En bref
- Cadre historique et légal : Adoptée en 2002 et révisée en 2009, la directive ePrivacy (2002/58/CE) est le texte européen fondateur imposant le consentement préalable pour les cookies non essentiels. Elle reste pleinement en vigueur.
- Transposition nationale : Chaque État membre l’a intégrée dans son droit interne. En France, elle s’incarne dans l’article 82 de la loi Informatique et Libertés, sous le contrôle de la CNIL.
- Principe d’articulation : Sur la question des cookies, ePrivacy constitue la lex specialis face au RGPD. La règle spécifique (ePrivacy) prévaut pour l’accès et l’inscription d’informations sur le terminal (EDPB, avis 5/2019).
- Statut de l’ePR en 2026 : La proposition de règlement ePrivacy (ePR), initiée en 2017, a été officiellement retirée par la Commission européenne en 2025 (publication au JOUE le 6 octobre 2025). La directive de 2002/2009 demeure l’unique référence.
- Jurisprudence financière : La CNIL sanctionne l’inconformité sur le fondement de l’article 82. Les décisions contre Google (150 M€), Facebook (60 M€) et Microsoft (60 M€) cumulent à elles seules 270 M€ d’amendes.
- Champ d’application : Le critère d’assujettissement repose sur la localisation de l’utilisateur final au sein de l’UE, indépendamment du siège social de l’éditeur.
Qu’est-ce que la directive ePrivacy ?
La directive ePrivacy est l’acte réglementaire européen garantissant la confidentialité des communications électroniques. Elle encadre spécifiquement l’utilisation des cookies et autres traceurs en exigeant le consentement préalable de l’internaute avant l’accès ou l’inscription d’informations sur son terminal. Adoptée en 2002, elle prédate le RGPD de seize ans.
Son évolution repose sur trois jalons majeurs :
- 2002 : L’Union européenne adopte la directive 2002/58/CE dédiée à la protection de la vie privée dans le secteur des communications électroniques.
- 2009 : La directive 2009/136/CE modifie le texte initial et introduit l’obligation explicite d’accord préalable pour les traceurs non essentiels — lui valant le qualificatif informel de « directive cookies ».
- Depuis 2018 : L’entrée en application du RGPD n’a pas rendu l’ePrivacy obsolète ; les deux cadres juridiques coexistent.
Objet et portée
Le texte s’applique à trois périmètres : la confidentialité des échanges électroniques (contenus et métadonnées), la prospection directe (e-mailing commercial), et la manipulation d’informations au sein du terminal de l’utilisateur — englobant l’ensemble des cookies publicitaires, de mesure d’audience ou de profilage.
Référence officielle
Dans la documentation juridique et technique, le texte source est répertorié sous la référence directive 2002/58/CE (identifiant EUR-Lex CELEX : 32002L0058), modifiée par la directive 2009/136/CE. Sa déclinaison exécutoire en France est codifiée à l’article 82 de la loi Informatique et Libertés.
Directive ePrivacy vs RGPD : quel texte s’applique à mes cookies ?
La directive ePrivacy intervient en amont pour encadrer le dépôt et la lecture d’informations sur l’équipement terminal. Le RGPD prend le relais au moment du traitement ultérieur des données à caractère personnel collectées grâce à ces traceurs. Les deux régimes ne s’excluent pas : ils régissent deux phases distinctes de la chaîne de traitement.
Le principe de lex specialis
Lorsqu’une opération relève simultanément de la directive ePrivacy et du RGPD, la règle juridique spécifique prime sur la règle générale (lex specialis derogat legi generali).
Dans son avis 5/2019 du 12 mars 2019, le Comité européen de la protection des données (EDPB) a confirmé que l’action technique de lire ou stocker un équipement (le cookie) ressortit exclusivement de la directive ePrivacy. En conséquence, la base légale pour déposer un cookie non essentiel est fixée par ePrivacy et non par les mécanismes alternatifs du RGPD.
Tableau comparatif
| Critère | Directive ePrivacy | RGPD |
|---|---|---|
| Champ d’application | Confidentialité des communications, opérations de lecture/écriture sur un terminal | Traitement global des données à caractère personnel |
| Rôle pour les cookies | Régit la condition d’accès préalable au terminal (Consentement) | Régit l’exploitation post-collecte des données |
| Régulateur en France | CNIL | CNIL |
| Nature du texte | Directive (nécessite une transposition nationale) | Règlement (directement applicable et uniforme) |
| Sanctions | Fixé par la loi nationale de transposition (LIL Art. 82) | Jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial |
Articulation pratique
La séquence opérationnelle s’établit comme suit : obtention du consentement au sens de l’ePrivacy avant le dépôt du fichier, puis application des principes RGPD (durée de conservation, droits des personnes) sur les données récoltées. Si l’utilisateur refuse le traceur, l’accès au terminal est bloqué et le traitement RGPD sous-jacent n’a pas lieu d’exister.
Directive vs règlement : pourquoi la distinction compte
Une directive européenne fixe des objectifs contraignants mais laisse aux États membres la liberté de choisir les moyens juridiques d’application ; un règlement s’impose immédiatement de manière identique dans l’ensemble des pays de l’UE. En tant que directive, l’ePrivacy s’est traduite par vingt-sept législations nationales distinctes.
Des règles différentes selon le pays
Bien que les règles de base soient harmonisées, les critères d’application et la tolérance opérationnelle varient selon les autorités de contrôle :
- CNIL (France)
- Garante (Italie)
- AEPD (Espagne)
- APD (Belgique)
- Datatilsynet (Danemark)
Le Royaume-Uni, suite à sa sortie de l’UE, applique son propre cadre via l’ICO (régime post-Brexit fondé sur le Privacy and Electronic Communications Regulations — PECR). Pour une entreprise internationale, la conformité exige donc de s’adapter aux interprétations spécifiques de chaque marché cible.
Transposition française : l’article 82 de la loi Informatique et Libertés
En France, les exigences de la directive ePrivacy sont intégrées à l’article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée. Cet article dispose que toute action visant à inscrire ou lire des informations dans un équipement terminal exige l’information préalable et le consentement de l’utilisateur, en dehors des exceptions strictement prévues.
L’action de la CNIL
La CNIL a structuré sa doctrine dans ses Lignes directrices et sa Recommandation du 17 septembre 2020 (délibérations n° 2020-091 et 2020-092), complétées par une délibération actualisée le 4 juillet 2025 relative à la mesure d’audience.
Sur la base de l’article 82, l’autorité française a prononcé des amendes d’une ampleur inédite :
- Google : 150 M€ (31 décembre 2021) pour un parcours de refus plus complexe que celui d’acceptation.
- Facebook : 60 M€ (31 décembre 2021) pour des motifs similaires.
- Microsoft : 60 M€ (19 décembre 2022) pour le dépôt de cookies publicitaires sur Bing sans consentement explicite.
L’exigence de la CNIL est claire : le refus des cookies doit être aussi simple à exprimer que leur acceptation.
Ce que la directive ePrivacy exige concrètement pour un site web
Traduites en obligations opérationnelles, les règles issues de la directive et de sa transposition française tiennent en cinq points :
Exigences ePrivacy
Consentement préalable
Blocage de l’exécution de tout script non essentiel avant le choix positif de l’utilisateur.
Information transparente
Présentation claire des finalités et des entités déposant des traceurs avant le choix.
Parité d'action (Acceptation / Refus)
Interface proposant une option de refus accessible avec le même nombre d’actions que l’option d’acceptation.
Révocabilité
Mise à disposition d’un moyen permanent et simple d’accès permettant de modifier ses choix à tout moment.
Traçabilité des choix
Conservation de la preuve du consentement (horodatage, version de la politique) au sein d’un registre auditable.
Une plateforme de gestion du consentement (CMP) permet d’automatiser ces cinq exigences — recueil, catégorisation, preuve et retrait — depuis un seul bandeau de consentement conforme.
Cookies exemptés de la directive ePrivacy : les vraies exceptions
Seules deux catégories de traceurs bénéficient d’une dispense légale de consentement :
- Les cookies ayant pour finalité exclusive de permettre ou faciliter une communication par voie électronique.
- Les cookies strictement nécessaires à la fourniture d’un service de communication en ligne expressément demandé par l’utilisateur (ex. : panier d’achat, authentification, choix de langue).
Ce qui n’est pas exempté
Les cookies d’analyse de trafic (analytics), de personnalisation de contenus ou de suivi publicitaire ne sont pas exemptés par défaut par la directive européenne.
L’exemption partielle de la CNIL pour la mesure d’audience
La CNIL tolère une exemption d’accord préalable pour certains outils de mesure d’audience, sous réserve de respecter des critères cumulatifs stricts :
- Usage exclusif : Production de statistiques anonymes pour le seul compte de l’éditeur du site.
- Absence d’interconnexion : Aucune transmission des données à des tiers ni recoupement entre applications différentes.
- Portée limitée : Interdiction de suivre la navigation de l’utilisateur en dehors du site concerné.
- Gestion des identifiants : Durée de vie du traceur limitée à 13 mois maximum (sans prorogation automatique) et conservation des données analytiques limitée à 25 mois.
- Anonymisation : Tronquage impératif des adresses IP (masquage du dernier octet).
Avertissement de conformité : Les solutions d’analyse standard, telles que Google Analytics 4 (y compris en mode Consent Mode Advanced), ne remplissent pas l’ensemble de ces conditions en raison du transfert d’identifiants vers l’écosystème du prestataire. Leur déploiement requiert l’obtention du consentement préalable.
Portée extraterritoriale : qui est concerné ?
Le champ d’application de la directive s’étend à toute entité qui accède au terminal ou y stocke des données dès lors que cet équipement est situé sur le territoire d’un État membre de l’Union européenne.
Application aux éditeurs hors UE
Une entreprise établie en dehors de l’Union européenne (aux États-Unis ou en Asie) qui diffuse du contenu à destination de résidents européens doit se conformer à l’article 82 de la LIL pour le trafic français. Les sanctions prononcées par la CNIL à l’encontre de sociétés basées aux États-Unis reposent directement sur ce principe de territorialité lié au terminal.
Extension matérielle du terme « terminal »
La notion juridique de « terminal » dépasse largement le cadre des seuls navigateurs web sur ordinateur. Elle englobe :
- Les applications mobiles (iOS et Android)
- Les objets connectés (IoT)
- Les téléviseurs connectés (Smart TV / CTV)
- Les consoles de jeux et boîtiers de streaming
Chacun de ces environnements relève du même régime d’obligation de consentement.
Le règlement ePrivacy (ePR) : où en est-on en 2026 ?
Après plusieurs années d’impasse politique au Conseil de l’UE, la Commission européenne a formellement retiré sa proposition de règlement ePrivacy en 2025. La directive de 2002/2009 demeure le seul texte légal applicable en 2026.
Chronologie de l’abandon du texte
- Janvier 2017 : Présentation du projet de règlement visant à remplacer la directive par un texte directement applicable.
- 11 février 2025 : La Commission annonce l’intention de retirer la proposition dans son programme de travail annuel, constatant l’absence de compromis.
- 16 juillet 2025 : Approbation formelle de l’abandon du texte.
- 6 octobre 2025 : Publication du retrait au Journal officiel de l’Union européenne (référence C/2025/5423).
Conséquences opérationnelles pour 2026-2028
L’abandon du projet de règlement confirme le maintien du statu quo juridique. La conformité repose toujours sur la directive et ses interprétations nationales. Les organisations ne doivent plus anticiper une harmonisation par règlement à court terme, mais structurer leur gouvernance de données autour des directives des autorités de contrôle locales (notamment la CNIL en France).
Join our growing community of data privacy enthusiasts now. Subscribe to the Usercentrics newsletter and get the latest updates right in your inbox.
