Veille réglementaire

Ce qui s'applique, ce qui se discute, et ce qui n'existe plus

Le marché entretient la confusion entre le droit en vigueur et les projets de réforme, parce que l'incertitude fait vendre. Chaque entrée ci-dessous porte son statut, sa source et les règles du référentiel qu'elle impacte.

8textes applicables

3projets non adoptés

1textes retirés

Applicable aujourd'hui

Ce sur quoi un contrôle se fonderait s'il avait lieu demain.

En vigueur20 juin 2018

Article 82 de la loi n° 78-17 — consentement préalable aux traceurs

Transposition de la directive 2002/58/CE. Le dépôt d'informations dans l'équipement terminal d'un utilisateur, ou l'accès à des informations déjà stockées, suppose son consentement préalable, sauf exceptions limitées.

Ce que cela change

C'est le fondement de la quasi-totalité des sanctions cookies prononcées en France. Il s'applique quelle que soit la technique employée : cookie, pixel, stockage local ou empreinte du terminal.

Recommandation

Base juridique stable. Aucune anticipation particulière requise.

Règles du référentiel concernées

KZC-DEPOT-001 KZC-DEPOT-005 KZC-REFUS-001 KZC-STORAGE-001

Source : Légifrance

En vigueur17 septembre 2020

Lignes directrices CNIL relatives aux cookies et autres traceurs

Interprétation par la CNIL des obligations issues de l'article 82 : consentement libre, spécifique, éclairé et univoque, refus aussi simple que l'acceptation, information préalable sur les finalités et les destinataires.

Ce que cela change

C'est le référentiel de contrôle effectivement appliqué en France. La poursuite de navigation ne vaut pas consentement.

Recommandation

Référence de contrôle. À traiter comme le standard applicable.

Règles du référentiel concernées

KZC-DEPOT-007 KZC-BANNER-002 KZC-BANNER-010 KZC-BANNER-012

Source : CNIL, délibération n° 2020-091

En vigueur17 septembre 2020

Recommandation CNIL sur les modalités pratiques de recueil du consentement

Modalités concrètes : symétrie visuelle des boutons, durée de conservation des choix, mémorisation du refus, granularité par finalité.

Ce que cela change

Fournit les critères sur lesquels reposent la plupart des constats relatifs à l'ergonomie du bandeau, y compris l'asymétrie de traitement entre accepter et refuser.

Recommandation

Appliquer intégralement. C'est la grille de lecture du régulateur.

Règles du référentiel concernées

KZC-BANNER-003 KZC-BANNER-004 KZC-BANNER-005 KZC-BANNER-006 KZC-REFUS-004 KZC-REFUS-005

Source : CNIL, délibération n° 2020-092

Jurisprudence1 octobre 2019

CJUE, C-673/17, Planet49 — cases pré-cochées

Une case pré-cochée ne constitue pas un consentement valable au sens du RGPD, l'utilisateur devant manifester une volonté active.

Ce que cela change

Toute finalité non essentielle cochée par défaut dans un panneau de réglages est un manquement caractérisé.

Recommandation

Vérifier qu'aucune finalité n'est activée par défaut.

Règles du référentiel concernées

KZC-BANNER-007

Source : Cour de justice de l'Union européenne

Jurisprudence16 juillet 2020

CJUE, C-311/18, Schrems II — transferts vers les pays tiers

Invalidation du Privacy Shield et exigence d'une évaluation du niveau de protection effectif du pays destinataire, au-delà de la seule signature de clauses contractuelles types.

Ce que cela change

Une analyse d'impact des transferts est attendue pour chaque destinataire hors adéquation. La seule existence de clauses contractuelles ne suffit pas.

Recommandation

Documenter une analyse d'impact des transferts pour chaque destinataire hors décision d'adéquation.

Règles du référentiel concernées

KZC-TRANSFER-002 KZC-TRANSFER-005 KZC-TRANSFER-007

Source : Cour de justice de l'Union européenne

En vigueur10 juillet 2023

Décision d'adéquation EU-US Data Privacy Framework

La Commission a reconnu un niveau de protection adéquat pour les transferts vers les organisations américaines certifiées au titre du Data Privacy Framework.

Ce que cela change

Les transferts vers un destinataire américain certifié sont facilités. La certification doit être vérifiée entité par entité, et son maintien contrôlé dans le temps.

Recommandation

Vérifier la certification de chaque destinataire américain sur la liste officielle, et consigner la date de vérification.

Règles du référentiel concernées

KZC-TRANSFER-003 KZC-TRANSFER-004

Source : Décision d'exécution (UE) 2023/1795

En vigueur17 avril 2024

Avis CEPD 08/2024 — modèles « consentir ou payer »

Le comité considère que, dans la plupart des cas, les grandes plateformes ne peuvent pas se contenter d'un choix binaire entre consentir au suivi publicitaire et payer.

Ce que cela change

Une alternative réelle et équitable doit être proposée, et sa proportionnalité documentée.

Recommandation

Si un tel modèle est en place, documenter l'alternative proposée et la justification du tarif retenu.

Règles du référentiel concernées

KZC-BANNER-016 KZC-BANNER-017

Source : Comité européen de la protection des données

En vigueur6 mars 2024

Google Consent Mode v2 — signaux ad_user_data et ad_personalization

Depuis mars 2024, deux signaux supplémentaires doivent être transmis pour continuer à bénéficier des fonctionnalités publicitaires et de mesure de Google dans l'EEE.

Ce que cela change

Il s'agit d'une exigence contractuelle privée, distincte du droit applicable. Son non-respect dégrade la mesure sans constituer, en soi, un manquement au RGPD.

Recommandation

Déclarer les quatre signaux en « denied » par défaut, puis les mettre à jour selon le choix exprimé.

Règles du référentiel concernées

KZC-CMV2-001 KZC-CMV2-002 KZC-CMV2-003

Source : Exigences contractuelles Google

En discussion

Ce qui n'est pas adopté et ne doit fonder aucune décision de conformité.

Projet contesté19 novembre 2025

Projet d'article 88a — structure du consentement (Digital Omnibus)

Environ 6 mois après une éventuelle entrée en vigueur

La proposition rapatrierait les règles relatives aux traceurs dans le RGPD, encadrerait la structure du consentement, et envisagerait une exemption élargie pour la mesure d'audience first-party ainsi qu'une interdiction de re-solliciter pendant environ six mois après un refus.

Ce que cela change

Si le texte était adopté en l'état, la durée de mémorisation du refus deviendrait une obligation et non plus une recommandation. Le périmètre de l'exemption de mesure d'audience pourrait s'élargir.

Recommandation

Porter dès maintenant la durée de mémorisation du refus à six mois : c'est déjà recommandé, sans risque, et cela anticipe le texte. Ne rien changer d'autre : le projet n'est pas adopté.

Règles du référentiel concernées

KZC-REFUS-005 KZC-REFUS-010 KZC-EXEMPT-001 KZC-BANNER-002 KZC-BANNER-003

Source : Commission européenne, COM(2025) 837

Projet contesté19 novembre 2025

Projet d'article 88b — signaux de consentement transmis par le navigateur

Environ 24 mois après une éventuelle entrée en vigueur

La proposition rendrait juridiquement opposables les signaux de consentement émis automatiquement par le navigateur de l'utilisateur.

Ce que cela change

Les éditeurs devraient lire et respecter un signal transmis par le navigateur, sans interaction avec le bandeau. Cela rapprocherait le droit européen du mécanisme Global Privacy Control.

Recommandation

Veille. Une prise en charge anticipée du signal Global Privacy Control est un investissement raisonnable et sans effet négatif.

Règles du référentiel concernées

KZC-CONSENT-006 KZC-CONSENT-007

Source : Commission européenne, COM(2025) 837

Projet contesté11 février 2026

Avis conjoint CEPD et CEPD-EDPS 2/2026 sur le Digital Omnibus

Les deux autorités ont rendu un avis conjoint critique sur plusieurs aspects de la proposition COM(2025) 837.

Ce que cela change

L'adoption du texte en l'état est incertaine. Fonder une stratégie de conformité sur ses dispositions serait prématuré.

Recommandation

Ne rien changer sur la foi du projet. Suivre le parcours législatif.

Règles du référentiel concernées

KZC-EXEMPT-006 KZC-CONSENT-007

Source : Comité européen de la protection des données

Sans objet

Textes retirés, encore invoqués dans certains argumentaires commerciaux.

Retiré11 février 2025

Retrait de la proposition de règlement ePrivacy

Après huit ans de blocage au Conseil, la Commission a retiré sa proposition de règlement ePrivacy, qui devait remplacer la directive de 2002.

Ce que cela change

Le cadre applicable reste la directive 2002/58/CE transposée à l'article 82. Les annonces d'une refonte imminente du droit des cookies sont sans objet à ce titre.

Recommandation

Aucune. Se méfier des argumentaires commerciaux fondés sur un règlement ePrivacy « à venir ».

Source : Commission européenne

Méthode

Comment cette veille est tenue

Revue hebdomadaire des publications de la CNIL, du Comité européen de la protection des données, d'EUR-Lex et de la jurisprudence de la Cour de justice. Chaque entrée est rattachée aux règles qu'elle impacte, ce qui permet de savoir immédiatement si une évolution vous concerne — ou non.

Sur un abonnement Pro, une alerte est envoyée lorsqu'une évolution touche une règle effectivement déclenchée sur vos domaines. Le reste du temps, vous n'entendez pas parler de nous : c'est le principe.

Avertissement

Konsent est un outil d'analyse technique automatisée. Les résultats produits sont purement indicatifs et reposent sur l'observation du comportement d'un client automatisé à un instant donné, dans une configuration donnée. Ils ne constituent ni un audit juridique, ni une consultation juridique, ni une certification de conformité, et n'engagent pas la responsabilité de KAYZEN LYON SASU quant à l'appréciation qui pourrait être portée par une autorité de contrôle ou une juridiction. Seul un professionnel du droit habilité peut qualifier juridiquement une situation au regard du règlement (UE) 2016/679, de la loi n° 78-17 du 6 janvier 1978 modifiée et des textes applicables. Les montants mentionnés correspondent à des plafonds légaux théoriques et non à une prévision de sanction. Les documents générés sont des modèles à personnaliser et à faire valider avant toute utilisation.