Digital Omnibus RGPD : 3 Règles qui Changent vos Cookies

Le nom « Digital Omnibus » circule depuis plusieurs mois dans la presse spécialisée, la CNIL, et des organisations professionnelles comme la CPME, sans que son contenu réel soit toujours clair pour un dirigeant de PME. Ce texte ne supprime pas le RGPD : il vise à en simplifier l'application, en particulier pour les structures qui n'ont ni service juridique ni délégué à la protection des données à temps plein. Mais « simplification » ne veut pas dire « moins d'obligations » sur tous les points — et le sujet des cookies en est l'exemple le plus concret.

Digital Omnibus : qu'est-ce que c'est et pourquoi il concerne déjà votre PME

Le Digital Omnibus est un paquet de plusieurs textes présenté par la Commission européenne pour réviser simultanément le RGPD, la directive ePrivacy, le Data Act et certaines dispositions de l'AI Act →. L'objectif affiché est de réduire la charge de conformité pesant sur les entreprises, notamment via une définition plus restrictive de ce qui constitue une donnée personnelle : une information ne serait considérée comme personnelle que si l'entreprise dispose réellement des moyens de l'associer à une personne identifiée.

Un paquet de textes, pas une simple mise à jour de la bannière cookies

Sur le volet cookies, le texte propose d'intégrer les règles de consentement directement dans le RGPD plutôt que dans la directive ePrivacy actuelle, avec trois obligations nouvelles : un mécanisme de refus aussi accessible que celui de l'acceptation, l'interdiction explicite des dark patterns, et l'obligation pour les sites de respecter un signal de refus envoyé automatiquement par le navigateur, sans que l'internaute ait à cliquer sur chaque bannière. Ce dernier point rejoint une logique déjà explorée par le volet cybersécurité européen NIS2 → : standardiser un comportement au niveau technique plutôt que de compter sur une action manuelle répétée.

Ne confondez pas ce texte avec le Digital Omnibus sur l'IA, déjà négocié

Le paquet Digital Omnibus regroupe en réalité plusieurs textes à des stades très différents, et la confusion est fréquente. Le volet consacré à l'intelligence artificielle a déjà abouti à un accord provisoire entre le Parlement européen et le Conseil le 7 mai 2026, qui reporte à décembre 2027 certaines obligations de l'AI Act pour les systèmes à haut risque initialement prévues en août 2026. Le volet RGPD et cookies, lui, suit un calendrier séparé et beaucoup moins avancé : l'avis du CEPD du 11 février 2026 n'est qu'une étape de consultation, pas une adoption.

Les 3 règles qui vont changer sur les cookies de votre site

Le tableau suivant résume ce que propose le texte, tel qu'il ressort de l'avis du CEPD et des analyses juridiques disponibles à ce jour — en gardant à l'esprit qu'il peut encore évoluer d'ici son adoption formelle.

Règle proposée	Situation actuelle (RGPD/ePrivacy)	Ce qui changerait
Refus en un clic	Déjà exigé par la CNIL, mais souvent contourné en pratique	Obligation explicite inscrite dans le RGPD lui-même
Interdiction des dark patterns	Sanctionnable au cas par cas par la CNIL	Interdiction nommément définie dans le texte
Signal automatisé du navigateur	Aucune obligation de reconnaissance	Obligatoire, avec un délai d'application d'environ 24 mois
Définition des données personnelles	Interprétation large, source d'incertitude pour les PME	Définition resserrée aux données réellement identifiables

Le refus en un clic et l'interdiction des dark patterns

Le principe n'est pas entièrement nouveau : la CNIL exige déjà, dans ses lignes directrices, que le refus des cookies soit aussi facile que leur acceptation. Ce que change le Digital Omnibus, c'est le fait d'inscrire cette exigence noir sur blanc dans le texte du RGPD plutôt que dans une simple recommandation d'autorité nationale, avec une interdiction explicite des interfaces conçues pour décourager le refus — bouton « Accepter » mis en avant, lien « Refuser » relégué dans un sous-menu, ou pré-cochage des cases de consentement.

Le signal automatisé du navigateur, et la nouvelle définition des données personnelles

Le point le plus structurant à moyen terme concerne la reconnaissance d'un signal de refus envoyé automatiquement par le navigateur : si l'internaute a défini une préférence générale de refus dans les paramètres de son navigateur, le site devrait la respecter sans afficher de bannière à chaque visite. Ce mécanisme, comparable dans l'esprit au Global Privacy Control déjà utilisé aux États-Unis, disposerait d'un délai d'application plus long — environ 24 mois après l'adoption du texte — le temps que navigateurs et éditeurs de sites s'équipent techniquement.

Calendrier : ce qui est déjà tranché, ce qui reste à négocier

Distinguer les deux volets du Digital Omnibus évite bien des confusions dans une PME. Le volet AI Act a déjà un calendrier ferme, confirmé en commission le 2 juin 2026. Le volet RGPD et cookies, lui, n'a pas encore atteint ce stade : une fois adopté, le règlement entrerait en vigueur 20 jours après sa publication, avec une application progressive des nouvelles obligations — de l'ordre de 6 mois pour la bannière de consentement et de 24 mois pour le signal automatisé du navigateur.

Le texte n'est pas encore en vigueur : ce que ça signifie concrètement

Tant que le Digital Omnibus RGPD n'est pas formellement adopté, c'est le cadre actuel — RGPD et directive ePrivacy, tel qu'interprété par la CNIL — qui continue de s'appliquer intégralement, sanctions comprises. Une PME n'a donc aucune obligation immédiate liée à ce texte. L'article sur la conformité cookies et les sanctions CNIL en 2026 → détaille précisément les règles déjà applicables aujourd'hui, celles-là mêmes que le Digital Omnibus viendrait renforcer plutôt que remplacer.

Pourquoi attendre le dernier moment reste risqué

La tentation, face à un texte encore en négociation, est de remettre le sujet à plus tard. Le risque est différent de celui d'une non-conformité : c'est celui de devoir refaire dans l'urgence, une fois le calendrier fixé, une bannière de consentement mal conçue au départ. Un site dont la gestion des données est déjà structurée → et dont le consentement est géré par un outil dédié plutôt qu'un script bricolé absorbe ce type d'évolution réglementaire en quelques heures de configuration, pas en refonte complète.

La méthode en 5 actions pour préparer votre PME dès maintenant

• Vérifiez d'abord votre conformité aux règles actuelles.
  Le refus en un clic est déjà une exigence CNIL, indépendamment du Digital Omnibus.
• Passez par une plateforme de gestion du consentement (CMP) reconnue plutôt qu'une bannière codée maison.
  Ces outils intègrent les mises à jour réglementaires sans intervention technique de votre part.
• Cartographiez les cookies réellement déposés sur votre site.
  Google Ads, Meta Pixel, outils d'analytics : chaque traceur doit être identifié avant de pouvoir être géré correctement.
• Suivez l'avancée du texte sans agir dans la précipitation.
  Aucune obligation n'est encore en vigueur ; le calendrier officiel donnera des délais de mise en conformité une fois le texte adopté.
• Faites auditer votre configuration actuelle par un professionnel.
  Un audit identifie les écarts avec les règles déjà en vigueur, avant même de parler du Digital Omnibus.

Ces cinq actions se mènent en parallèle de votre activité normale : elles ne demandent pas de refonte de site, mais une revue de la configuration existante. Nos offres de maintenance et suivi SEO → incluent ce type de vérification régulière, pour éviter de découvrir un écart de conformité au moment d'un contrôle.

Deux PME, loin de Paris et de Toulouse

Une conserverie artisanale de Bretagne vendant en ligne a découvert, lors d'un audit de routine, que son ancien module de cookies affichait un bouton « Tout accepter » en couleur et reléguait le refus dans un lien texte à peine visible — exactement le type de dark pattern que la CNIL sanctionne déjà et que le Digital Omnibus viserait à interdire explicitement. Le remplacement par une plateforme de consentement conforme a pris moins d'une demi-journée.

Un cabinet de conseil installé en région PACA, qui suit ses prospects via des campagnes Google Ads, a préféré anticiper plutôt que de découvrir un jour un signal de refus automatisé qu'il ne saurait pas traiter techniquement. Son prestataire a simplement vérifié que la plateforme de consentement utilisée figurait parmi celles compatibles avec ce type de signal — une vérification de dix minutes qui évitera une intervention en urgence le jour où l'obligation deviendra réelle.

Points clés à retenir

• Le Digital Omnibus RGPD propose 3 obligations nouvelles sur les cookies : refus en un clic, interdiction des dark patterns, reconnaissance d'un signal automatisé du navigateur.
• Le texte n'est pas encore adopté : l'avis du CEPD du 11 février 2026 est une étape de consultation, pas une entrée en vigueur.
• Le volet IA du même paquet a déjà un accord provisoire (7 mai 2026) et un calendrier ferme — ne pas confondre les deux textes.
• Les délais prévus sont d'environ 6 mois pour la bannière de consentement et 24 mois pour le signal automatisé, une fois le texte adopté.
• Aucune PME n'a d'obligation immédiate liée à ce texte, mais le cadre RGPD/CNIL actuel, lui, s'applique déjà intégralement.
• Une plateforme de consentement à jour absorbe ce type d'évolution réglementaire sans refonte complète du site.

FAQ : vos questions sur le Digital Omnibus et le RGPD

Conclusion

Le Digital Omnibus RGPD n'est, à ce jour, ni une obligation immédiate ni un texte à ignorer : c'est une réforme en cours de négociation qui va progressivement formaliser des règles déjà attendues par la CNIL sur le refus en un clic, tout en introduisant un mécanisme réellement nouveau avec le signal automatisé du navigateur. Une PME qui vérifie dès maintenant sa conformité actuelle, remplace une bannière codée maison par une plateforme de consentement à jour, et suit l'avancée du texte sans précipitation, absorbera cette évolution en quelques heures le moment venu — plutôt qu'en refonte d'urgence.