RGPD vs directive ePrivacy : la différence que tout le monde ignore
La plupart des entreprises pensent que « respecter le RGPD » suffit. Erreur : en matière de cookies et d'emails commerciaux, c'est la directive ePrivacy — transposée en France à l'article 82 de la LIL — qui prime. Comprendre les deux textes, c'est éviter les sanctions invisibles.
Deux textes distincts, deux champs d'application
Le RGPD (Règlement général sur la protection des données, UE 2016/679) est entré en application en mai 2018. Il s'agit d'un règlement européen directement applicable dans tous les États membres, sans transposition nationale nécessaire. Son champ : tout traitement de données personnelles, quelle qu'en soit la forme (fichier client, email, analytics, RH…). Sa logique : une base légale pour chaque traitement, des droits pour les personnes, des obligations pour les responsables de traitement.
La directive ePrivacy (2002/58/CE, modifiée par la directive 2009/136/CE) est plus ancienne et plus spécifique. Elle régit les communications électroniques : confidentialité des emails, cookies, tracking sur le terminal de l'utilisateur, prospection commerciale par voie électronique. Étant une directive (et non un règlement), elle a nécessité une transposition dans chaque État membre. En France, cette transposition figure à l'article 82 de la Loi Informatique et Libertés (LIL).
Règlement vs Directive : la différence clé
Un règlement européen (comme le RGPD) s'applique directement, de manière uniforme dans tous les États membres. Une directive fixe des objectifs mais laisse chaque État la transposer dans son droit national — d'où des variations entre pays. C'est pourquoi la directive ePrivacy s'appelle différemment selon les pays (PECR au Royaume-Uni, article 82 LIL en France, TDDDG en Allemagne).
Les cookies : pourquoi ePrivacy, pas le RGPD ?
C'est la confusion la plus répandue. Beaucoup d'entreprises pensent que leur bandeau de cookies est une obligation RGPD. Techniquement, c'est faux — ou du moins incomplet.
L'article 82 de la LIL (transposant ePrivacy) dispose que « tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète […] et doit disposer d'un moyen de refus » avant tout dépôt ou lecture de cookies non strictement nécessaires. Ce texte exige le consentement préalable pour les cookies analytiques, publicitaires, de personnalisation, etc.
Le RGPD intervient en complément : les données collectées via ces cookies (adresses IP, identifiants, comportements de navigation) constituent des données personnelles, soumises aux exigences RGPD (base légale, finalité, durée de conservation, droits des personnes). Mais le consentement préalable au dépôt relève bien d'ePrivacy/article 82 LIL.
L'article 82 LIL en détail
L'article 82 de la Loi Informatique et Libertés est le texte central de la réglementation cookies en France. Voici ce qu'il prévoit concrètement :
- Champ d'application — Tout dépôt, lecture, ou accès à des informations stockées sur le terminal de l'utilisateur (cookies, traceurs, fingerprinting, LocalStorage, etc.).
- Règle générale — Consentement préalable obligatoire, sauf exception.
- Exceptions (sans consentement) — Traceurs strictement nécessaires à la fourniture du service (panier d'achat, authentification, préférences de langue, équilibrage de charge).
- Sanction CNIL — Jusqu'à 20 000 € ou 4 % du chiffre d'affaires mondial pour violation de l'article 82 LIL.
Vos cookies respectent-ils l'article 82 LIL ?
RGPDScan détecte automatiquement les dépôts de cookies avant consentement et les violations ePrivacy sur votre site.
Emails commerciaux : ePrivacy + RGPD en pratique
La prospection par email est un autre terrain où les deux textes s'appliquent de manière complémentaire. La directive ePrivacy (article L. 34-5 du Code des postes et des communications électroniques en France) interdit l'envoi d'emails commerciaux à des personnes physiques sans leur consentement préalable. Exception : si la personne est déjà cliente et si l'email porte sur un produit ou service analogue à celui qu'elle a acheté.
Le RGPD intervient sur les données elles-mêmes : comment les adresses email ont été collectées (base légale), combien de temps les conserver, comment gérer les désabonnements, comment répondre aux demandes d'exercice de droits. Un email peut être légalement envoyable selon ePrivacy mais violer le RGPD si les données n'ont pas été collectées avec une base légale valide ou si leur durée de conservation n'est pas définie.
Le règlement ePrivacy : serpent de mer depuis 2017
En janvier 2017, la Commission européenne a proposé un règlement ePrivacy pour remplacer la directive 2002/58/CE. Ce règlement aurait dû accompagner le RGPD lors de son entrée en vigueur en mai 2018. Neuf ans plus tard, il n'est toujours pas adopté.
Les raisons du blocage sont principalement le lobbying intense des acteurs de la publicité numérique (Google, Meta, IAB Europe) et les divergences entre États membres sur la base légale applicable aux cookies analytiques. Le Conseil de l'UE a proposé plusieurs textes de compromis successifs, tous rejetés ou abandonnés.
Le règlement ePrivacy, s'il est un jour adopté, apporterait des changements significatifs : application directe dans tous les États (harmonisation), nouvelles règles sur les metadata, extension aux communications OTT (WhatsApp, Signal), potentiellement un assouplissement sur certains cookies analytiques. En attendant, la directive 2002/58/CE et ses transpositions nationales restent applicables.
Les interactions pratiques entre les deux textes
| Cas | ePrivacy (Art. 82 LIL) | RGPD |
|---|---|---|
| Dépôt cookie analytique | Consentement requis | Base légale (consentement ou LI) |
| Cookie panier d'achat | Exempt (nécessaire) | Intérêt légitime ou contrat |
| Email prospection B2C | Consentement requis | Consentement requis |
| Email prospection B2B | Intérêt légitime possible | Intérêt légitime |
| Fingerprinting | Consentement requis | Base légale requise |
Ce que cela signifie pour votre site
La confusion entre RGPD et ePrivacy génère deux types d'erreurs de conformité fréquentes. La première : des entreprises qui ont une politique de confidentialité RGPD irréprochable mais qui déposent des cookies avant que l'utilisateur ait cliqué sur « Accepter ». Elles violent l'article 82 LIL même si leur RGPD est en ordre. La seconde : des entreprises qui pensent que refuser les cookies analytiques suffit, sans réaliser que le RGPD impose aussi un registre des traitements, des DPA avec les sous-traitants, des durées de conservation documentées.
La bonne approche consiste à traiter les deux textes comme des couches complémentaires. ePrivacy régit le moment du dépôt (avant/après consentement, exemptions). Le RGPD régit la vie entière de la donnée collectée (finalité, durée, droits, sécurité). Respecter l'un sans l'autre expose toujours à une sanction.
Les 3 règles à retenir
- ePrivacy s'applique avant tout dépôt de cookie : vérifiez que vos scripts ne s'exécutent pas avant le consentement.
- Le RGPD s'applique à toutes les données collectées : tenez un registre des traitements, rédigez vos DPA, documentez les durées.
- Les deux textes s'appliquent cumulativement : la conformité RGPD ne dispense pas de la conformité ePrivacy, et vice versa.
Pour aller plus loin
- Les 7 erreurs fatales sur votre bandeau cookies
- Checklist conformité RGPD 2026
- Amendes CNIL 2026 : ce qui expose votre site
- Outils de gestion du consentement cookies (CMP)
- RGPD pour e-commerce : obligations complètes