Ce qui bouge du côté des autorités, de la jurisprudence et des outils. Chaque entrée renvoie à sa source officielle, et dit ce qu'il faut en retenir.
Europe
Le Comité européen impose à l'autorité belge d'examiner au fond une plainte sur une bannière cookies
L'autorité belge voulait écarter une plainte de l'association noyb visant la bannière cookies du diffuseur public VRT, en invoquant un abus de droit. Dans une décision contraignante du 28 mai 2026, publiée le 14 juillet, le Comité européen de la protection des données lui demande de statuer sur le fond et de soumettre un nouveau projet de décision.
Une plainte portée par une association ne peut plus être écartée pour ce seul motif procédural. Si votre bannière de consentement fait l'objet d'une plainte, attendez-vous à ce qu'elle soit instruite sur le fond.
Le Comité européen adopte des lignes directrices sur l'anonymisation
Le Comité européen de la protection des données a adopté des lignes directrices sur l'anonymisation et sur la collecte automatisée de données pour l'IA générative. Les données sont considérées comme anonymes si elles ne permettent ni l'individualisation, ni la corrélation, ni l'inférence. Le texte intègre l'arrêt de la Cour de justice du 4 septembre 2025 et reste en consultation publique jusqu'au 30 octobre 2026.
Le caractère anonyme s'apprécie au cas par cas, entité par entité. Si vous présentez vos statistiques comme anonymes, documentez ce test à trois critères plutôt que de vous fier à une étiquette fournisseur.
Vingt-trois sanctions simplifiées de la CNIL depuis janvier 2026, dont plusieurs sur les cookies
La CNIL a prononcé 23 sanctions en procédure simplifiée depuis janvier 2026, pour 133 750 euros au total. Dix-neuf d'entre elles font suite à des plaintes de particuliers. Les manquements relevés portent notamment sur des bannières sans mécanisme de refus aussi simple que l'acceptation et sur des cookies publicitaires déposés avant tout consentement.
La procédure simplifiée vise des sites de toutes tailles, pas seulement les grandes plateformes. Vérifiez que refuser prend un seul clic, exactement comme accepter, et qu'aucun traceur publicitaire ne se déclenche avant le choix.
Le préposé fédéral suisse publie son 33e rapport d'activités
Le rapport 2025/26 du Préposé fédéral à la protection des données et à la transparence fait état de plus de 2000 annonces de violations potentielles de données, de 156 interventions auprès de responsables de traitement et de 9 enquêtes. Il relève aussi le premier arrêt définitif rendu sous la nouvelle loi, le 6 octobre 2025, qui confirme la pratique décisionnelle de l'autorité.
La nouvelle loi suisse est désormais appliquée et confirmée en justice. Si vous traitez des données de résidents suisses, votre registre des traitements et votre procédure d'annonce de violation doivent être opérationnels.
Google Analytics : le signal de consentement devient le seul contrôle des données publicitaires
Depuis le 15 juin 2026, le réglage Google Signals dans Google Analytics ne pilote plus que l'association des données aux utilisateurs connectés, pour les rapports comportementaux. Le partage de données vers Google Ads dépend désormais des réglages Ads et du signal de consentement publicitaire. Google annonce une seconde étape sur la personnalisation publicitaire plus tard en 2026.
Si vous utilisez Google Analytics, le paramétrage que vous aviez validé avec votre juriste ne produit peut-être plus le même effet. Rejouez le test : refusez tout dans votre bandeau et vérifiez ce qui part réellement.
La CNIL publie sa recommandation sur les pixels de suivi dans les courriers électroniques
Adoptée le 12 mars 2026 (délibération n° 2026-042) et publiée le 14 avril, la recommandation qualifie les pixels de suivi présents dans les e-mails de traceurs au sens de l'article 82 de la loi Informatique et Libertés. Leur usage est donc en principe soumis au consentement préalable du destinataire. La mesure individuelle de délivrabilité des courriels transactionnels fait partie des cas discutés comme exemptés.
Les taux d'ouverture de vos campagnes reposent sur ces pixels. Pour les adresses collectées avant le 14 avril 2026, la CNIL demande d'informer clairement et d'offrir une opposition simple dans un délai de trois mois.
Le préposé fédéral suisse met en garde contre de faux courriels envoyés en son nom
Le PFPDT alerte sur une campagne de messages frauduleux usurpant son identité. Ces courriels ciblent les exploitants de sites web et les accusent d'infractions à la loi suisse sur la protection des données, avec demande de paiement ou de transmission de données. L'autorité a signalé l'affaire aux autorités compétentes.
Une autorité de protection des données ne réclame jamais un paiement par courriel. Vérifiez le domaine de l'expéditeur, n'ouvrez pas les pièces jointes et contactez l'autorité par ses canaux officiels.
Action coordonnée européenne 2026 : la transparence et l'information des personnes
Le Comité européen de la protection des données a lancé le 19 mars 2026 son action coordonnée annuelle. Vingt-cinq autorités nationales examinent le respect des obligations de transparence et d'information prévues aux articles 12, 13 et 14 du RGPD. Les résultats seront agrégés au second semestre 2026.
Votre politique de confidentialité et vos mentions d'information sont au programme des contrôles cette année. Reprenez-les point par point : finalités, bases légales, durées de conservation, destinataires.
La Cour administrative luxembourgeoise annule l'amende de 746 millions d'euros prononcée par la CNPD
Par arrêt n° 52757C du 12 mars 2026, la Cour administrative du Luxembourg a annulé la décision de la CNPD de juillet 2021 qui infligeait 746 millions d'euros à un grand acteur du commerce en ligne pour ses pratiques de publicité comportementale. La Cour reproche à l'autorité de ne pas avoir analysé le caractère intentionnel ou négligent du comportement, ni l'éventail des mesures correctrices disponibles. Le dossier est renvoyé devant la CNPD.
L'annulation porte sur la méthode, pas sur le fond du dossier. Retenez surtout que l'autorité luxembourgeoise devra motiver plus finement ses sanctions, ce qui allonge les procédures sans réduire le niveau d'exigence.
Fin de la période de transition vers la version 2.3 du cadre de consentement publicitaire
Publiée le 19 juin 2025, la version 2.3 du Transparency and Consent Framework d'IAB Europe rend obligatoire le segment disclosedVendors dans la chaîne de consentement. La période de transition s'est achevée le 28 février 2026. Les chaînes créées après cette date sans ce segment sont considérées comme invalides.
Si votre plateforme de gestion du consentement n'a pas été mise à jour, les signaux qu'elle produit peuvent être rejetés par vos partenaires publicitaires. Demandez à votre prestataire une confirmation écrite de la mise à niveau.
La CNPD luxembourgeoise peut désormais introduire des recours collectifs
La loi du 20 novembre 2025, entrée en vigueur le 25 novembre 2025, transpose la directive 2020/1828 sur les actions représentatives et crée un nouveau Livre 5 du Code de la consommation. La CNPD y est reconnue comme entité qualifiée. Elle peut donc demander en justice une mesure de cessation, une mesure de réparation, ou les deux.
Au Luxembourg, un manquement au RGPD touchant de nombreux clients peut désormais déboucher sur une action collective en réparation, en plus d'une amende administrative. Le risque financier ne se limite plus à la sanction de l'autorité.
Avis conjoint critique des autorités européennes sur l'omnibus numérique
Le Comité européen de la protection des données et le Contrôleur européen ont adopté un avis conjoint sur la proposition d'omnibus numérique. Ils estiment que la redéfinition de la notion de donnée à caractère personnel va bien au-delà d'un ajustement technique et s'écarte de la jurisprudence de la Cour de justice. Ils soutiennent en revanche les mesures contre la fatigue du consentement et la prolifération des bannières, ainsi que les signaux automatisés lisibles par machine.
Le cadre applicable aux traceurs va bouger, mais pas encore. Suivez le dossier sans réécrire vos bannières dès maintenant : le texte n'est pas stabilisé.
Suisse : un grand site marchand rend la personnalisation désactivable en un clic
À la suite d'une recommandation formelle du PFPDT, le site Digitec Galaxus permet désormais de désactiver la personnalisation du site en une seule action, avec désactivation automatique des cookies associés. L'autorité avait jugé que le couplage entre le processus de commande, la création de compte et le traitement à des fins marketing contrevenait au principe de proportionnalité. Le dossier a été clôturé.
En Suisse aussi, lier un achat à un traitement marketing non nécessaire pose problème. L'opposition doit être aussi simple que l'activation, et se répercuter réellement sur les traceurs déposés.
Bilan 2025 de la CNIL : 486,8 millions d'euros d'amendes
La CNIL a rendu 259 décisions en 2025, dont 83 sanctions, 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements. Le montant cumulé des amendes atteint 486 839 500 euros. Vingt-et-un organismes ont été sanctionnés au titre des cookies et autres traceurs.
Les traceurs restent le premier motif de sanction en France. Un audit annuel de votre bandeau et des scripts réellement chargés est le minimum défendable.
La CNIL encadre le consentement aux traceurs valable sur plusieurs terminaux
La CNIL a publié le 16 janvier 2026 ses recommandations finales sur le consentement multi-terminaux, issues de la délibération n° 2025-131 du 18 décembre 2025 modifiant la recommandation cookies de 2020. Le dispositif est facultatif et ne vaut que dans les environnements où l'utilisateur est authentifié. Le refus doit rester aussi simple que l'acceptation et l'information doit préciser la portée du choix. Des travaux sur le consentement multi-propriétés sont annoncés pour 2026.
Si vos utilisateurs disposent d'un compte, vous pouvez rattacher leur choix à ce compte plutôt qu'au navigateur. Prévoyez une règle explicite de résolution en cas de choix contradictoires entre appareils.
Meta s'engage à offrir un choix sur la publicité personnalisée dans l'Union européenne
Après une décision de non-conformité au règlement sur les marchés numériques rendue en avril 2025, Meta s'est engagé auprès de la Commission européenne à proposer aux utilisateurs de Facebook et Instagram une alternative au modèle binaire. Les personnes peuvent choisir entre une publicité entièrement personnalisée et une expérience utilisant moins de données personnelles. Ces options ont été présentées aux utilisateurs européens en janvier 2026.
Le modèle qui oppose seulement consentement et abonnement payant est contesté par les régulateurs. Si vous envisagez un mur de consentement, prévoyez une troisième voie moins gourmande en données.
La Commission européenne propose de déplacer les règles cookies vers le RGPD
Présentée le 19 novembre 2025, la proposition de règlement omnibus numérique (procédure 2025/0360) transfère dans le RGPD les règles d'accès aux informations stockées sur l'équipement terminal, aujourd'hui portées par la directive ePrivacy. Le consentement reste le principe, avec une liste élargie de finalités exemptées et l'idée d'un choix mémorisé au niveau du navigateur. Le texte est toujours en cours de négociation entre le Parlement et le Conseil.
Rien n'est applicable à ce stade. Ne démontez pas votre dispositif de consentement en anticipation d'un texte qui peut encore changer.
Google retire dix technologies du programme Privacy Sandbox
Le 17 octobre 2025, Google a annoncé l'abandon de dix technologies du programme Privacy Sandbox, dont Topics, Protected Audience, Attribution Reporting et Private Aggregation, en invoquant un faible niveau d'adoption. Quelques briques sont conservées, notamment CHIPS, FedCM et Private State Tokens.
Les alternatives aux cookies tiers promises par le navigateur ne viendront pas. Les traceurs publicitaires restent donc soumis au consentement, sans solution technique de remplacement à attendre.
La Cour de justice précise quand des données pseudonymisées restent des données personnelles
Dans l'affaire C-413/23 P opposant le Contrôleur européen de la protection des données au Conseil de résolution unique, la Cour de justice juge que des données pseudonymisées ne constituent pas dans tous les cas et pour toute personne des données à caractère personnel. Selon les circonstances, la pseudonymisation peut empêcher un destinataire d'identifier les personnes concernées. Le caractère identifiable s'apprécie du point de vue du responsable au moment de la collecte, qui reste tenu d'informer les personnes.
Le statut de vos données dépend de qui les détient et de ce qu'il peut recouper. Documentez, pour chaque destinataire, les moyens dont il dispose réellement pour réidentifier une personne.
La CNIL sanctionne Google à hauteur de 325 millions d'euros et Shein de 150 millions
Le 3 septembre 2025, la CNIL a prononcé deux amendes pour non-respect des règles applicables aux traceurs. Google est sanctionné notamment pour l'affichage de publicités entre les messages dans la boîte de réception et pour le dépôt de traceurs lors de la création de compte sans consentement valable. La filiale irlandaise de Shein est sanctionnée pour le dépôt de cookies publicitaires dès la première visite et une information insuffisante sur les finalités et le refus.
Le montant record ne doit pas masquer le grief : des traceurs déposés avant le choix et une information incomplète. Ce sont exactement les points vérifiés lors des contrôles en ligne, quelle que soit la taille du site.
Le Tribunal de l'Union européenne rejette le recours contre le cadre de transfert vers les États-Unis
Dans l'affaire T-553/23, le Tribunal de l'Union européenne a rejeté le recours en annulation formé contre la décision d'adéquation du 10 juillet 2023 qui encadre les transferts de données vers les États-Unis. Il juge que le niveau de protection offert est essentiellement équivalent à celui garanti dans l'Union. Un pourvoi a été formé devant la Cour de justice à l'automne 2025.
Les transferts vers un prestataire américain certifié restent possibles aujourd'hui. Gardez toutefois à l'esprit qu'un pourvoi est pendant et cartographiez vos dépendances hors Union européenne.
La CNIL remplace son programme d'évaluation par une auto-évaluation des solutions de mesure d'audience
Le 4 juillet 2025, la CNIL a mis à disposition un outil d'auto-évaluation permettant aux fournisseurs de vérifier si leur solution de mesure d'audience peut être exemptée de consentement. L'ancien programme d'évaluation et sa liste publique de solutions ont pris fin au 1er janvier 2026. Les fournisseurs doivent documenter leur analyse et ne peuvent revendiquer aucune certification de la CNIL.
Une mention commerciale du type solution exemptée ne suffit plus. Demandez à votre prestataire le document d'auto-évaluation et la configuration exacte à appliquer, car l'éditeur du site reste responsable en cas de contrôle.
La Cour des marchés belge tranche sur le cadre de consentement publicitaire
Par arrêt du 14 mai 2025, la Cour des marchés de Bruxelles confirme que la chaîne de consentement dite TC String est une donnée à caractère personnel et qu'IAB Europe agit comme responsable du traitement des préférences des utilisateurs dans le cadre du TCF. Elle écarte en revanche cette qualification pour les traitements réalisés via le protocole OpenRTB. L'amende de 250 000 euros est maintenue, la décision initiale ayant été annulée pour un motif de procédure.
La chaîne de consentement produite par votre plateforme est une donnée personnelle à part entière. Elle doit figurer dans votre registre des traitements et dans votre information aux visiteurs.
Chrome renonce à sa nouvelle invite sur les cookies tiers
Le 22 avril 2025, Google a annoncé maintenir son approche actuelle des cookies tiers dans Chrome et ne pas déployer l'invite dédiée qui était prévue. Les utilisateurs conservent la possibilité de gérer leurs préférences dans les paramètres du navigateur. Cette décision met fin à plusieurs années d'annonces sur la disparition des cookies tiers.
La disparition des cookies tiers, souvent présentée comme imminente, n'aura pas lieu par la voie du navigateur. Vos obligations de consentement, elles, sont inchangées et découlent du droit, pas de Chrome.
Le préposé fédéral suisse publie un guide sur les cookies et technologies similaires
Le PFPDT a publié le 3 février 2025 un guide décrivant les exigences applicables au traitement de données au moyen de cookies et de technologies similaires par les responsables privés. Il déduit ces exigences de la loi fédérale sur la protection des données, de son ordonnance et de la jurisprudence. Une version 1.1 du document a été diffusée le 6 octobre 2025.
Le droit suisse ne calque pas le régime européen du consentement préalable, mais il impose transparence et proportionnalité. Si vous adressez un public suisse, alignez votre politique de confidentialité sur ce guide plutôt que de supposer une équivalence avec le RGPD.
