Consentement, identité et cookies : où en est-on en 2026

Cet article éclaire trois décisions : comment recueillir et transmettre le consentement, jusqu'où compter sur les identifiants intersites, et comment continuer à mesurer quand une partie du public refuse. Il décrit la situation en octobre 2026 ; les règles et les navigateurs évoluent, les dates comptent donc. Ce n'est pas un avis juridique.

• Chrome a conservé les cookies tiers. En avril 2025, Google a annoncé qu'il maintiendrait son approche actuelle, qui laisse aux utilisateurs le choix sur les cookies tiers dans Chrome, plutôt que de les supprimer ou d'afficher une nouvelle fenêtre de choix dédiée¹. En octobre 2025, il a annoncé le retrait de la plupart des technologies de la Privacy Sandbox, dont Topics, Protected Audience et Attribution Reporting, faute d'adoption suffisante².
• Safari et Firefox bloquent par défaut le suivi intersites, depuis 2020 et 2022 respectivement^4, 5.
• Dans l'Union européenne, le consentement porte sur l'appareil. Les lignes directrices du CEPD d'octobre 2024 lisent la règle ePrivacy comme couvrant les pixels de suivi et les techniques similaires, pas seulement les cookies⁶. La Commission a proposé en novembre 2025 de transférer ces règles dans le RGPD⁷ ; en 2026, la proposition était toujours en discussion au Parlement et au Conseil^8, 9.
• Signaux et tuyauterie. Le mode consentement et le TCF d'IAB Europe transmettent les choix aux outils^10, 11 ; le taggage côté serveur et les clean rooms changent le lieu du traitement, pas la nécessité du consentement^13, 14.

Dans l'Union européenne et l'Espace économique européen, deux ensembles de règles s'appliquent ensemble. L'article 5, paragraphe 3, de la directive ePrivacy exige le consentement avant de stocker des informations sur l'appareil d'une personne ou de les y lire, sauf si c'est strictement nécessaire à un service qu'elle a demandé. Le RGPD régit ensuite les données personnelles qui en résultent, y compris la base légale de leur utilisation (voir RGPD et ePrivacy).

Les lignes directrices 2/2023 du CEPD, adoptées en octobre 2024, montrent jusqu'où va la règle sur l'appareil. Elles placent le pixel de suivi dans son champ : la livraison du pixel vaut stockage, au moins par la mise en cache, et un site qui intègre un pixel pour que l'appareil envoie des données à un service publicitaire tiers obtient un accès à l'appareil⁶. Conséquence pratique : un pixel d'ouverture d'e-mail, un pixel de conversion et un script qui fait remonter des événements par le navigateur appellent la même analyse qu'un cookie.

La proposition de Digital Omnibus présentée par la Commission le 19 novembre 2025 transférerait les règles sur l'appareil dans le RGPD tout en gardant le consentement comme règle principale. Elle exempterait les finalités à faible risque comme le comptage des visites, imposerait un refus en un clic, obligerait les sites à respecter un choix pendant au moins six mois et permettrait de régler ses préférences une fois pour toutes, par exemple dans le navigateur⁷. En 2026, ce n'était encore qu'une proposition : la procédure était toujours devant le Parlement et le Conseil, et des commentateurs indiquaient que le texte du Conseil avait abandonné la disposition sur les signaux du navigateur^8, 9. Planifiez avec les règles d'aujourd'hui et suivez le dossier de procédure.

Hors d'Europe, les règles varient selon les marchés ; vérifiez celles de chaque marché avant de réutiliser un dispositif européen, et gardez partout la même discipline : une information claire, un vrai choix et la trace de ce choix.

Trois points comptent pour la planification.

• La position de Chrome est un choix, pas une garantie Google a conservé les cookies tiers au choix de l'utilisateur¹ et retire les API de la Privacy Sandbox censées les remplacer ; CHIPS (cookies cloisonnés) et FedCM (connexion fédérée) sont maintenus, et les travaux sur l'attribution passent à un groupe de travail du W3C². Protected Audience a été déprécié dans Chrome 144, et une mise à jour de juin 2026 sur la liste des développeurs Chromium proposait son retrait dans Chrome 150, en relevant qu'il était utilisé sur 1,1 % des chargements de pages³.
• Les utilisateurs de Safari et Firefox sont déjà sans cookies pour le suivi intersites Safari bloque les cookies intersites et limite à sept jours sans interaction le stockage écrit par script⁴ ; Firefox donne à chaque site sa propre boîte à cookies⁵.
• Les règles de consentement s'appliquent quel que soit le navigateur Dans l'Union européenne, un cookie que Chrome autorise exige toujours un consentement s'il n'est pas strictement nécessaire.

La réponse de planification est la même quel que soit le navigateur qui l'emporte : s'appuyer sur les données first-party, utiliser le ciblage contextuel là où l'identité manque, et mesurer avec des méthodes qui ne dépendent pas du suivi des individus, comme la modélisation du mix marketing et les tests d'incrémentalité ; voir mesurer l'efficacité.

Une plateforme de gestion du consentement (CMP) recueille, enregistre et transmet les choix (voir gestion du consentement). Son rôle n'est pas de maximiser l'acceptation ; c'est de produire un choix qui tienne devant un régulateur et que chaque outil respecte.

Évitez les dark patterns, comme un bouton de refus caché ou des demandes répétées après un refus ; la proposition d'Omnibus inscrirait dans la loi le refus en un clic et un répit de six mois⁷.

Le mode consentement. Le mode consentement de Google permet à ses balises de s'adapter à l'état du consentement. En mise en œuvre de base, les balises attendent que la personne ait répondu au bandeau ; en mise en œuvre avancée, elles se chargent avec un consentement refusé par défaut, s'ajustent quand le choix est fait et permettent une modélisation plus fine des conversions¹¹. Pour le trafic de l'EEE, le mode consentement porte deux paramètres supplémentaires, ad_user_data et ad_personalization, et les annonceurs qui mesurent ce trafic avec les balises Google doivent lui transmettre les choix des personnes au titre de sa politique de consentement des utilisateurs de l'UE¹². Choisissez la mise en œuvre avec votre délégué à la protection des données, car en mode avancé les balises se chargent avant que la personne ait choisi.

Le TCF. Dans la publicité programmatique, le Transparency and Consent Framework d'IAB Europe transmet les choix aux prestataires sous forme de chaîne de consentement. La version 2.3 a rendu obligatoire le segment des prestataires divulgués : depuis le 1er mars 2026, une chaîne créée sans lui n'est plus valide¹⁰. Vérifiez que votre CMP et vos prestataires sont à jour.

Le taggage côté serveur déplace le travail des balises du navigateur vers un serveur que l'entreprise contrôle. Le navigateur envoie une seule requête par événement ; le serveur construit ensuite la requête de chaque prestataire et peut retirer les données personnelles avant toute transmission ; les cookies qu'il dépose sur un sous-domaine de l'entreprise sont first-party¹³. On y gagne en vitesse de page, en maîtrise et en scripts tiers en moins.

Il ne change pas la question du consentement. Le navigateur envoie toujours l'événement et, selon la lecture du CEPD, un script qui fait envoyer des données par l'appareil relève de la règle sur l'appareil⁶. Le taggage côté serveur permet de respecter le consentement plus finement, pas de le contourner. S'en servir pour déposer des cookies first-party de longue durée qui suivent les personnes ayant refusé irait contre sa raison d'être.

Une data clean room permet à deux entreprises, par exemple un annonceur et un distributeur ou un éditeur, de rapprocher et d'analyser leurs données pour des finalités convenues sans se remettre de fichiers bruts. Les recommandations de l'IAB Tech Lab, publiées en version 1.0 en juillet 2024, posent des principes, des fonctions et des technologies de protection de la vie privée communs, ainsi que les limites auxquelles les acheteurs doivent s'attendre¹⁴. Servez-vous-en pour mesurer le recouvrement d'audiences, la couverture et les conversions avec le retail media et les éditeurs. Une clean room ne fournit pas le consentement : les données qui y entrent doivent avoir été collectées sur une base légale qui couvre cet usage.

Une entreprise illustrative, pas une société réelle : une marque de voyage qui vend en Europe et dans le Golfe, avec un site, une application, l'e-mail et des médias payants.

• Audit Les balises de mesure et de publicité se déclenchent au chargement de la page, avant la réponse au bandeau ; le bandeau affiche « Accepter » au premier niveau et « Refuser » à deux clics ; l'e-mail utilise un pixel d'ouverture sans aucune question de consentement.
• Corrections Les balises attendent désormais le consentement ; le refus se fait en un clic au premier niveau ; le suivi des ouvertures d'e-mail est traité comme un accès à l'appareil dans l'UE ; le consentement est enregistré dans le CRM et transmis aux balises par le mode consentement, et aux partenaires programmatiques par une chaîne TCF à jour.
• Mesure Comme une partie du public refuse, l'équipe cesse de tenir pour complètes les conversions déclarées par les plateformes, ajoute un test d'incrémentalité géographique trimestriel et confie les décisions budgétaires à un modèle de mix.
• Partenaires Une clean room avec une compagnie aérienne partenaire mesure les clients communs, avec les seules données dont le consentement couvre cette finalité.

• Attendre « la fin des cookies ». Il n'y a pas d'échéance dans Chrome en octobre 2026 ; le risque vient des règles de consentement et des navigateurs qui bloquent déjà le suivi intersites^1, 4, 5.
• Voir dans le taggage côté serveur un contournement du consentement. Il déplace le traitement, pas l'obligation^6, 13.
• Deux registres de consentement. Le bandeau dit non, le CRM dit oui ; chaque outil lit celui auquel il est branché.
• Une chaîne de consentement périmée. Les chaînes sans le segment requis ne sont plus valides depuis mars 2026¹⁰.
• Ne mesurer que ceux qui ont accepté, et lire le résultat comme celui de tout le public.

1. Recensez chaque balise, pixel et SDK, ce qu'il fait et s'il exige un consentement ; n'oubliez pas les pixels d'e-mail.
2. Vérifiez le bandeau : refuser aussi simple qu'accepter, des finalités en termes clairs, rien qui se déclenche avant le choix.
3. Faites d'un registre de consentement unique la référence et transmettez-le à chaque outil : mode consentement, chaîne TCF, règles côté serveur.
4. Vérifiez que votre CMP et vos prestataires sont passés au TCF v2.3, et que vos balises pour l'EEE transmettent les deux paramètres du mode consentement.
5. Décidez où le taggage côté serveur aide (vitesse, maîtrise, moins de scripts) et écrivez les règles de ce que reçoit chaque prestataire.
6. Ajoutez une méthode de mesure qui ne dépend pas de l'identité intersites ; commencez par le cadre de mesure.

• Chrome et la Privacy Sandbox : TechRadar sur la décision d'avril 2025¹, le point de Google d'octobre 2025² et l'intention de Chromium de retirer Protected Audience³.
• Les autres navigateurs : WebKit⁴ et Mozilla⁵.
• Les règles européennes : les lignes directrices du CEPD⁶, la proposition d'Omnibus de la Commission⁷, le dossier de procédure⁸ et le commentaire de Taylor Wessing⁹.
• Signaux et tuyauterie : IAB Europe sur le TCF v2.3¹⁰, Google sur le mode consentement^11, 12 et le taggage côté serveur¹³, et l'IAB Tech Lab sur les clean rooms¹⁴.
• La suite de ce parcours : l'IA dans le marketing ; en amont, données first-party et CDP.