ePrivacy

La directive ePrivacy protège la confidentialité des communications électroniques. Son article 5, paragraphe 3, réécrit par la directive 2009/136/CE avec une date limite de transposition au 25 mai 2011, dispose que le stockage d’informations, ou l’obtention de l’accès à des informations déjà stockées, dans l’équipement terminal d’un utilisateur n’est permis qu’avec le consentement de l’utilisateur, après une information claire et complète, sauf si ce stockage ou cet accès est nécessaire à la transmission d’une communication ou strictement nécessaire à un service expressément demandé par l’utilisateur. L’article 13 encadre la prospection non sollicitée par e-mail et SMS, également sur la base d’un consentement préalable (opt-in).

Comme il s’agit d’une directive, chaque État membre la transpose : l’article 82 de la loi Informatique et Libertés en France, l’article 25 du TDDDG allemand, l’article 122 du code italien de la vie privée, l’article 22.2 de la LSSI espagnole, et au Royaume-Uni, qui applique toujours la même règle après le Brexit, l’article 6 (regulation 6) du PECR. Les autorités nationales la font appliquer sans le guichet unique du RGPD, ce qui explique que la CNIL sanctionne des entreprises dont le siège est en Irlande pour des cookies déposés sur des appareils en France.

Le terme couvre aussi le règlement ePrivacy, la proposition de janvier 2017 qui devait remplacer la directive et moderniser les règles sur les cookies. Après huit ans sans accord, la Commission européenne l’a retirée le 11 février 2025 : la directive, ses lois nationales et les lignes directrices du CEPD (Comité européen de la protection des données) sur son champ d’application technique (lignes directrices 2/2023) restent donc les règles pour les cookies, les pixels, le local storage et le fingerprinting.