Faut-il encore un bandeau cookie en 2026 ?

Cela dépend de ce que votre site écrit ou lit dans le terminal du visiteur. La règle en vigueur au 1er septembre 2026 reste l’article 5(3) de la directive ePrivacy 2002/58/CE : le consentement est requis dès qu’un site accède au terminal pour une finalité qui n’est pas strictement nécessaire au service demandé. Un site qui charge des pixels publicitaires entre dans ce champ. Un site dont la mesure d’audience n’accède pas au terminal n’a pas de cookie analytique à faire accepter, mais reste tenu de vérifier tous ses autres outils. Cette page expose des faits datés, elle ne remplace pas votre analyse juridique.

Non, et il n’est pas adopté. Le Digital Omnibus est une proposition de règlement présentée par la Commission européenne le 19 novembre 2025 sous la référence COM(2025) 837. Au 1er septembre 2026 elle est toujours en négociation et ne produit aucun effet juridique. L’article 88b, celui qui aurait rendu contraignants les signaux de consentement émis par le navigateur, a même été retiré de la position du Conseil du 18 juin 2026 : seul le Parlement européen pourrait le rétablir. Aucun texte en vigueur ne supprime les bandeaux cookie aujourd’hui.

Toujours en négociation. Le Conseil de l’Union européenne n’a pas réuni de majorité qualifiée : la présidence chypriote a retiré son texte de compromis avant de passer la main à la présidence irlandaise le 1er juillet 2026. Le Parlement européen n’a pas arrêté sa position. Dans le scénario le plus optimiste, l’adoption interviendrait fin 2026 et l’application en 2027 au plus tôt. D’ici là le texte peut encore changer substantiellement, comme l’a montré la suppression de l’article 88b.

Ce n’est pas une obligation légale, c’est une exigence de Google. Depuis début mars 2024, les visiteurs de l’Espace économique européen dont le choix de consentement n’est pas transmis à Google sortent des audiences utilisées par ses produits publicitaires. Le consent mode v2 ajoute deux paramètres, ad_user_data et ad_personalization, introduits en novembre 2023 au titre du règlement sur les marchés numériques, à côté de analytics_storage et ad_storage. Si votre site n’utilise aucun produit publicitaire ou de mesure Google, la question ne se pose pas pour vous.

Shopify pose lui-même des cookies que sa propre politique cookies range dans la catégorie Reporting et analyse, dont _shopify_y, d’une durée d’un an. Ces dépôts relèvent du consentement dans l’Union européenne et ils ont lieu quel que soit l’outil de mesure que vous ajoutez par ailleurs : changer d’analytics ne retire pas cette ligne. Shopify fournit une bannière de consentement intégrée et une Customer Privacy API pour enregistrer le choix du visiteur. La réponse est donc oui, et elle ne dépend pas de vous.

Non : la Commission européenne l’a retiré. Le retrait figure au programme de travail 2025 de la Commission, COM(2025) 45 final du 11 février 2025, à l’entrée 29 de son annexe des retraits, sous la référence COM(2017) 10 final / 2017/0003 (COD). Le motif inscrit est l’absence d’accord attendu des colégislateurs et le caractère dépassé de la proposition, après huit ans de blocage. La directive ePrivacy 2002/58/CE et ses transpositions nationales, elles, restent en vigueur : c’est toujours ce texte de 2002 qui s’applique.

Si votre site ne pose que Snorklee, il n’y a pas de cookie analytique à faire accepter : pour compter une visite, Snorklee n’écrit ni ne lit d’information dans le terminal, ni cookie, ni localStorage, ni sessionStorage. La seule écriture possible est un indicateur d’opposition, snorklee_optout, que le visiteur active lui-même. Mais Snorklee ne retire qu’une cause de bandeau, pas toutes : les autres outils de votre page gardent leurs obligations. La réponse dépend donc de la page entière, jamais du seul outil de mesure.

Oui. Par deux délibérations du 1er septembre 2025, la CNIL a infligé 325 millions d’euros à Google LLC et Google Ireland Limited, et 150 millions d’euros à Infinite Styles Services Co. Limited, filiale irlandaise du groupe Shein. Chez Google, refuser les traceurs publicitaires à la création de compte était plus difficile que les accepter, et rien n’indiquait que l’accès aux services était conditionné à ce dépôt. Chez Shein, des traceurs publicitaires étaient déposés avant tout consentement et le refus restait sans effet.

Non : cette échéance est indienne, pas européenne. Elle vient de la loi indienne sur la protection des données personnelles numériques, le DPDP Act, et de ses règles d’application : une entité qui veut opérer comme Consent Manager doit s’enregistrer auprès du Data Protection Board of India avant le 13 novembre 2026. Aucun texte de l’Union européenne ne crée de registre officiel de Consent Managers, ni dans le RGPD, ni dans la directive ePrivacy, ni dans la proposition Digital Omnibus. Confondre les deux revient à préparer un site européen à une obligation qui ne le concerne pas.