent répartir les traceurs de leur site en deux catégories :

• les traceurs exemptés de consentement, comme les cookies de panier, de session ou de mémorisation du choix exprimé dans le bandeau, et les outils de mesure d’audience qui respectent les conditions de la CNIL ;
• les traceurs soumis au consentement, qui regroupent les cookies publicitaires, de remarketing, de réseaux sociaux et de personnalisation avancée, dont l’Insight Tag de LinkedIn et le pixel de Meta. Google Analytics en configuration standard en fait également partie.

Pour être exempté de consentement, l’outil de mesure d’audience ne doit servir qu’à mesurer l’audience pour le compte de l’éditeur du site, sans croiser les données avec d’autres traitements, sans les transmettre à des tiers et sans suivre l’internaute sur d’autres sites. Les cookies ne doivent pas « vivre » plus de 13 mois, et les données collectées ne peuvent pas être conservées plus de 25 mois.

Jusqu’à fin 2025, la CNIL publiait la liste des solutions de mesure d’audience qu’elle avait évaluées. Cette liste a été supprimée le 1^er janvier 2026 et a été remplacée par un outil d’auto-évaluation. Chaque entreprise doit désormais prouver elle-même que son outil remplit les conditions de l’exemption, avec les réglages qu’elle a choisis.

Notons enfin que la CNIL contrôle de très près le reciblage publicitaire. Le 4 mars 2026, le Conseil d’État a par exemple définitivement validé l’amende de 40 millions d’euros infligée à Criteo, qui ne pouvait pas prouver avoir obtenu un consentement valable pour ses cookies de reciblage.

Digital Omnibus : ce qui pourrait changer dans le consentement aux cookies

Le 19 novembre 2025, la Commission européenne a présenté le Digital Omnibus, un ensemble de textes destiné à simplifier le RGPD et l’AI Act. Le volet consacré à l’IA est déjà adopté, mais celui qui touche au RGPD et aux cookies reste encore au stade de proposition.

Le 21 octobre 2026, les États membres ont donc arrêté leur position sur ce second volet, et elle s’écarte sur plusieurs points de la proposition de la Commission.

Proposition de la Commission : intégrer les règles sur les cookies au RGPD

La Commission propose de transférer les règles sur les traceurs dans le RGPD, en créant deux articles, le 88a et le 88b.

L’article 88a fixe une liste fermée de cas où le consentement n’est pas nécessaire :

• la transmission d’une communication ;
• le service que l’utilisateur a expressément demandé ;
• la mesure d’audience agrégée, réalisée par l’éditeur du site pour son propre usage ;
• et la sécurité du service ou de l’appareil.

Pour tous les autres traceurs, le texte impose de pouvoir accepter ou refuser en un clic, et interdit aux sites de redemander le même consentement pendant au moins six mois.

L’article 88b va plus loin : l’internaute pourrait régler ses préférences une seule fois, dans son navigateur, et les sites devraient lire ces signaux et appliquer ses choix automatiquement, sans qu’il ait à cliquer sur le bandeau à chaque visite.

Position du Conseil : plus d’exemptions, mais sans signal automatique du navigateur

Le texte, adopté par le Coreper, qui réunit les ambassadeurs des États membres, est une position de négociation. Les États membres gardent les règles sur les cookies dans la directive ePrivacy, qu’ils modifient sur quelques points précis, et ne reprennent pas l’idée du signal de consentement envoyé par le navigateur.

La liste des cas dispensés de consentement s’allonge dans cette proposition, à condition que le traitement soit strictement nécessaire à la finalité visée :

• la transmission des communications et le service que l’utilisateur a expressément demandé ;
• la mesure d’audience de l’éditeur pour son propre site, limitée à des données anonymes et agrégées, qui ne sont ni partagées avec des tiers ni croisées avec des données tierces ;
• la mesure d’audience des médias prévue par le règlement européen sur la liberté des médias, avec des données pseudonymisées après leur collecte ;
• la sécurité technique ;
• et la mesure de l’affichage et des performances de la publicité contextuelle, fondée uniquement sur le contenu de la page consultée ou sur une seule requête de recherche, sans profilage et avec des données pseudonymisées.

Le refus en un clic reste prévu, mais le délai avant de pouvoir redemander le consentement passe à quatre mois, contre six dans l’article 88a de la Commission.

Mesure d’audience, reciblage et données partagées : ce qui changerait pour le marketing B2B

Le texte du Conseil assouplit surtout les règles de mesure et d’attribution, un sujet épineux pour le marketing. Les outils de statistiques de fréquentation et la mesure des campagnes contextuelles pourraient fonctionner sans consentement, sans toutefois toucher au ciblage comportemental et au suivi des internautes d’un site à l’autre, qui resteraient soumis au consentement.

Si la proposition du Conseil venait à être acceptée, les équipes marketing B2B devraient constater les changements suivants :

• la mesure d’audience sans consentement, que la CNIL autorise déjà sous conditions, serait inscrite dans le droit européen ;
• leurs sites pourraient reposer plus tôt la question du consentement aux visiteurs qui ont préalablement refusé ;
• une donnée pseudonymisée ne serait plus une donnée personnelle pour un tiers incapable d’identifier la personne, mais elle le redeviendrait dès sa transmission à un destinataire qui dispose de moyens raisonnables de la réidentifier. Ce point concerne directement les données échangées avec des partenaires publicitaires ou des fournisseurs de données.

Les États membres refusent en revanche de modifier la définition des données personnelles. La Commission voulait une définition relative, qui dépende des moyens dont dispose chaque entité pour identifier une personne : le Conseil l’a supprimée, sous la pression des autorités de protection des données et d’une partie des juristes.

Digital Omnibus : les prochaines étapes du calendrier

Les États membres ont arrêté leur position le 21 octobre. Les négociations ne pourront cependant commencer qu’une fois que le Parlement européen aura adopté la sienne. Elles prendront la forme de trilogues, des réunions entre le Parlement, le Conseil et la Commission.

Au Parlement, le dossier a été confié conjointement aux commissions de l’Industrie (ITRE) et des Libertés civiles (LIBE). Leurs rapporteurs, Aura Salla et Marina Kaljurand, ont été nommés le 25 février 2026.

Le texte a déjà fait l’objet de plus de 1 000 amendements, et le vote en commission est attendu début 2027. Le Conseil européen avait pourtant demandé un accord sur tous les omnibus avant la fin 2026. Plusieurs étapes restent à franchir :

• le vote des commissions ITRE et LIBE, puis celui du Parlement en séance plénière ;
• les trilogues entre le Parlement, le Conseil et la Commission ;
• et l’adoption du texte final par le Parlement et le Conseil, avant sa publication au Journal officiel de l’Union européenne.

Une fois publié, le règlement entrerait en vigueur trois jours plus tard, mais une grande partie de ses mesures ne s’appliquerait qu’au bout de 6, 24 ou 48 mois. Dans la version du Conseil, les règles sur les cookies restent dans la directive ePrivacy. Chaque État membre disposerait alors de 24 mois pour les transposer dans son droit national, ce qui passerait en France par une modification de l’article 82 de la loi Informatique et Libertés.

D’ici là, la recommandation de la CNIL reste la référence en France. Si le texte final reprend l’approche du Conseil et qu’il est adopté en 2027, les nouvelles règles sur les cookies ne s’appliqueraient donc pas en France avant 2029.