Nl

TECH

Les règles du jeu du marketing (en ligne) en pleine évolution, par Beatrijs Dewijngaert et Hannah Tacheny (AdaStone)

Jeudi 19 Février 2026

Les règles du jeu du marketing (en ligne) en pleine évolution, par Beatrijs Dewijngaert et Hannah Tacheny (AdaStone)

La Commission européenne a annoncé deux initiatives susceptibles d’influencer sensiblement le cadre réglementaire (numérique) : le Digital Omnibus, qui envisage notamment un éventuel ajustement du RGPD, et le Digital Fairness Act, qui vise à renforcer la protection des consommateurs à l’ère numérique. Dans cet article, nous expliquons ce qui est actuellement en discussion.

Le Digital Omnibus et la jurisprudence européenne récente

Le 19 novembre 2025, la Commission européenne a présenté le Digital Omnibus. Cette initiative a pour objectif de mieux aligner l’ensemble des règles existantes auxquelles les entreprises ont été confrontées ces dernières années (pensons au RGPD, à l’AI Act et à la directive e-Privacy) et de les moderniser quelque peu. L’espoir est que les entreprises soient ainsi moins confrontées à certaines contradictions et zones d’incertitude.
  • Définition des données à caractère personnel

Un point intéressant concerne ce que certains décrivent comme un possible "retour en arrière" du RGPD. Il impliquerait une limitation de la notion de "donnée à caractère personnel".

Aujourd’hui, le RGPD applique une définition dite "absolue" de la notion de donnée personnelle : dès qu’une donnée concerne une personne physique identifiée ou identifiable, elle est considérée comme une donnée à caractère personnel au sens du RGPD. Le fait que l’entreprise qui collecte ou reçoit les données soit effectivement en mesure d’identifier la personne en pratique ne joue aucun rôle.

L’Omnibus propose en revanche d’adopter une définition relative de cette notion: les données ne seraient alors  plus considérées "à caractère personnel" au sens du RGPD si l’entreprise qui collecte les données n’est pas en mesure d’identifier la personne concernée, compte tenu des moyens qu’il peut (raisonnablement) utiliser. Cette approche avait déjà été suggérée par la Cour de justice dans son arrêt du 4 septembre 2025 (C-413/23).

Mais cette modification changerait-elle réellement les choses de manière fondamentale ?

Pour le secteur de la publicité et de l’adtech, dont le consentement constitue la base légale principale pour de nombreux  traitements - du tracking à la mesure -, cette modification serait la bienvenue. Certains acteurs pourraient ainsi soutenir que le RGPD ne s’applique plus aux données dès lors qu’ils ne sont pas en mesure d’identifier la personne physique derrière celles-ci.

Cette souplesse doit toutefois être nuancée. La Cour de justice a été claire : chaque acteur doit évaluer au préalable, au cas par cas et sur la base de critères objectifs, si une identification reste raisonnablement possible. Il faudrait ainsi tenir compte notamment des coûts et du temps nécessaires à une identification, des mesures de sécurité mises en place, de la technologie disponible aujourd’hui (ou à l’avenir), ainsi que dela possibilité pour des tiers d’identifier une personne sur base d’autres données.

Autrement dit : une simple "promesse" affirmant qu’une identification n’est pas possible ne suffit pas pour sortir du champ d’application du RGPD.
En tout état de cause, ce sujet n’est pas clos et fait toujours l’objet de débat : le projet est en effet actuellement contesté par le Comité européen de la protection des données (EDPB) et le Contrôleur européen de la protection des données (EDPS).
 
  • Bannières cookies
La Commission souhaite également s’attaquer à la "fatigue du consentement" liée aux bannières cookies. Nous connaissons tous ce réflexe consistant à cliquer rapidement sans réellement comprendre ce qui vient d’être accepté. Le "consentement" devient ainsi en pratique une formalité plutôt qu’un choix conscient.

Le Digital  Omnibus confirme le consentement comme principe de base, mais la Commission souhaite prévoir des exceptions claires pour les traitements de données à faible risque (comme les statistiques ou l’audience measurement).

Lorsque le consentement reste nécessaire, la Commission entend le rendre plus équitable et plus simple, par exemple en permettant l’acceptation ou le refus des cookies en un seul clic et en favorisant davantage des préférences centralisées via les paramètres du navigateur. Elle envisage également de limiter les demandes répétées en prévoyant qu’un refus (« non ») reste valable pendant six mois.
 
  • Marketing direct
Le chevauchement actuel - et parfois les contradictions - entre la directive e-Privacy et le RGPD rendent les règles en matière de marketing direct particulièrement complexes : l’une exige en principe un consentement, tandis que l’autre l’autorise sans,  sous certaines conditions.

Dans l’arrêt Inteligo Media du 13 novembre 2025, la Cour de justice a précisé que le consentement n’est pas requis lorsque :
  • l’adresse e-mail a été obtenue dans le cadre d’un achat ou d’une relation client existante,
  • le marketing porte sur des produits ou services similaires,
  • le client peut se désinscrire facilement et gratuitement lors de la collecte de l’adresse e-mail et dans chaque e-mail ultérieur.Dans d’autres situations, le consentement reste requis au titre du RGPD.
Dans tous les cas, la personne concernée doit toujours pouvoir se désinscrire facilement ou retirer son consentement.

Quoi qu’il en soit : le RGPD n’est pas encore à mettre de côté. L’Omnibus n’est qu’une première proposition qui doit encore être approuvé par le Parlement européen et le Conseil.

Et dans un futur proche : le Digital Fairness Act

L’Europe entend renforcer la protection des consommateurs à l’ère numérique. La Commission européenne travaille actuellement sur une nouvelle proposition législative : le Digital Fairness Act (DFA).

Cette initiative fait suite au Fitness Check de 2022, au cours duquel la Commission a très clairement observé que les règles actuelles présentaient des lacunes et ne protégeaient plus suffisamment les consommateurs. La conclusion est claire : le modèle "notice and consent" ne suffit pas lorsque les consommateurs sont confrontés à des interfaces conçues pour exploiter leurs biais cognitifs et les orienter subtilement (ou moins subtilement) dans une direction précise.

L’étude a montré que, dans la pratique, les consommateurs ne sont souvent pas à la hauteur face aux techniques utilisées par les entreprises, telles que :
  • dark patterns : interfaces trompeuses poussant le consommateur à dire oui ;
  • choix de conception addictifs : par exemple l’autoplay sur TikTok permettant un défilement infini (l’UE a d’ailleurs récemment contraint TikTok à adapter son design jugé "addictif") ;
  • personnalisation déloyale : utilisation abusive des données personnelles exploitant la vulnérabilité du consommateur ;
  • marketing trompeur : manque de transparence ;
  • contrats numériques déloyaux : abonnements à renouvellement automatique ou difficilement résiliables.

La Commission entend donc, avec le DFA, remédier à ces lacunes et renforcer ainsi la protection des consommateurs, en particulier des mineurs. La traduction concrète en obligations pour les entreprises reste toutefois à préciser : une première proposition législative est attendue pour fin 2026.

Chez Adastone, nous suivons et continuerons à suivre ces initiatives de près. Pour l’instant, il ne s’agit encore que de propositions, mais l’orientation est déjà claire : affiner le cadre réglementaire numérique existant tout en renforçant la protection des consommateurs en ligne.
 

Archive / TECH