Digital Omnibus : la fin des bannières cookies n'aura pas lieu

Depuis huit mois, un titre revient régulièrement : l'Europe s'apprêterait à supprimer les bannières cookies. La disposition qui portait cette promesse a été retirée de la position du Conseil le 18 juin 2026. Voici l'état réel du dossier, ce qui subsiste, et ce qu'il faut en conclure pour un site en production.

Article à jour au 25 juillet 2026. Le dossier évolue ; nous le mettrons à jour au fil des étapes.

D'où vient cette réforme

Le règlement ePrivacy, en négociation depuis 2017, a été formellement retiré par la Commission en février 2025, faute d'accord entre colégislateurs. Les règles sur les traceurs sont donc restées régies par la directive ePrivacy de 2002, transposée en France à l'article 82 de la loi Informatique et Libertés.

Le 19 novembre 2025, la Commission a présenté le paquet Digital Omnibus, qui propose notamment de rapatrier les règles relatives aux cookies dans le RGPD lui-même. Le paquet est scindé en deux textes : un volet intelligence artificielle, et un volet données et vie privée dont relèvent les cookies.

Le premier a avancé vite — un accord provisoire a été trouvé dans la nuit du 6 au 7 mai 2026 sur la simplification du règlement IA. Le second progresse plus lentement, les États membres étant divisés sur toute modification du RGPD.

Le signal navigateur, et son retrait

La disposition la plus commentée prévoyait un mécanisme de préférences exprimées une fois pour toutes dans le navigateur, que les sites auraient été légalement tenus de respecter. C'est elle qui a nourri les titres sur la disparition des pop-ups.

Le Conseil l'a supprimée de sa position adoptée le 18 juin 2026. L'Allemagne, la France et la Pologne figuraient parmi les États favorables au retrait. L'association noyb attribue ce revirement au lobbying du secteur publicitaire et fait état d'un document déposé par Google en ce sens.

Le Parlement européen ne s'est pas encore prononcé, et les négociations avec le Conseil se poursuivent — les trilogues étaient attendus sous présidence irlandaise à partir du 1er juillet 2026. noyb appelle le Parlement à réintroduire la disposition. Rien n'est donc définitivement tranché, mais le scénario d'une suppression rapide des bannières s'est nettement éloigné.

Ce qui reste sur la table

Le volet cookies ne se réduit pas à cette disposition. D'autres pistes restent en discussion :

• Des exemptions élargies pour certains traceurs jugés à faible risque — mesure d'audience, sécurité, statistiques agrégées — qui ne nécessiteraient plus de consentement explicite ;
• Une durée de validité minimale des choix, pour éviter qu'un refus ne soit redemandé à chaque visite ;
• L'intégration au RGPD des règles aujourd'hui portées par la directive ePrivacy, avec l'harmonisation que cela suppose entre États membres.

À cela s'ajoute un texte distinct mais convergent : le Digital Fairness Act, attendu au quatrième trimestre 2026, qui vise les interfaces trompeuses. Les bannières cookies déséquilibrées y sont explicitement citées comme exemple de dark pattern. Une étude de la Commission relevait en 2022 que 97 % des sites et applications les plus utilisés dans l'Union recouraient à au moins un procédé de ce type.

La direction générale est donc double, et souvent mal lue : moins de bannières inutiles d'un côté, davantage d'exigences sur celles qui subsistent de l'autre.

Ce que cela change pour votre site : rien, aujourd'hui

Il faut le dire nettement, parce que la confusion est répandue :

• Aucune règle n'a changé. L'article 82 s'applique dans les mêmes termes qu'en 2025, et les recommandations de la CNIL restent la référence.
• Les contrôles se poursuivent. Plus d'un quart des sanctions prononcées par la CNIL concernent les cookies : dépôt sans consentement, information insuffisante, refus non pris en compte.
• Le calendrier est long. Même dans l'hypothèse d'une adoption fin 2026, il faudrait compter une entrée en application ultérieure et une période de mise en conformité. 2027 au plus tôt, et sur un texte dont le contenu final reste ouvert.

Retarder sa mise en conformité en attendant la réforme est donc un pari perdant : le risque est immédiat, le bénéfice hypothétique et lointain.

L'enseignement de fond

Ce retrait dit quelque chose d'utile sur la période. L'idée d'un signal unique respecté par tous est populaire auprès des internautes, soutenue par les associations de défense de la vie privée, et techniquement disponible depuis des années — mais elle se heurte à des intérêts économiques considérables. Elle n'aboutira pas par la loi à court terme.

Ce qui laisse une place au volontariat. Le Global Privacy Control existe, il est émis par des millions de navigateurs, et rien n'empêche un éditeur de le respecter dès maintenant. Consenteer le fait par défaut, dans toutes les formules — non parce qu'un texte l'impose, mais parce qu'un refus exprimé reste un refus, quel que soit le canal par lequel il est exprimé.

Le meilleur positionnement, en attendant que l'Europe tranche, est celui-là : ne pas attendre.