L'argument que l'autorité a saisi
L'autorité belge de protection des données, agissant comme autorité de contrôle chef de file, a tenté de clore une réclamation cookies sans jamais examiner la bannière cookies. Sa proposition consistait à rejeter l'affaire pour abus de droit au titre des articles 77 et 80, paragraphe 1, du RGPD. La réclamation visait la bannière de consentement de la Vlaamse Radio- en Televisieomroeporganisatie, le radiodiffuseur public flamand, et elle émanait de noyb, l'organisation de protection de la vie privée qui dépose des réclamations à grande échelle par la voie du mandat de représentation prévue à l'article 80, paragraphe 1, du RGPD.
L'autorité autrichienne de protection des données a formé une objection. C'est cette objection qui a fait sortir le dossier de Belgique pour l'amener dans le mécanisme de cohérence, et c'est la raison pour laquelle le Comité européen de la protection des données a fini par trancher au titre de l'article 65, paragraphe 1, point a), du RGPD, au lieu que l'autorité belge close simplement l'affaire.
Le résultat est la Décision contraignante 1/2026. Elle a été adoptée le 28 mai 2026 et publiée le 14 juillet 2026. L'adoption est l'événement le plus ancien. La publication du 14 juillet est ce qui a placé le raisonnement sous les yeux de quiconque exploite une bannière dans l'Union européenne.
Ce que le Comité a décidé le 28 mai
Le Comité européen de la protection des données n'a retenu aucun abus de droit, et il a estimé qu'aucun des deux éléments exigés par un tel constat n'était réuni. Appliquant les critères dégagés par la Cour de justice de l'Union européenne, il a jugé que ni l'élément objectif ni l'élément subjectif n'était établi.
Il a ensuite enjoint à l'autorité de contrôle chef de file d'examiner la réclamation au fond et de soumettre un nouveau projet de décision au titre de l'article 60, paragraphe 3, du RGPD. Aucun délai n'est indiqué pour ce nouveau projet.
Lue avec attention, il s'agit d'une décision de procédure et de rien d'autre. Elle ne crée pas de règle sur la conception des bannières. Elle ne constate aucun manquement du radiodiffuseur. Rien n'a été tranché au fond, aucune sanction n'a été fixée, et la question de savoir si la bannière était licite se trouve exactement là où elle se trouvait en 2021, en attente de réponse.
Le volume ne rend pas un mandat suspect
Une porte de sortie procédurale vient de se refermer, et c'était celle sur laquelle la plupart des exploitants comptaient discrètement. L'argument avait un attrait évident. Cette réclamation est l'une des milliers déposées par une organisation militante, donc on traite le dépôt lui-même comme le vice et on rejette. Un régulateur national, en qualité d'autorité chef de file, a réellement soutenu cette thèse. Le Comité l'a écartée dans une décision contraignante.
Le principe, tel qu'il est rapporté, est qu'un mandat valable au titre de l'article 80, paragraphe 1, du RGPD ne devient pas suspect au seul motif que l'organisation représentante agit à grande échelle. Cette formulation provient du compte rendu de la décision et non du texte de la décision, et elle mérite d'être maniée avec prudence pour cette raison. Le résultat lui-même ne fait aucun doute.
La conséquence pour un dirigeant est directe. Votre exposition sur une bannière de consentement se joue sur la conception de la bannière, non sur l'identité du plaignant ni sur le nombre de réclamations qu'il a déposées. Toute défense bâtie sur l'identité ou sur le débit du plaignant est désormais une défense qu'une autorité chef de file a tentée et avec laquelle elle a perdu.
Cinq ans dans la file, et toujours vivante
La réclamation a été déposée le 10 août 2021. Ce n'est qu'aujourd'hui, près de cinq ans plus tard, qu'elle est renvoyée pour une décision au fond. Elle est restée dans une file, et cette attente n'a rien changé à sa portée.
La leçon que nous en tirons est qu'une réclamation en sommeil conserve toute sa force. Une bannière que vous avez corrigée en 2023 ne solde pas la réclamation déposée contre la version que vous exploitiez en 2021. Partez du principe que la version publiée il y a des années reste examinable, car dans cette affaire elle l'est.
Ce que cela change sur votre site
Raisonnez à partir de l'idée que la bannière exploitée il y a des années reste examinable, et non à partir de l'ancienneté de vos archives. Si vous ne pouvez pas produire l'interface de consentement telle qu'elle se présentait en 2021 ou en 2022, vous ne pouvez pas montrer ce qu'une autorité de contrôle examinerait réellement, et vous discuterez d'un écran que vous n'avez plus.
Conservez donc des enregistrements versionnés de la bannière elle-même. La formulation, la hiérarchie des boutons, les états par défaut, le niveau auquel le refus était proposé. Ce sont les éléments qu'un examen au fond regarde, et ce sont ceux qui changent en silence chaque fois qu'une plateforme de consentement déploie une mise à jour.
Et cessez de lire le nombre de dépôts comme un signal de risque. Le nombre de réclamations qu'une organisation dépose ne vous dit rien sur le point de savoir si celle qui vous vise sera entendue. La Décision contraignante 1/2026 indique qu'elle le sera.
À lire ensuite: L'UE réécrit le RGPD | Une première demande de données peut être abusive
