Le Conseil de l’Union européenne a arrêté, le 21 octobre 2026, sa position de négociation sur l’Omnibus numérique, destiné à simplifier les règles européennes en matière de données, de vie privée et de cybersécurité. Cette position prévoit notamment la suppression du mécanisme de consentement centralisé au sein des navigateurs proposé par la Commission. Des exemptions au consentement sont par ailleurs envisagées pour certaines fonctions publicitaires, mais elles restent à préciser. Il s’agit à ce stade d’un mandat de négociation, et non de règles définitivement adoptées.
La position du Conseil conserve les règles relatives aux cookies et technologies similaires dans la directive ePrivacy, tout en élargissant les exemptions au consentement.
La proposition initiale de la Commission distinguait les règles applicables au stockage et à l’accès aux informations dans le terminal selon leur caractère personnel ou non : les premières auraient été transférées dans le RGPD, tandis que les secondes seraient restées régies par ePrivacy. Cette scission rompait avec l’approche unitaire de l’article 5, paragraphe 3, qui protège les informations indépendamment de leur qualification, et risquait de complexifier l’application des règles, notamment lorsque les opérations portent sur les deux catégories d’informations.
Surtout, la position du Conseil supprime l’article 88b proposé par la Commission, qui aurait imposé aux services en ligne de reconnaître des choix automatisés et lisibles par machine, et permis aux grands fournisseurs de navigateurs d’avoir la maîtrise de leur transmission. Cette suppression écarte le mécanisme retenu par la Commission qui avait privilégié la gestion des choix de confidentialité par l’intermédiaire, notamment, des navigateurs, au profit du maintien de leur recueil auprès des services consultés.
Le Conseil ramène également de six à quatre mois la période minimale pendant laquelle un service ne pourrait pas solliciter à nouveau le consentement après un refus. Le considérant associé prévoit des exceptions permettant une nouvelle demande anticipée, notamment en cas de modification des finalités, de nouveau service ou de changement substantiel d’un service existant.
Pour rappel, en France, la CNIL considère comme une bonne pratique de conserver pendant six mois le choix de l’utilisateur, qu’il s’agisse d’un consentement ou d’un refus, afin de ne pas le solliciter à nouveau à chaque visite.
Deux exemptions distinctes sont envisagées.
La première (article 5(3)(c)) concernerait la création d’informations anonymes et agrégées destinées à mesurer l’audience d’un service, par son fournisseur ou par un tiers agissant pour son compte. Les données collectées ne pourraient être réutilisées, partagées avec des tiers ou croisées avec leurs données ; seuls les résultats anonymes et agrégés pourraient être partagés.
La seconde (article 5(3)(d)) viserait la mesure d’audience conforme à l’article 24 du règlement européen sur la liberté des médias (EMFA). Elle pourrait permettre le traitement de données personnelles pseudonymisées au sein du dispositif de mesure, mais les informations communiquées en dehors des sous-traitants et responsables conjoints concernés ne devraient pas contenir de données personnelles.
Des incertitudes subsistent également sur la question de savoir si la lutte contre la fraude publicitaire pourrait relever de l’exemption relative à la sécurité technique (article 5(3)(e)). Elles tiennent notamment à l’interprétation restrictive de cette exemption par les autorités de protection des données, en particulier la CNIL, qui la rattache, dans sa recommandation sur les pixels de suivi, à la seule protection des utilisateurs.
À noter enfin que les cookies de capping sont quant à eux uniquement mentionnés dans le considérant 44 du texte sur la mesure d’audience, sans faire l’objet d’une exemption autonome au sein de l’article 5(3).
La position du Conseil reconnaîtrait que des données pseudonymisées puissent ne pas constituer des données personnelles pour un tiers qui n’est pas en mesure d’identifier la personne concernée. Elles conserveraient toutefois leur caractère personnel pour le sous-traitant qui les traite pour le compte d’un responsable de traitement.
Cette position serait ainsi à mettre en regard du projet de lignes directrices du CEPD sur l’anonymisation, dont la consultation publique s’est achevée le 30 octobre et qui prévoit une appréciation du caractère identifiable des personnes selon l’entité concernée.
Par ailleurs, la position du Conseil confirmerait expressément la possibilité de fonder les traitements de données personnelles nécessaires au développement et au fonctionnement des systèmes d’IA sur l’intérêt légitime. Cette possibilité est déjà admise par les autorités de protection des données et ne dispenserait pas les responsables de traitement d’en vérifier les conditions au cas par cas, notamment la nécessité du traitement et la mise en balance des intérêts en présence.
Après l’approbation du mandat de négociation du Conseil par les représentants permanents des États membres le 21 octobre 2026, la prochaine étape sera l’adoption de la position du Parlement européen, envisagée en février-mars 2027 selon le calendrier prévisionnel disponible, sous réserve de confirmation. Les négociations interinstitutionnelles pourront alors s’ouvrir afin de rechercher un accord sur le texte, qui devra ensuite être formellement adopté par les deux colégislateurs. Les dates d’entrée en vigueur et d’application dépendront du texte définitif.
L’Union des marques continue de suivre ce sujet en relation avec la WFA et la FEDMA.