RGPD7 min de lecture
Directive ePrivacy vs RGPD : comment s'articulent les règles cookies
La directive ePrivacy dit quand les cookies exigent un consentement ; le RGPD définit ce qu'est un consentement valable. Voici comment ces deux textes s'articulent.
La directive ePrivacy et le RGPD se partagent la question des cookies. La directive ePrivacy détermine si vous avez besoin d’un consentement pour stocker ou lire des informations sur l’appareil d’une personne. Le RGPD définit ce qu’est un consentement valable et encadre toutes les données personnelles que vous traitez ensuite. Pour la plupart des cookies de mesure d’audience et de publicité, vous devez respecter les deux textes à la fois.
Que dit la directive ePrivacy sur les cookies ?
L’article 5(3) de la directive ePrivacy (directive 2002/58/CE) n’autorise le stockage d’informations sur l’appareil d’un utilisateur, ou l’accès à des informations qui y sont déjà stockées, que si l’utilisateur y a consenti après avoir reçu une information claire et complète. Il existe deux exemptions limitées.
La première couvre le stockage ou l’accès effectué exclusivement pour assurer la transmission d’une communication sur un réseau. La seconde couvre le stockage ou l’accès strictement nécessaire à la fourniture d’un service expressément demandé par l’utilisateur, comme une session de connexion ou un panier d’achat. Tout le reste, y compris la mesure d’audience, la publicité et la plupart des fonctionnalités de réseaux sociaux, nécessite un consentement.
La règle est volontairement neutre sur le plan technologique. « Appareil » désigne tout équipement terminal, des ordinateurs portables et téléphones aux téléviseurs connectés. « Informations » englobe les cookies, le stockage local, IndexedDB, les identifiants d’appareil et les techniques qui lisent les caractéristiques de l’appareil. Depuis une modification de 2009, le consentement est la règle par défaut ; auparavant, il suffisait d’informer les utilisateurs et de leur permettre de refuser.
Surtout, l’article 5(3) s’applique que les informations soient des données personnelles ou non. Un cookie contenant une valeur aléatoire, sans lien avec aucune personne, entre tout de même dans son champ d’application.
Qu’apporte le RGPD aux règles sur les cookies ?
Le RGPD apporte deux éléments : la définition du consentement à laquelle les bandeaux cookies doivent satisfaire, et les règles applicables à toutes les données personnelles que vous traitez une fois qu’un cookie a été déposé ou lu.
La directive ePrivacy ne définit pas elle-même le consentement. Elle emprunte cette définition au droit européen de la protection des données, c’est-à-dire aujourd’hui au règlement général sur la protection des données (RGPD). L’article 4(11) exige que le consentement soit libre, spécifique, éclairé et univoque, et l’article 7 y ajoute des conditions comme la facilité de retrait et la capacité à démontrer le consentement. Dans l’arrêt Planet49 (C-673/17, 2019), la Cour de justice de l’Union européenne (CJUE) a appliqué ce standard aux cookies et jugé qu’une case pré-cochée ne constitue pas un consentement valable.
Après l’étape de l’accès à l’appareil, le RGPD prend le relais. Si votre fournisseur de mesure d’audience reçoit des pages vues associées à un identifiant de cookie, il s’agit d’un traitement de données personnelles. Il vous faut alors une base légale au titre de l’article 6, une politique de confidentialité transparente, des contrats avec vos sous-traitants, des garanties pour les transferts internationaux et une procédure pour traiter les demandes d’accès et d’effacement.
Pour le suivi et le profilage qui commencent par un cookie soumis au consentement, les autorités attendent généralement que le consentement serve aussi de base légale à ce qui suit. C’est pourquoi l’intérêt légitime fonctionne rarement pour les cookies.
Comment la directive ePrivacy et le RGPD se comparent-ils ?
Les différences apparaissent plus clairement côte à côte.
| Aspect | Directive ePrivacy (art. 5(3)) | RGPD |
|---|---|---|
| Forme juridique | Directive, transposée par des lois nationales | Règlement, directement applicable dans chaque pays de l’UE |
| Ce qu’elle régit | Le stockage d’informations sur l’appareil d’un utilisateur ou l’accès à celles-ci | Le traitement de données personnelles |
| Données personnelles requises ? | Non | Oui |
| Fondements autorisés | Le consentement, ou l’une des deux exemptions limitées | Six bases légales à l’article 6, dont le consentement et l’intérêt légitime |
| Autorité de contrôle | Autorité désignée par chaque pays, souvent mais pas toujours l’autorité de protection des données | Autorités nationales de protection des données, avec un mécanisme de coopération transfrontalière |
| Sanctions | Fixées par le droit national | Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les violations les plus graves (art. 83(5)) |
Quel texte s’applique à un cookie donné ?
Souvent les deux, l’un après l’autre. Raisonnez en deux temps : la directive ePrivacy régit le moment du stockage ou de la lecture, et le RGPD le traitement de données personnelles qui suit.
Voici les cas les plus courants :
- Cookie de mesure d’audience. Le dépôt du cookie contenant l’identifiant client nécessite un consentement au titre de l’ePrivacy. L’envoi à un fournisseur de mesure d’audience des pages vues associées à cet identifiant constitue un traitement de données personnelles soumis au RGPD.
- Cookie de session de connexion. Le cookie est exempté de consentement car il est strictement nécessaire à un service demandé par l’utilisateur. Les données de compte qui y sont liées restent des données personnelles : le RGPD s’applique donc, généralement sur une base telle que l’exécution d’un contrat.
- Pixel publicitaire. La lecture ou l’écriture d’identifiants nécessite un consentement au titre de l’ePrivacy, et le profilage qui suit nécessite une base légale RGPD, ce qui, en pratique, signifie le consentement.
- Traitement côté serveur sans accès à l’appareil. Si rien n’est stocké sur l’appareil ni lu depuis celui-ci, l’article 5(3) peut ne pas s’appliquer, mais le RGPD continue de s’appliquer aux données personnelles comme les adresses IP. Les autorités interprètent largement la notion d’« accès » : consultez donc leurs recommandations avant de vous appuyer sur ce cas.
L’ordre compte. Une base légale RGPD valable à la deuxième étape ne peut pas réparer l’absence de consentement ePrivacy à la première.
Pourquoi la différence entre directive et règlement est-elle importante ?
Comme chaque pays transpose la directive ePrivacy dans son propre droit, un même bandeau peut être jugé par différentes autorités appliquant des règles légèrement différentes. Cela détermine qui peut agir contre vous, et de quelle manière.
Les lois nationales diffèrent sur des points tels que l’autorité chargée de faire respecter les règles sur les cookies, la position des autorités sur les exemptions pour la mesure d’audience ou la durée pendant laquelle un refus doit être mémorisé.
Le mécanisme de guichet unique du RGPD, qui confie normalement les dossiers transfrontaliers à une seule autorité chef de file, ne s’étend pas aux règles nationales ePrivacy. C’est ce qui a permis à l’autorité française de protection des données, la CNIL, d’agir directement contre Google et Facebook en décembre 2021, en leur infligeant des amendes de 150 millions et 60 millions d’euros parce que refuser les cookies était plus difficile que de les accepter. Notre analyse des leçons à tirer des sanctions en matière de cookies explique ce que ces décisions impliquent pour les sites ordinaires.
En pratique, concevez votre dispositif selon le standard le plus strict parmi vos marchés. Le Royaume-Uni suit un modèle parallèle, le UK GDPR complété par les Privacy and Electronic Communications Regulations (PECR), dont le respect est contrôlé par l’Information Commissioner’s Office (ICO). Notre guide sur le UK GDPR et les PECR explique en quoi le Royaume-Uni se distingue.
La directive ePrivacy va-t-elle être remplacée ?
Peut-être un jour, mais organisez-vous en fonction du droit tel qu’il est. Un projet de règlement ePrivacy destiné à remplacer la directive a été négocié pendant des années sans aboutir, et la Commission européenne a annoncé en 2025 qu’elle retirait cette proposition.
De nouvelles initiatives européennes de simplification des règles numériques ont depuis remis le consentement aux cookies à l’ordre du jour. Rien de tout cela ne modifie vos obligations tant que ces textes ne sont pas adoptés et en vigueur : continuez donc à appliquer l’article 5(3) tel que transposé dans chaque pays, et consultez les recommandations actuelles de votre autorité de contrôle avant d’anticiper une réforme annoncée.
En résumé
La directive ePrivacy répond à la question « ai-je besoin d’un consentement pour accéder à l’appareil ? », et le RGPD à la question « que signifie le consentement, et quelles sont mes obligations vis-à-vis des données ? ». Considérez-les comme deux portes qu’il faut franchir l’une et l’autre, et ne laissez jamais une base légale RGPD vous dissuader de recueillir le consentement ePrivacy. Des outils comme Cookiesh peuvent afficher des bandeaux différents selon la région, mais déterminer quel texte s’applique à chaque traceur reste un travail qui vaut la peine d’être fait vous-même.
Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.
Questions fréquentes
La directive ePrivacy est-elle la même chose que la « loi cookies » européenne ?
Dans une large mesure, oui. La « loi cookies » est le nom informel donné à l'article 5(3) de la directive ePrivacy et aux lois nationales qui le transposent. La directive couvre aussi d'autres sujets, comme la confidentialité des communications et la prospection électronique non sollicitée.
La directive ePrivacy a-t-elle été remplacée par un règlement ePrivacy ?
Pas à l'heure où nous écrivons ces lignes. Un projet de règlement ePrivacy est resté bloqué pendant des années et la Commission européenne a annoncé son retrait en 2025. Les règles européennes sur les cookies restent en discussion : vérifiez donc les recommandations actuelles de votre autorité de contrôle.
Le guichet unique du RGPD s'applique-t-il au contrôle des cookies ?
Pas pour le volet ePrivacy. Le mécanisme du RGPD qui confie les dossiers transfrontaliers à une autorité chef de file ne couvre pas les règles nationales ePrivacy : une autorité nationale peut donc agir directement contre les pratiques en matière de cookies d'une entreprise étrangère qui touchent des personnes dans son pays.
Le Royaume-Uni suit-il le même modèle ?
Globalement, oui. Le Royaume-Uni applique le UK GDPR conjointement avec les Privacy and Electronic Communications Regulations (PECR), tous deux contrôlés par l'ICO. Les règles britanniques ont commencé à s'écarter de celles de l'UE : consultez donc les recommandations actuelles de l'ICO.
Sources
Équipe éditoriale Cookiesh
Ingénieurs vie privée et spécialistes de la conformité, nous rédigeons des guides pratiques sur le consentement, les cookies et la protection des données pour les équipes produit.
