La directive ePrivacy : la vraie loi européenne sur les cookies

Qu’est-ce que la directive ePrivacy ?

La directive 2002/58/CE, dite « vie privée et communications électroniques », est souvent appelée directive ePrivacy ou simplement loi cookies. Adoptée le 12 juillet 2002 pour protéger la confidentialité des communications, elle a vu son article 5, paragraphe 3 réécrit en 2009 par la directive « droits des citoyens » (2009/136/CE) : au lieu d’un droit de refuser les cookies, les utilisateurs devaient désormais consentir avant tout stockage ou lecture sur leur équipement. Les États membres avaient jusqu’au 25 mai 2011 pour transposer la nouvelle règle.

Comme il s’agit d’une directive, chaque pays a sa propre loi de transposition : l’article 82 de la loi Informatique et Libertés en France, le § 25 du TDDDG allemand, l’article 122 du code italien de la vie privée, l’article 22.2 de la LSSI espagnole, et ainsi de suite. La formulation et le style de contrôle varient, mais l’obligation de fond est la même partout.

Un texte de remplacement, le règlement ePrivacy, a été proposé par la Commission européenne en janvier 2017 et n’a jamais fait l’objet d’un accord. La Commission a retiré la proposition dans son programme de travail 2025, le 11 février 2025 : la directive et les lois nationales restent donc les règles applicables pour un avenir prévisible.

À qui s’applique-t-elle ?

L’article 5, paragraphe 3 protège l’équipement terminal des utilisateurs dans l’UE et l’EEE. Peu importe où le site est hébergé ou où la société est établie, et il n’exige pas que les informations stockées soient des données personnelles : la Cour de justice a confirmé dans l’arrêt Planet49 (C-673/17, 1er octobre 2019) que l’exigence de consentement s’applique que les informations soient ou non des données personnelles. Les lignes directrices 2/2023 du Comité européen de la protection des données (CEPD), dans leur version finale du 7 octobre 2024, précisent jusqu’où elle porte : cookies, local storage, pixels de suivi, paramètres d’URL identifiant un utilisateur, fingerprinting, suivi par adresse IP et remontées d’objets connectés peuvent tous constituer un stockage ou un accès au sens de l’article 5, paragraphe 3.

Qu’exige-t-elle pour les cookies et les traceurs ?

La règle a trois volets.

1. L’information d’abord. L’utilisateur doit recevoir une information claire et complète, conforme au RGPD, sur les finalités du stockage ou de l’accès. Dans Planet49, la Cour a précisé que cela inclut la durée de vie des cookies et la possibilité pour des tiers de les lire.
2. Le consentement préalable. Le consentement est celui du RGPD : libre, spécifique, éclairé, univoque, donné par un acte positif clair et retirable à tout moment. Rien de non exempté ne peut être stocké ou lu avant cet acte. Les cases précochées, la poursuite de la navigation et les cookie walls ne suffisent pas.
3. Deux exemptions. Aucun consentement n’est requis pour un stockage ou un accès ayant pour seule finalité d’effectuer la transmission d’une communication, ou strictement nécessaire à un service de la société de l’information expressément demandé par l’utilisateur. L’avis 04/2012 du groupe de travail « article 29 » liste les cas habituels : identifiants de session, paniers, authentification, sécurité, répartition de charge, préférences d’interface, et le cookie qui mémorise le choix de consentement lui-même. Un cookie n’est pas strictement nécessaire parce que l’éditeur du site le trouve utile : le critère est la demande de l’utilisateur.

La mesure d’audience est la zone grise. La directive ne prévoit aucune exemption pour elle, mais certaines autorités en admettent une, étroite. La CNIL exempte les traceurs limités à la mesure d’audience et aux tests A/B, qui ne recoupent pas les données avec d’autres traitements, ne suivent que le site d’un seul éditeur, tronquent l’adresse IP, durent au plus 13 mois et s’accompagnent d’une information et d’un droit d’opposition. Google Analytics dans sa configuration standard ne remplit pas ces conditions. Au Royaume-Uni, une exception comparable pour les finalités statistiques existe depuis le 5 février 2026 selon les règles britanniques. En Allemagne, en Italie ou en Espagne, les cookies de mesure d’audience exigent un consentement, sauf si l’outil est configuré pour ne stocker aucun identifiant.

L’intérêt légitime n’est pas une base légale pour le stockage ou l’accès lui-même. La task force « bandeaux cookies » du CEPD a écrit en janvier 2023 que l’article 5, paragraphe 3 ne lui laisse aucune place, et que tout traitement qui découle d’un cookie illicite ne peut pas davantage être licite au regard du RGPD.

Que doit faire un bandeau conforme ?

Au regard de la directive, un bandeau n’est licite que s’il retient réellement les traceurs. L’ordre des opérations compte : la page se charge, le bandeau s’affiche, rien d’autre ne s’exécute ; le visiteur accepte, refuse ou personnalise ; alors seulement les balises des catégories acceptées se lancent. Un bandeau qui apparaît alors que Google Ads et Meta Pixel se déclenchent déjà échoue au test, aussi soigné soit-il. Notre guide sur le blocage des scripts jusqu’au consentement en détaille la mécanique.

Le bandeau doit aussi présenter le choix honnêtement : une option Refuser dès le premier écran, aussi visible qu’Accepter (la position de la CNIL et de la task force du CEPD), des finalités expliquées, rien de précoché, et un moyen simple de revenir changer son choix plus tard.

Contrôles et sanctions

Chaque État membre fixe ses propres sanctions et mène ses propres contrôles, et le guichet unique du RGPD ne s’applique pas : une société dont le siège est en Irlande peut être sanctionnée par l’autorité française, espagnole ou italienne pour des cookies déposés sur les terminaux de ses résidents. La France est de loin la plus active : la CNIL a sanctionné Google de 100 millions d’euros et Amazon de 35 millions d’euros le 7 décembre 2020, Google de 150 millions d’euros et Facebook de 60 millions d’euros le 31 décembre 2021, Microsoft de 60 millions d’euros le 19 décembre 2022, TikTok de 5 millions d’euros le 29 décembre 2022, Yahoo de 10 millions d’euros le 29 décembre 2023, et le 1er septembre 2025 Google de 325 millions d’euros et Shein de 150 millions d’euros. Le raisonnement est constant : cookies déposés avant tout choix, refus plus difficile que l’acceptation, finalités non expliquées, consentement impossible à retirer librement.

Les autres autorités agissent par injonctions plutôt que par amendes retentissantes. L’AEPD espagnole et le Garante italien publient des recommandations sur les cookies et sanctionnent régulièrement des sites plus petits, et le rapport 2023 de la task force du CEPD donne à toutes les autorités de l’UE une base commune pour traiter les centaines de plaintes déposées par noyb contre des bandeaux cookies.

Comment Cookiequiet gère la directive ePrivacy

Cookiequiet assure le blocage par construction : les scripts marqués d’une catégorie et les contenus embarqués marqués d’un attribut data ne s’exécutent qu’après consentement pour cette catégorie, le balisage de CookieYes et de Cookiebot est compris, et un bloqueur automatique retient jusqu’au choix du visiteur les scripts et iframes injectés par les gestionnaires de balises ou le chargement différé d’environ 80 traceurs connus. La limite, assumée : un traceur codé en dur dans le HTML avant notre script, sans le marquage, s’exécute avant que nous puissions l’arrêter ; c’est pourquoi les guides d’installation demandent de charger notre script en premier. Le bandeau affiche « Tout accepter » et « Tout refuser » avec le même poids, les signaux Google Consent Mode v2 sont refusés par défaut, et le registre des consentements garde la preuve. Le ciblage géographique peut limiter le bandeau à l’EEE et aux autres pays dotés d’une loi sur le consentement, ce qui compte au vu des décisions de la CNIL citées plus haut.