Tout le monde regarde le Digital Omnibus en se demandant si le bandeau cookies va enfin disparaître. Mauvaise question. La disposition qui va vraiment bouger vos courbes n’a rien à voir avec le bandeau : c’est l’interdiction de redemander le consentement pendant six mois après un refus, finalité par finalité. Concrètement, un visiteur qui clique sur « Refuser » aujourd’hui devient invisible pour votre mesure jusqu’au printemps prochain, et vous n’avez plus le droit de retenter votre chance à la session suivante. Cet article n’est pas une note juridique de plus. C’est une analyse d’impact de praticien de la mesure : de combien votre taux de consentement observé va descendre, ce que ça fait à votre volume GA4 et à votre modélisation, et surtout ce que vous configurez dès maintenant pour amortir le choc.
Dernière mise à jour : 24 août 2026. Le texte n’est pas encore adopté ; chaque point est daté et rattaché à un stade de la procédure.
Le résumé en 60 secondes
Avant d’entrer dans le détail, voici l’état des lieux au 24 août 2026. Le Digital Omnibus sort les règles cookies de la directive ePrivacy pour les inscrire dans le RGPD via un nouvel article 88a. Le tableau ci-dessous distingue ce qui change de ce qui ne change pas.
| Sujet | Avant (ePrivacy) | Avec le Digital Omnibus (article 88a) |
|---|---|---|
| Base légale des cookies | Directive ePrivacy, transposée pays par pays | Règlement RGPD, application uniforme dans l’UE |
| Refus du consentement | Redemandé librement, souvent à chaque session | Interdit de redemander la même finalité pendant 6 mois |
| Bouton « Refuser » | Souvent enterré dans un second écran | Refus en un clic, aussi visible que « Accepter » |
| Mesure d’audience | Zone grise selon les autorités nationales | Exemption cadrée, stricte, GA4 standard hors périmètre |
| Autorité de contrôle | Autorités ePrivacy nationales | Autorités RGPD, plafonds d’amende RGPD |
| Signal navigateur (88b) | Inexistant | Retiré par le Conseil le 18 juin 2026, sort du texte |
Le point à retenir : le bandeau ne disparaît pas, le refus devient beaucoup plus coûteux pour votre donnée, et le sauvetage technologique qu’on vous promettait (le signal navigateur) vient d’être coupé au montage. On déroule.
Pourquoi ePrivacy est mort, et pourquoi ça vous concerne
Le 11 février 2025, la Commission a retiré le projet de règlement ePrivacy de son programme de travail, après huit ans de blocage au Conseil. Ce texte devait remplacer une directive de 2002 devenue absurde à l’ère du tracking moderne. Il n’arrivera jamais. Le vide est comblé par le Digital Omnibus, proposé le 19 novembre 2025, qui fait migrer les règles d’accès au terminal (cookies, local storage, fingerprinting) directement dans le RGPD.
Pourquoi ça vous concerne, vous qui gérez du tracking et pas du contentieux : parce que le changement de véhicule juridique change l’autorité, les sanctions et surtout la mécanique du consentement. On ne parle plus de conformité formelle du bandeau, on parle d’une règle qui décide combien de vos visiteurs vous avez encore le droit de mesurer. C’est un sujet donnée avant d’être un sujet droit. Et il s’ajoute à un contexte déjà tendu : le Privacy Sandbox est mort, le signal se raréfie de partout, et la baisse de conversions observées est déjà bien documentée. Si vous voulez le décor complet de cette raréfaction du signal, j’en ai fait le tour dans Privacy Sandbox est mort : quel impact sur votre tracking en 2026.
Article 88a : les 4 exceptions, et pourquoi GA4 n’en fait pas partie
L’article 88a maintient le principe : pas d’accès au terminal sans consentement, sauf exceptions strictes. Dans la proposition, ces exceptions couvrent en substance quatre cas : la transmission d’une communication, le service explicitement demandé par l’utilisateur, la sécurité et la prévention de la fraude, et la mesure d’audience agrégée réalisée par l’éditeur pour son propre compte.
C’est la quatrième qui fait fantasmer tout le monde : « donc GA4 passe en exemption mesure d’audience ? ». Non. L’exception mesure d’audience, telle qu’elle est cadrée, suppose un périmètre mono-service, un usage strictement interne à l’éditeur, et aucun partage avec un tiers. GA4 en configuration standard envoie la donnée à Google, qui la traite pour son propre compte et l’exploite au-delà du seul site. Vous sortez du périmètre dès la première requête. GA4 standard n’est donc pas exempté, point.
Vient alors la question réflexe : « et si je passe en server-side, ça me sort du consentement ? ». Réponse honnête : non, pas à lui seul. Le server-side change qui reçoit la donnée et par où elle transite, il ne change pas la finalité ni le destinataire final. Si votre conteneur serveur relaie toujours vers Google Analytics et Google Ads, vous restez dans une finalité publicitaire et mesure soumise au consentement. Le server-side est un excellent levier de robustesse et de qualité de signal, ce n’est pas une machine à fabriquer de l’exemption. Pour bien comprendre ce qu’il déplace réellement, voir GTM Server-Side : pourquoi et comment migrer.
La règle des 6 mois du Digital Omnibus : le vrai choc opérationnel
Voici le cœur du sujet, celui que personne ne chiffre. L’article 88a prévoit qu’après un refus, le responsable de traitement ne peut pas redemander le consentement pour la même finalité pendant au moins six mois. Un clic sur « Refuser » ne se rattrape plus au retour de visite. Aujourd’hui, une part énorme du consentement se gagne à la répétition : l’utilisateur ferme le bandeau la première fois, accepte la deuxième ou la troisième. Ce mécanisme disparaît.
Prenons deux sites identiques, 100 000 visiteurs uniques par mois, un taux d’acceptation « à froid » de 55 % au tout premier affichage. Le site A re-sollicite à chaque session tant que l’utilisateur n’a pas tranché, et récupère du consentement au fil des visites. Le site B, mis en conformité 88a, respecte le cooldown de six mois sur tout refus.
| Indicateur (sur 12 mois) | Site A (re-prompt à chaque session) | Site B (cooldown 6 mois) |
|---|---|---|
| Acceptation au 1er affichage | 55 % | 55 % |
| Refus explicites verrouillés 6 mois | négligeable | ~30 % de la base |
| Taux de consentement observé stabilisé | ~70 à 75 % | ~55 % |
| Sessions mesurées vs aujourd’hui | référence | -15 à -25 points |
Les chiffres sont illustratifs, pas une promesse : votre delta réel dépend de votre trafic récurrent, de votre part de nouveaux visiteurs et de la qualité de votre bandeau. Mais la direction est certaine. Plus votre audience est fidèle et revient souvent, plus vous perdiez de refus « rattrapables » avant, et plus la chute sera marquée. Un site média avec 60 % de trafic récurrent encaisse plus fort qu’un site d’acquisition pure à froid. La règle des 6 mois transforme un refus temporaire et poreux en un refus durable et étanche.
Ce que ça fait à vos données
Une fois le taux de consentement structurellement plus bas, l’effet se propage dans toute la chaîne. Le volume GA4 collecté baisse, mécaniquement. La part de sessions modélisées, celle que GA4 reconstruit statistiquement pour les utilisateurs sans consentement, augmente : vous pilotez sur une proportion croissante d’estimations plutôt que d’observations. Or la modélisation a besoin d’un socle de données consenties suffisant pour tourner correctement ; sous un certain seuil, elle se dégrade ou ne se déclenche plus.
Le maillon le plus sensible reste le Consent Mode. En mode advanced, les tags se chargent et envoient des pings anonymes (cookieless) même sans consentement, ce qui alimente la modélisation de Google. En mode basic, rien ne part tant que le consentement n’est pas donné, et vous perdez toute matière à modéliser. Avec la règle des 6 mois qui gonfle la population de refus verrouillés, la différence entre advanced et basic n’est plus un détail de config : c’est ce qui décide si Google a de quoi reconstruire vos conversions. Si ce point n’est pas au carré chez vous, commencez par là : Consent Mode v2 dans GA4 : ce qui change et comment ne pas perdre vos conversions.
En bout de chaîne, la modélisation des conversions Google Ads perd du signal, l’attribution devient plus floue, et vos totaux se recoupent encore moins. Cet effet s’empile sur la baisse déjà en cours côté attribution, que j’ai détaillée dans Attribution GA4 2026 : ce qui a changé. Le réflexe défensif est d’aller rechercher du signal là où il est encore fiable, côté serveur, avec des Enhanced Conversions en server-side correctement câblées : ça ne remplace pas le consentement perdu, mais ça récupère de la qualité de matching sur la part consentie.
Article 88b : le rebondissement que personne n’a intégré
Voilà le renversement que la couverture en ligne n’a pas digéré. Le pendant de l’article 88a, l’article 88b, prévoyait un signal de consentement au niveau du navigateur ou du système d’exploitation : l’utilisateur règle sa préférence une fois, les sites la respectent, et les bandeaux deviennent inutiles. C’était censé être la bonne nouvelle du texte. Sauf que dans sa position du 18 juin 2026, le Conseil a purement et simplement supprimé l’article 88b. L’Allemagne, la France et la Pologne figuraient parmi les États favorables au retrait, après un lobbying appuyé du secteur publicitaire.
Traduction opérationnelle : le signal navigateur qui devait sauver les bandeaux n’est plus au menu, tandis que la règle des 6 mois, elle, reste. C’est exactement l’inverse de ce que raconte encore une bonne partie du contenu publié, y compris récent, qui présente le 88b comme acquis. Attention toutefois : le Parlement n’a pas encore arbitré, et c’est lui qui pourrait réintroduire le 88b en trilogue. Deux conséquences concrètes. D’abord, les bandeaux restent, et le GPC (Global Privacy Control) ne devient pas obligatoire dans l’UE pour l’instant. Ensuite, ne jetez pas pour autant le chantier « signal-ready » : si le Parlement remet le 88b sur la table, avec un délai d’application annoncé autour de 24 mois, vous serez content d’avoir une architecture de consentement propre et centralisée, prête à écouter un signal externe.
Checklist : les 6 choses à préparer maintenant
Le calendrier est court. L’article 88a s’appliquerait six mois après l’entrée en vigueur du texte, elle-même attendue fin 2026 ou début 2027. Voici ce que je mettrais en chantier sans attendre le vote final.
- Logger le refus, horodaté et par finalité. Vous devez pouvoir prouver la date d’un refus et savoir quand le cooldown de six mois expire, purpose par purpose. Sans ce journal, vous ne pourrez ni respecter la règle ni auditer votre propre taux.
- Câbler un cooldown par finalité côté CMP. Configurez votre bandeau pour ne pas re-solliciter une finalité refusée avant l’échéance. Beaucoup de CMP gèrent aujourd’hui un cooldown global ; il faut passer à un cooldown granulaire par purpose.
- Passer le Consent Mode en advanced et le vérifier jusqu’au conteneur serveur. C’est le point qui sauve le plus de donnée modélisée. Vérifiez que le signal circule proprement du bandeau jusqu’au server-side, sans tag qui se déclenche avant consentement.
- Auditer les tags qui partent avant le consentement. Le refus étant désormais durable, tout tag qui fuit en amont devient un risque et une source de bruit. Un audit GA4 de configuration permet de repérer ces déclenchements prématurés rapidement.
- Préparer un plan B mesure d’audience exemptée, en parallèle de GA4. Une solution de mesure interne, mono-service, sans partage tiers, peut continuer à tourner sur la part refusée si elle respecte le cadre de l’exemption. Ce n’est pas un remplacement de GA4, c’est un filet pour ne pas être totalement aveugle.
- Gouverner la preuve d’exemption. Depuis le 1er janvier 2026, la CNIL a supprimé sa liste publique de solutions de mesure d’audience évaluées : la charge de prouver l’exemption bascule sur l’éditeur. Documentez votre configuration, votre finalité et votre absence de partage, pour être capable de la défendre.
Ce que je retiens
Le Digital Omnibus n’est pas la fin du bandeau, c’est la fin du refus poreux. La règle des six mois va faire baisser votre taux de consentement observé de façon structurelle, et cette baisse se propage jusqu’à vos conversions modélisées. Le signal navigateur qui devait compenser vient d’être retiré par le Conseil, même si le Parlement peut encore le ressusciter. Vous n’êtes pas juriste et moi non plus : le sujet ici n’est pas la conformité, c’est votre courbe. Et sur la courbe, la meilleure décision aujourd’hui est de logger proprement les refus, de solidifier votre Consent Mode advanced jusqu’au serveur, et de préparer une mesure exemptée en parallèle. Faites-le avant l’entrée en vigueur : ceux qui attendront le vote final découvriront le trou dans leurs données une fois qu’il sera déjà creusé.