L'obligation de recueillir un consentement avant de déposer des cookies ne figure pas dans le RGPD : elle est plus ancienne et vient d'un autre texte, la directive ePrivacy, officiellement la directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans les communications électroniques. Adoptée le 12 juillet 2002, à une époque où les cookies servaient surtout aux sessions de connexion et à une personnalisation basique — le suivi entre plusieurs sites était techniquement possible, mais pas encore un phénomène de masse.
Dans sa version initiale, l'article 5, paragraphe 3, de la directive n'exigeait guère plus que d'informer les utilisateurs du dépôt de cookies et de leur offrir une possibilité de s'y opposer — un régime d'opt-out. Ne rien faire valait consentement implicite. En pratique, cela se traduisait souvent par une mention perdue quelque part sur la page, que presque personne ne lisait, avec des cookies déjà déposés avant même que quiconque l'ait remarquée.
Cela a changé avec la directive 2009/136/CE du 25 novembre 2009, qui a entièrement réécrit l'article 5, paragraphe 3 — communément appelée « directive cookies », bien qu'elle ne soit formellement qu'une modification de la directive ePrivacy d'origine. Le régime d'opposition est devenu une véritable obligation de consentement : depuis lors, les cookies non strictement nécessaires à un service expressément demandé ne peuvent être déposés qu'après un consentement informé de l'utilisateur — pas après coup, pas tacitement.
La raison de ce durcissement tenait au développement fulgurant de la publicité en ligne dans les années 2000 : les cookies de suivi sont devenus le socle de modèles économiques entiers, et des profils d'utilisateurs se sont constitués à partir de données rassemblées sur dix, vingt, cent sites différents — le plus souvent à l'insu même des personnes concernées. Le législateur européen a réagi en renversant la charge : ce n'était plus à l'utilisateur de s'opposer, mais au site web de faire consentir.
Il faut comprendre que la directive ePrivacy est, comme son nom l'indique, une directive, et non un texte de droit de l'UE directement applicable comme le serait un règlement. Les directives fixent un objectif que chaque État membre doit transposer dans son droit national — et c'est précisément dans cette transposition qu'a résidé, pendant des années, le véritable problème. Le délai expirait le 25 mai 2011, mais de nombreux États membres — l'Allemagne parmi eux — n'ont adopté la nouvelle obligation qu'avec réticence, ou sous une forme proche de l'ancienne logique d'opposition. La façon dont l'Allemagne a fini par résoudre ce problème fait l'objet d'un article distinct de cette série.
Aujourd'hui encore, la directive ePrivacy reste le véritable fondement juridique du consentement aux cookies — et non le RGPD, entré en application seulement en 2018 et qui régit une question différente, quoique étroitement liée : le traitement des données à caractère personnel en général. Les deux textes s'articulent l'un avec l'autre, et c'est précisément cette articulation qui fait l'objet du prochain article.
Un successeur envisagé, le règlement ePrivacy, devait remplacer la directive et entrer en vigueur en tant que droit directement applicable, sans transposition nationale. Il est en négociation entre les institutions de l'UE depuis des années et n'a toujours pas été adopté — tant que cela ne sera pas le cas, la directive de 2002/2009 reste la base de référence.
Pour les exploitants de sites web, cet historique vaut la peine d'être connu, car il explique pourquoi le consentement aux cookies n'est pas né en réaction à un scandale isolé, mais comme une réponse progressive à une pratique développée sur plusieurs années. La règle de 2009 n'a rien eu d'une surprise : elle n'a fait que prolonger logiquement une idée déjà formulée en 2002 — l'accès à l'appareil d'autrui n'est pas une opération technique neutre, mais une ingérence qui exige une justification.