Proposition européenne sur le consentement aux cookies

Points clés

• Le Conseil propose un refus en un clic ou équivalent, et un délai d'au moins quatre mois avant de solliciter à nouveau le consentement pour une même finalité après un refus. [2]
• Les exceptions proposées pour la mesure d'audience sont soumises à conditions ; elles n'exemptent pas tous les outils d'analyse ou de publicité. [2]
• La Data Protection Commission (DPC) irlandaise continue de soutenir que les cookies analytiques nécessitent un consentement. Les entreprises doivent tester leur conformité actuelle plutôt que d'anticiper l'application d'une proposition. [3][4]

Ce que dit réellement la proposition des quatre mois

Le mandat du Conseil, publié avec l'annonce mise à jour le 22 octobre, permettrait aux utilisateurs de refuser une demande de consentement de manière simple et intelligible via un bouton en un clic ou un moyen équivalent. En cas de refus, le fournisseur ne devrait pas solliciter à nouveau le consentement pour la même finalité pendant au moins quatre mois. Lorsqu'un consentement est donné, il ne devrait pas être redemandé pour cette finalité durant la période où il peut être légalement invoqué. [2]

Les détails comptent. Il ne s'agit pas d'une date d'expiration universelle de quatre mois pour chaque cookie. Cela ne signifie pas non plus qu'un site web peut ignorer un changement ultérieur de préférence. Cela concerne les demandes répétées pour une même finalité. Le mandat prévoit également une période de mise en œuvre nationale ultérieure ; personne ne devrait décrire l'annonce d'octobre comme un changement immédiat du droit irlandais. [2]

Un cookie est une petite information stockée sur un appareil. Certains supportent des fonctions réellement demandées par une personne ; d'autres aident à mesurer l'activité ou à cibler la publicité. Qualifier toutes ces fonctions d'« essentielles » parce qu'elles sont utiles à une entreprise ne rend pas cette classification correcte pour autant. [4]

Une main tient un téléphone à côté d'une tasse de café ; l'écran est illisible. Illustration éditoriale générée par IA ; il ne s'agit pas d'une photographie d'un événement nommé ou d'un participant à une recherche.

La mesure n'est pas une exemption générale

Le projet contient différentes dispositions relatives à la mesure. Une disposition sur la mesure d'audience exige que les données soient pseudonymisées après la collecte, limite la réutilisation et le suivi en dehors du service mesuré ou du contenu médiatique, et restreint le partage des données personnelles. La pseudonymisation n'est pas la même chose qu'une anonymisation irréversible. Décrire l'ensemble de la proposition européenne sur le consentement aux cookies comme une exemption pour les « analyses anonymes » occulterait des conditions importantes. [2]

Une autre disposition concerne la mesure de la publicité contextuelle : une publicité sélectionnée à partir du contenu immédiat ou d'une requête de recherche unique, plutôt qu'à partir d'un profil d'activité passée ou future. Ses conditions restreignent le profilage et d'autres utilisations. Une entreprise ne peut pas simplement renommer la publicité comportementale en publicité « contextuelle » et supposer qu'elle entre dans le cadre de la proposition. [2]

La distinction pratique réside entre mesurer la performance d'une page spécifique et assembler une image continue de l'activité d'une personne identifiable. Le fait qu'un outil spécifique réponde à une future exception dépendrait de ce qu'il fait réellement, et non des termes utilisés sur sa page de vente. Ces dispositions restent des propositions et non une approbation de conformité prête à l'emploi pour un logiciel.

Ce que les entreprises irlandaises doivent faire maintenant

Les directives actuelles de la DPC indiquent explicitement que les cookies analytiques nécessitent un consentement, y compris dans sa discussion sur les analyses de première partie (first-party). Elle identifie des exemptions étroites pour les fonctions strictement nécessaires demandées par l'utilisateur et pour la transmission d'une communication. Elle précise que les cookies de publicité ciblée et de suivi de conversion ne sont pas exemptés. [3][4]

La DPC prévient également que les cases pré-cochées ou les commutateurs activés par défaut ne produisent pas un consentement valide. Un lien générique vers l'explication des cookies d'un tiers ne remplace pas l'explication de l'utilisation propre à l'opérateur. Les personnes doivent pouvoir retirer ou modifier leur consentement, et le retrait doit être aussi facile que l'acceptation. [4][5]

C'est pourquoi changer un bouton ne suffit pas. Une bannière de consentement est l'interface ; les scripts s'exécutant en arrière-plan déterminent si le choix du visiteur est respecté. Une entreprise devrait savoir quels outils se chargent avant une décision, lesquels se chargent après un refus et ce qui s'arrête après un retrait.

Trois collègues discutent autour d'un ordinateur portable dans un espace de travail lumineux. Illustration éditoriale générée par IA ; il ne s'agit pas d'une photographie d'un événement nommé ou d'un participant à une recherche.

Un audit pratique sans attendre une nouvelle législation

Prenons l'exemple illustratif d'une boulangerie de Dublin utilisant un widget de réservation, un compteur de trafic et un pixel publicitaire. Le propriétaire devrait demander au développeur de documenter la finalité de chaque outil, les destinataires des données, la durée de conservation et le comportement en matière de consentement. Il ne faut pas supposer que la fonction de réservation et le pixel marketing nécessitent un traitement identique. Il s'agit d'un exemple hypothétique et non de l'audit d'une entreprise nommée.

Testez ensuite le site en tant que nouveau visiteur refusant le suivi optionnel. Répétez l'opération sur mobile et après avoir retiré un accord préalable. Vérifiez que la politique décrit les outils réellement utilisés et que le refus ne se transforme pas discrètement en consentement ailleurs dans l'interface. Conservez une trace du test et obtenez des conseils qualifiés pour les cas incertains. [4][5]

Pour les créateurs et les petites entreprises, la réduction des demandes intrusives pourrait être utile. Mais mesurer le succès uniquement par le nombre de personnes appuyant sur « accepter » valorise un mauvais résultat. Le meilleur test est de savoir si les gens comprennent leur choix et si le site l'honore.

Un commerçant discute avec un client à un comptoir. Illustration éditoriale générée par IA ; il ne s'agit pas d'une photographie d'un événement nommé ou d'un participant à une recherche.

Des choix simplifiés exigent toujours une responsabilité

L'accent mis par Safegram (un réseau social axé sur la confidentialité conçu à Dublin) sur la vie privée et le contrôle de l'utilisateur est pertinent pour ce principe : une promesse de confidentialité doit être jugée par l'expérience de celui qui dit non, pas seulement par un titre accrocheur. Il s'agit d'une norme de conception à appliquer également à Safegram, et non d'une affirmation selon laquelle sa technologie a été auditée de manière indépendante ou qu'il n'utilise jamais un outil particulier.

Le Conseil indique que les négociations avec le Parlement européen constituent la prochaine étape. Les lecteurs résidant ailleurs ne doivent pas traiter la proposition de l'UE ou les conseils du régulateur irlandais comme un changement automatique des lois britanniques, américaines, brésiliennes ou d'autres lois nationales. Même en Europe, une mise en œuvre spécifique doit être vérifiée par rapport aux règles applicables et au texte final éventuel. [1]

L'action concrète à entreprendre est disponible dès maintenant : testez un refus réel et un retrait sur votre site web. Pour plus d'informations sur Safegram, visitez safegram.com (https://safegram.com/). Ceci est une analyse éditoriale générale et non un conseil juridique individuel ou un certificat de conformité.

Foire aux questions

L'UE a-t-elle supprimé les bannières de cookies en octobre 2026 ?

Non. Le Conseil a convenu d'une position de négociation, et non d'une loi finale supprimant les bannières. Les obligations existantes continuent de s'appliquer. [1]

Que signifie la période de quatre mois proposée ?

Après avoir refusé une demande, une personne ne devrait pas être sollicitée à nouveau pour la même finalité pendant au moins quatre mois selon le texte du Conseil. Ce n'est pas encore une nouvelle règle irlandaise. [2]

Les sites irlandais peuvent-ils désormais utiliser des cookies analytiques sans consentement ?

Pas à cause de cette proposition. Les directives actuelles de la DPC indiquent que les cookies analytiques nécessitent un consentement. Les exceptions proposées n'ont pas remplacé ces directives. [3]

Les informations pseudonymisées sont-elles anonymes ?

Pas nécessairement. Le remplacement des identifiants ne supprime pas en soi la possibilité de lier les informations à une personne. Les conditions de mesure du projet ne doivent pas être réduites à l'affirmation que toutes les analyses sont anonymes. [2]

Qu'est-ce que la publicité contextuelle ?

Une publicité basée sur le contenu consulté ou une requête spécifique, plutôt que sur le profil des activités d'une personne. L'exception de mesure proposée contient d'autres restrictions. [2]

Qu'est-ce qu'une entreprise devrait changer immédiatement ?

Corrigez les problèmes de conformité actuels : identifiez les traceurs réels, supprimez les consentements présélectionnés invalides, expliquez les finalités et prévoyez un moyen de retrait facile. N'activez pas les exemptions proposées avant qu'elles ne deviennent applicables. [3][4][5]