Le Digital Omnibus RGPD est un paquet de réformes européennes qui va modifier les règles de consentement aux cookies sur tous les sites web, y compris ceux des TPE et PME françaises. Concrètement, le texte élargit la liste des cookies pouvant être déposés sans consentement préalable (mesure d’audience, sécurité, service expressément demandé), tout en maintenant l’obligation de consentement pour les cookies publicitaires et de ciblage. Rien n’est encore définitivement adopté : le Conseil de l’Union européenne a arrêté sa position de négociation le 21 octobre 2026, mais le texte doit encore être négocié avec le Parlement européen avant d’entrer en vigueur. Voici ce que l’on sait aujourd’hui, et ce que cela signifie pour votre bandeau cookies.
Qu’est-ce que le Digital Omnibus exactement ?
Le Digital Omnibus est une proposition de la Commission européenne présentée le 19 novembre 2025, sous la référence COM(2025) 837. Son objectif affiché est de simplifier plusieurs textes numériques européens en un seul mouvement : le RGPD, la directive ePrivacy (celle qui encadre les cookies), le Data Act et la directive NIS2 sur la cybersécurité.
La Commission évalue l’économie attendue pour les entreprises européennes à environ 5 milliards d’euros d’ici 2029. L’idée centrale est de réduire la « fatigue du consentement » liée à la multiplication des bandeaux cookies, jugée contre-productive aussi bien pour les utilisateurs que pour les éditeurs de sites.
Ce paquet législatif s’inscrit dans la feuille de route européenne « One Europe, One Market », qui vise à finaliser plusieurs chantiers de simplification numérique avant fin 2027. Le volet concernant l’intelligence artificielle de ce même Omnibus est, lui, déjà en vigueur depuis le règlement (UE) 2026/1744 publié le 24 juillet 2026, mais le volet RGPD et cookies suit un calendrier distinct et plus lent.
Ce qui change concrètement pour les cookies de votre site
Des exceptions au consentement plus larges
Le principe reste inchangé : déposer un cookie ou accéder à des données sur le terminal d’un visiteur nécessite en principe son consentement. Mais la proposition élargit la liste des cas où ce consentement n’est plus obligatoire. Trois exceptions reviennent dans les versions successives du texte : les cookies strictement nécessaires au fonctionnement du service demandé par l’utilisateur, les cookies de sécurité du terminal, et la mesure d’audience agrégée réalisée par l’éditeur pour son propre usage.
Concrètement, un site qui installe un outil de mesure d’audience basique, sans partage avec des tiers publicitaires, pourrait ne plus avoir besoin de demander de consentement pour ce traceur précis. En revanche, les cookies publicitaires et de ciblage comportemental continueraient d’exiger un consentement explicite, aussi longtemps qu’aucun signal unifié ne les remplace.
Un hypothétique signal de consentement au niveau du navigateur
La version initiale de la Commission prévoyait un mécanisme de signal de consentement lisible par machine, envoyé directement par le navigateur ou le système d’exploitation (article 88b), pour éviter à l’utilisateur de répéter son choix sur chaque site. Cet article a été supprimé par le Conseil le 18 juin 2026, avant de revenir au centre des débats sous la pression de 19 organisations de défense des données qui réclamaient son retour.
Une étude commandée par Google a chiffré le coût de ce mécanisme entre 40 et 50 milliards d’euros par an pour les entreprises européennes, un montant que l’association noyb (portée par Max Schrems) a qualifié d’excessif et non vérifié de manière indépendante. À ce stade, aucun mandat définitif n’a tranché la question du signal navigateur, qui reste un point de friction majeur entre les positions des États membres.
Un délai de renouvellement du consentement raccourci
Autre évolution concrète pour les éditeurs de sites : lorsqu’un visiteur refuse les cookies, l’éditeur ne pourrait pas lui redemander son consentement avant un certain délai. Ce délai, fixé à six mois dans les premières versions du texte, a été ramené à quatre mois dans un document du Conseil daté du 2 octobre 2026. Ce point reste toutefois sujet à négociation jusqu’à l’accord final avec le Parlement.
Un délai de notification des violations de données allongé
Le Digital Omnibus touche aussi au RGPD « classique », au-delà des seuls cookies. Le délai de notification d’une violation de données à l’autorité de contrôle (la CNIL pour la France) passerait de 72 à 96 heures. L’Allemagne a même demandé d’aller plus loin, avec un délai calculé en jours ouvrés plutôt qu’en heures calendaires.
Où en est le texte aujourd’hui ?
Le processus législatif européen comporte plusieurs étapes, et le Digital Omnibus n’en est qu’à mi-chemin. Voici les dates qui jalonnent son parcours jusqu’à présent :
- 19 novembre 2025 : présentation officielle du Digital Omnibus par la Commission européenne.
- 10 février 2026 : avis commun du Comité européen de la protection des données et du Contrôleur européen de la protection des données, critique sur la définition restreinte des données personnelles.
- 18 juin 2026 : suppression par le Conseil de l’article sur le signal navigateur.
- 3 septembre 2026 : compromis de la présidence irlandaise du Conseil, qui replace les règles cookies dans la directive ePrivacy avec six exceptions possibles au consentement.
- 21 octobre 2026 : adoption du mandat de négociation du Conseil de l’Union européenne.
La prochaine étape dépend désormais du Parlement européen, qui doit encore arrêter sa propre position avant l’ouverture des négociations tripartites (trilogue) avec le Conseil et la Commission. Aucune date d’entrée en vigueur définitive n’est donc confirmée à ce stade ; les versions actuelles du texte évoquent des délais d’application de 24 à 48 mois après l’adoption finale pour les obligations liées aux signaux automatisés.
Pourquoi ce texte divise autant
Les critiques les plus vives viennent des associations de défense de la vie privée. L’association noyb, fondée par l’avocat autrichien Max Schrems, accuse la Commission de chercher à affaiblir discrètement le RGPD sous couvert de simplification technique. Le gouvernement néerlandais a de son côté estimé que les nouvelles exceptions ouvriraient la porte à davantage de suivi des internautes sans consentement qu’aujourd’hui.
À l’inverse, le secteur de la publicité en ligne, représenté en France par l’Alliance Digitale, pousse pour la suppression pure et simple du signal navigateur, qu’il juge trop coûteux à mettre en œuvre. Entre ces deux positions, le Comité européen de la protection des données a averti que scinder les règles sur l’accès aux terminaux entre deux textes différents (RGPD et ePrivacy) pourrait créer une insécurité juridique pour les éditeurs de sites eux-mêmes.
Quel impact pour les sites web des TPE et PME ?
Pour une TPE ou une PME, y compris en Seine-et-Marne (77), ce texte ne change rien dans l’immédiat : aucune obligation nouvelle n’est en vigueur tant que le Parlement européen et le Conseil n’ont pas trouvé d’accord définitif. Mais il est utile d’anticiper, car la logique générale se dessine déjà assez clairement dans les versions successives du texte.
Si la tendance actuelle se confirme, certains sites pourraient alléger leur bandeau cookies pour les seuls traceurs d’audience agrégée, tout en conservant un consentement explicite pour tout cookie publicitaire ou de ciblage. Cela ne dispense en rien de disposer d’une plateforme de gestion du consentement (CMP) correctement configurée et d’une politique de cookies à jour, puisque la directive ePrivacy continuera, dans tous les cas, de s’appliquer.
Comment se préparer dès maintenant
La meilleure stratégie face à un texte encore en discussion est de rester en conformité avec les règles actuelles, tout en suivant les évolutions du texte au fil des mois. Une CMP bien paramétrée, capable de distinguer précisément les catégories de cookies (nécessaires, mesure d’audience, publicité, réseaux sociaux), permettra de s’adapter plus facilement aux futures exceptions, quelle que soit leur version finale.
Solvhoot accompagne les entreprises de Seine-et-Marne et d’Île-de-France dans leur mise en conformité RGPD et dans le paramétrage de leur CMP, en partenariat avec Sirdata. Notre équipe suit l’évolution du Digital Omnibus pour ajuster les configurations de consentement de nos clients dès que le texte sera définitivement adopté, sans attendre la dernière minute ni céder à une version non confirmée du texte. Pour un audit de votre dispositif actuel de consentement, consultez notre page mise en conformité RGPD et CMP.