Imaginez devoir attendre six longs mois avant de pouvoir redemander à un internaute s’il accepte vos cookies, alors qu’un texte en discussion à Bruxelles pourrait réduire ce délai à quatre mois seulement. Cette information circule depuis une semaine dans les cercles du marketing digital et de la conformité. Elle soulève immédiatement une question pragmatique : faut-il déjà reconfigurer votre plateforme de gestion du consentement, ou est-ce encore trop tôt ?

Le débat ne concerne pas uniquement les juristes. Il touche directement les responsables marketing, les éditeurs de sites, les équipes analytics et les agences qui pilotent des campagnes display. Un changement de règle sur le consentement cookies modifie la manière de collecter des données, de mesurer l’audience et de monétiser le trafic. Voici ce qu’il faut vraiment comprendre sur ce texte de compromis préparé par la présidence irlandaise du Conseil de l’Union européenne, et ce qu’il implique concrètement pour vos outils et vos process.

Un délai réduit à quatre mois : ce que dit le texte

Le document 13886/26, daté du 2 octobre 2026, propose de fixer à quatre mois minimum le délai avant de pouvoir redemander un consentement cookies qui a été refusé. Jusqu’ici, la proposition de la Commission européenne, présentée en novembre 2025 dans le cadre du Digital Omnibus, prévoyait six mois. Le texte du Conseil ramène donc ce seuil à quatre mois.

Ce chiffre n’est pas anodin. Il s’agit d’un mandat de négociation de 163 pages, classé LIMITE, c’est-à-dire à diffusion restreinte. Les États membres devaient l’adopter pour pouvoir discuter avec le Parlement européen du paquet de simplification qui touche le RGPD, la directive ePrivacy et le Data Act. Sur la question des cookies, la règle du refus est clairement réécrite.

L’internaute doit pouvoir dire non en un seul clic. Une fois ce refus enregistré, aucune nouvelle demande pour la même finalité ne peut être présentée pendant au moins quatre mois. Cette durée remplace les six mois initialement prévus par la Commission et déjà repris dans une version antérieure du Conseil datée du 3 septembre.

Quatre mois au lieu de six : c’est le délai minimum qu’un site devrait respecter avant de redemander un consentement cookies refusé, selon le texte de compromis préparé par la présidence irlandaise du Conseil de l’UE.

– Synthèse du document 13886/26

Le texte n’est toutefois pas rigidement fermé. Des exceptions subsistent. Une nouvelle demande reste possible si la finalité change, si un nouveau service est lancé ou si le service évolue de façon substantielle. Elle est également autorisée lorsque l’enregistrement du refus disparaît pour des raisons indépendantes de l’éditeur, par exemple lorsque l’utilisateur efface lui-même ses cookies.

Ce dernier point mérite une attention particulière. Un refus stocké dans un cookie que le navigateur purge automatiquement libérerait l’éditeur de l’obligation de respecter les quatre mois. Or, certains navigateurs, notamment Safari, limitent déjà fortement la durée de vie des stockages liés au tracking. Résultat : la règle des quatre mois s’appliquerait de manière très inégale selon le navigateur utilisé par l’internaute.

Six usages qui pourraient échapper au consentement

Au-delà du délai, le texte dresse une liste fermée de six finalités dispensées de collecte de consentement. Pour les professionnels du marketing et de l’analytique web, cette partie est potentiellement plus structurante que le simple raccourcissement du délai.

Voici les six usages concernés :

• La transmission d’une communication sur le réseau
• Le service explicitement demandé par l’internaute (choix de langue, panier, formulaires)
• La mesure d’audience first-party qui produit des statistiques anonymes et agrégées
• La mesure d’audience des médias encadrée par l’article 24 de l’European Media Freedom Act
• La sécurité du service ou du terminal
• La mesure de l’affichage et de la performance des publicités contextuelles

Le sixième point retient particulièrement l’attention. Il couvrirait explicitement les cookies de plafonnement de fréquence et de mesure publicitaire, à condition que les données soient pseudonymisées, qu’elles ne servent ni au profilage ni à la publicité programmatique, et qu’elles ne portent pas sur l’activité de l’internaute sur d’autres sites.

En d’autres termes, la mesure pourrait être améliorée, mais pas le ciblage. Le retargeting, le ciblage comportemental et les enchères programmatiques resteraient soumis au consentement. L’exemption first-party interdirait tout croisement avec des données tierces. Pour un éditeur ou un annonceur, cela ouvre la porte à une mesure d’audience et de performance publicitaire plus fiable sans forcément afficher un bandeau, tout en interdisant l’usage de ces données pour de la publicité personnalisée.

Pourquoi le mandat reste bloqué au Coreper

Le 11 octobre 2026, le Coreper, qui réunit les ambassadeurs des États membres, devait adopter ce mandat. Il ne l’a ni discuté ni voté. Le vote avait déjà été reporté le 7 octobre sous la pression de Paris et de Berlin. Selon les informations relayées, le point de friction n’a rien à voir avec les bandeaux cookies.

L’Allemagne conteste surtout les dispositions du Data Act relatives aux secrets d’affaires. Elle souhaite que tout partage de données ainsi protégées passe par un accord explicite entre le détenteur et l’utilisateur. La présidence irlandaise pourrait donc relancer des consultations auprès des délégations. Le Digital Omnibus se trouve ainsi en salle d’attente.

Même si le mandat était finalement voté, il ne constituerait qu’une position de départ. Le Parlement européen n’a pas encore adopté la sienne. Le trilogue, cette négociation finale entre les institutions européennes, peut encore tout modifier. Le Conseil européen a demandé un accord sur l’ensemble des paquets omnibus avant la fin 2026, sans que personne ne puisse garantir que ce calendrier sera tenu.

Les dates d’application elles-mêmes posent question. Le texte prévoit que la partie ePrivacy s’applique six mois après sa publication au Journal officiel, tout en donnant 24 mois aux États membres pour transposer la directive. Ces deux échéances créent une tension juridique qui devra être clarifiée.

La situation en France reste inchangée

En France, la référence continue d’être la recommandation de la CNIL de 2020. Celle-ci préconise de conserver le choix de l’internaute, refus compris, pendant six mois. Tant qu’aucun texte européen n’est définitivement adopté et transposé, raccourcir dès aujourd’hui la relance de votre bandeau à quatre mois reviendrait à s’écarter du cadre français sans protection juridique.

Les autorités de contrôle nationales restent compétentes. Une modification précoce de la configuration de votre CMP pourrait donc exposer le site à un risque de non-conformité, même si le futur texte européen évolue dans le sens d’un délai plus court. Mieux vaut attendre une position claire du Coreper, puis du Parlement, avant d’envisager le moindre changement opérationnel.

Ce qu’il faut préparer dès maintenant sans toucher à la CMP

Ces semaines d’attente ne sont pas perdues. Elles permettent de préparer des scénarios. La première étape consiste à inventorier précisément vos traceurs par finalité. Identifiez ceux qui pourraient relever d’une exemption future, notamment la mesure d’audience first-party et la mesure des publicités contextuelles.

Vérifiez ensuite où votre plateforme de gestion du consentement stocke le refus : cookie, stockage local ou serveur. Mesurez aussi la proportion de refus qui disparaissent déjà à cause des purges automatiques des navigateurs. Cette donnée vous donnera une idée de l’impact réel d’une règle de quatre mois dans un environnement où certains stockages ont une durée de vie très courte.

Côté revenus, l’enjeu est concret pour les éditeurs. Si l’exemption relative à la publicité contextuelle survit au trilogue, une partie de la mesure display aujourd’hui conditionnée à un « oui » pourrait devenir possible sans bandeau. Cela constitue un argument à préparer pour les discussions avec les annonceurs, plutôt qu’une ligne budgétaire à inscrire dès 2027.

Les implications concrètes pour les équipes marketing

Pour un responsable marketing digital, le raccourcissement du délai de quatre mois change la fréquence à laquelle un internaute ayant refusé peut être recontacté. Moins de temps d’attente signifie potentiellement plus d’occasions de recueillir un consentement positif, mais aussi un risque accru de lassitude si le bandeau revient trop souvent.

L’exemption pour la mesure first-party et la publicité contextuelle est plus stratégique. Elle pourrait permettre de reconstruire une partie de la mesure d’audience et de performance sans dépendre entièrement du taux de consentement. Les équipes analytics pourraient ainsi disposer de statistiques plus stables, à condition de respecter strictement les conditions de pseudonymisation et d’absence de profilage.

Les agences media et les régies publicitaires devront quant à elles distinguer clairement ce qui relève de la mesure pure et ce qui relève du ciblage. Toute tentative d’utiliser des données de mesure contextuelle pour du retargeting ou de la programmatique resterait interdite sans consentement. La frontière entre les deux usages devra être documentée et contrôlée.

Comment anticiper sans précipitation

La bonne attitude consiste à cartographier dès maintenant les finalités de chaque traceur. Classez-les en trois groupes : ceux qui nécessitent déjà un consentement, ceux qui pourraient en être exemptés demain, et ceux dont le statut reste flou. Cette cartographie servira de base de discussion avec vos prestataires CMP et vos équipes juridiques.

Testez également la robustesse de votre stockage du refus. Si une part significative de vos visiteurs utilise Safari ou d’autres navigateurs qui limitent la durée de vie des cookies, le délai de quatre mois ou de six mois n’aura qu’un impact partiel. Dans ce cas, la qualité de l’enregistrement serveur du refus devient un levier important.

Enfin, préparez un argumentaire commercial. Si l’exemption contextuelle est confirmée, vous pourrez expliquer aux annonceurs que certaines mesures de performance display pourront être réalisées sans consentement, sous conditions strictes. Cela peut renforcer la valeur perçue de vos inventaires, à condition de rester transparent sur les limites imposées par le texte.

Les points de vigilance à ne pas négliger

Le premier risque serait de modifier la configuration de la CMP trop tôt. Tant que le Coreper n’a pas voté et que le Parlement n’a pas de position, aucun texte voté ne couvre un raccourcissement à quatre mois. En France, la recommandation de six mois de la CNIL reste la référence.

Le deuxième risque concerne l’interprétation trop large des exemptions. La mesure first-party doit produire des statistiques anonymes et agrégées. La mesure publicitaire contextuelle ne doit servir ni au profilage ni à la publicité programmatique. Toute dérive pourrait entraîner des sanctions ou des contentieux.

Le troisième point de vigilance porte sur les dates d’application. Six mois après publication au Journal officiel pour l’entrée en vigueur de la partie ePrivacy, mais 24 mois pour la transposition nationale : ces deux calendriers créent une zone d’incertitude. Les éditeurs devront suivre de près les clarifications qui interviendront.

Ce que cela change pour la relation avec les internautes

Un délai plus court entre un refus et une nouvelle demande peut être perçu de deux manières. Pour certains utilisateurs, cela signifie plus de sollicitations. Pour d’autres, cela reste acceptable tant que le refus est respecté pendant la période prévue et que le bandeau reste simple et clair.

La clarté du bandeau reste essentielle. L’internaute doit pouvoir refuser en un clic. Toute complexité excessive dans l’interface de choix peut être considérée comme une pratique déloyale. Les futures règles européennes ne changeront probablement pas cette exigence de simplicité.

Par ailleurs, la possibilité de redemander un consentement lorsque le refus disparaît à cause d’une purge navigateur introduit une asymétrie selon les navigateurs. Les utilisateurs de Safari pourraient se voir proposer plus souvent le bandeau que ceux qui utilisent Chrome, simplement parce que le stockage du refus est moins pérenne. Cette situation méritera d’être suivie de près.

Vers une mesure d’audience plus stable ?

L’un des enjeux majeurs pour les éditeurs et les équipes data est la stabilité de la mesure. Depuis plusieurs années, la baisse des taux de consentement a rendu l’analytique plus difficile. L’exemption pour la mesure first-party anonymisée et agrégée pourrait permettre de reconstruire une vision plus complète de l’audience, sans dépendre entièrement du consentement.

Cependant, cette mesure resterait limitée. Elle ne pourrait pas servir au profilage ni être croisée avec des données tierces. Elle ne remplacerait donc pas les outils de ciblage comportemental. Elle offrirait plutôt un socle de statistiques de base plus fiable, utile pour le pilotage éditorial et la compréhension globale du trafic.

Pour la publicité contextuelle, la possibilité de mesurer l’affichage et la performance sans consentement, sous conditions strictes, pourrait redonner de la valeur à ce type de formats. Les annonceurs qui privilégient déjà le contextual plutôt que le comportemental pourraient y trouver un argument supplémentaire.

Comment structurer votre veille réglementaire

Face à un texte encore en discussion, la meilleure stratégie est une veille structurée. Suivez les publications du Coreper, les positions du Parlement européen et les analyses des autorités nationales. Ne vous fiez pas uniquement aux rumeurs ou aux interprétations trop optimistes.

Documentez chaque évolution dans un tableau simple : date, source, contenu principal, impact potentiel sur votre CMP, impact sur la mesure, impact sur la monétisation. Cette discipline évitera de réagir trop vite à une information non confirmée.

Impliquez dès maintenant vos prestataires techniques. Demandez-leur s’ils sont prêts à adapter rapidement le paramétrage du délai de refus et les exemptions éventuelles. Une bonne préparation technique réduira le temps de mise en conformité le jour où le texte sera définitivement adopté.

Les questions que doivent se poser les directions marketing

Quelle part de mon trafic est aujourd’hui mesurée sans consentement ? Quels traceurs pourraient basculer dans une exemption future ? Quel est mon taux de refus actuel et comment évolue-t-il selon les navigateurs ? Ces questions permettent de quantifier l’enjeu.

Quel serait l’impact d’un délai de quatre mois sur le volume de consentements positifs recueillis chaque année ? Une simulation simple, même approximative, aide à anticiper les effets sur les revenus publicitaires et sur la qualité des données first-party.

Enfin, comment communiquer en interne sur ces évolutions ? Les équipes produit, les équipes data et les équipes commerciales doivent partager la même compréhension des règles. Un document interne clair, mis à jour régulièrement, reste le meilleur outil.

Synthèse des points clés à retenir

Voici l’essentiel à garder en mémoire :

• Le texte du Conseil propose un délai minimum de quatre mois avant de redemander un consentement cookies refusé, contre six mois dans la proposition de la Commission
• Six usages pourraient être dispensés de consentement, dont la mesure d’audience first-party et la mesure des publicités contextuelles
• Le mandat n’a pas encore été adopté par le Coreper ; le Parlement n’a pas de position
• En France, la recommandation de la CNIL de six mois reste applicable
• Il ne faut pas reconfigurer la CMP avant l’adoption définitive du texte
• La période d’attente doit servir à inventorer les traceurs et à préparer des scénarios

Le raccourcissement du délai de quatre mois constitue une évolution intéressante, mais l’exemption pour la mesure contextuelle et first-party serait bien plus structurante pour les équipes marketing. Tant que le Coreper n’a pas voté et que le Parlement n’a pas de position, rien ne justifie de modifier dès maintenant la configuration de votre plateforme de gestion du consentement.

Restez vigilant, documentez vos finalités, testez la solidité de votre stockage du refus et préparez vos arguments commerciaux. Le Digital Omnibus avance lentement, mais les décisions qui en découleront toucheront directement la manière dont vous collectez, mesurez et monétisez vos données. Mieux vaut être prêt sans être précipité.

La conformité cookies n’est plus seulement une question juridique. Elle est devenue un levier de performance et de confiance. Les sites qui sauront anticiper ces évolutions, tout en respectant strictement le cadre en vigueur, seront mieux positionnés pour tirer parti des prochaines règles européennes sans prendre de risques inutiles.

Dans les mois qui viennent, chaque annonce du Coreper ou du Parlement méritera d’être analysée avec attention. Les quatre mois et les exemptions ne sont encore que des propositions. Elles ne deviendront des obligations, ou des opportunités, que le jour où le texte aura franchi toutes les étapes institutionnelles. Jusque-là, la prudence et la préparation restent les meilleures alliées des professionnels du digital.

Pour conclure, le message est clair : informez-vous, cartographiez, simulez, mais n’agissez pas encore sur la configuration opérationnelle de votre CMP. Le cadre français actuel protège ceux qui attendent un texte voté. Ceux qui anticipent trop tôt s’exposent inutilement. Dans un domaine aussi sensible que le consentement cookies, la patience stratégique est souvent la plus rentable.