Les règles cookies au Royaume-Uni après le 5 février 2026 : l’exemption statistique, expliquée

Ce qui a changé le 5 février 2026

Les Privacy and Electronic Communications Regulations (PECR) sont la loi cookies du Royaume-Uni, et jusqu’à cette année elles exigeaient un consentement pour chaque cookie non strictement nécessaire, comme dans l’UE. Le Data (Use and Access) Act 2025 les a modifiées, et les dispositions sur les cookies sont entrées en vigueur le 5 février 2026. La loi a ajouté aux PECR une nouvelle Schedule A1 avec une courte liste de finalités pour lesquelles le stockage et l’accès n’exigent plus de consentement, et elle a relevé l’amende maximale pour infraction aux PECR de 500 000 £ au niveau du UK GDPR. L’ICO a finalisé ses lignes directrices sur les technologies de stockage et d’accès le 29 avril 2026, après deux consultations, et ces lignes directrices sont désormais la référence pour le fonctionnement pratique des exemptions.

Les exemptions, et leurs conditions

Trois nouvelles finalités sont exemptées de consentement. Les cookies utilisés uniquement à des fins statistiques, lorsque les informations qui en résultent ne sont utilisées que par l’exploitant du site pour l’améliorer. Les cookies utilisés uniquement pour adapter l’apparence ou le fonctionnement du site aux préférences du visiteur, les réglages d’accessibilité et d’affichage étant les exemples évidents. Et les cookies nécessaires pour fournir une assistance d’urgence, comme la localisation pour un service d’urgence. Le mot qui porte tout le poids est uniquement : un cookie de statistiques qui alimente aussi la publicité, ou un cookie de préférence qui sert aussi d’identifiant pour un tiers, n’est pas éligible.

Deux conditions s’appliquent aux exemptions statistiques et apparence, et toutes deux sont faciles à manquer. D’abord, le visiteur doit toujours recevoir une information claire sur ce qui est stocké et pourquoi. Ensuite, il doit disposer d’un moyen simple de s’opposer, et l’opposition doit être respectée. La bannière ne disparaît donc pas ; elle change de forme. Pour un cookie de statistiques exempté, un avis d’information avec opt-out suffit. Pour tout le reste, la règle du consentement est inchangée.

Ce qui nécessite toujours un consentement

• Les cookies et pixels publicitaires et de retargeting, tous sans exception.
• Les intégrations de réseaux sociaux et boutons de partage qui déposent des cookies.
• Les statistiques partagées avec, ou utilisées par, quiconque d’autre que l’exploitant du site.
• Le suivi inter-sites de toute nature, y compris des « statistiques » qui identifient une personne d’un site à l’autre.
• Tout ce que les lignes directrices de l’ICO qualifient d’intrusif : fingerprinting, enregistrement de session avec données personnelles, outils A/B qui profilent.

GA4 est-il éligible ?

C’est la question que se pose chaque site britannique, et la réponse honnête est : pas dans sa configuration standard. L’exemption vise les statistiques utilisées uniquement par l’exploitant du site. Une propriété GA4 standard envoie les données à Google, où elles sont traitées selon les conditions de Google et, sauf si vous désactivez chaque paramètre de partage, utilisées aussi aux fins propres de Google. Ce n’est pas « utilisées uniquement par l’exploitant ». Un outil de statistiques auto-hébergé ou first-party qui ne partage jamais les données est le cas clair ; GA4 avec le partage désactivé est discutable et l’ICO ne l’a pas validé. CookieCrumbs livre le jeu de règles britannique avec les exemptions modélisées, et traite GA4 comme soumis au consentement sauf indication contraire de votre part, ce qui est la lecture prudente et celle que nous défendrions.

Les amendes s’alignent désormais sur le UK GDPR

L’autre moitié de la loi est celle que les sites ont tendance à sauter. Les amendes PECR étaient plafonnées à 500 000 £ ; elles le sont désormais à 17,5 millions de livres ou quatre pour cent du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, ce qui est le plafond du UK GDPR. L’ICO a dit qu’elle utiliserait ses nouveaux pouvoirs. Autrement dit, le Royaume-Uni a assoupli la règle pour les cookies les moins intrusifs et a multiplié par trente-cinq la sanction pour les intrusifs.

Quoi faire sur votre site

1. Scannez le site et classez chaque cookie par finalité. Les exemptions sont par finalité, pas par fournisseur.
2. Décidez si vos statistiques sont « utilisées uniquement par vous ». Si c’est GA4 tel que livré, ce n’est pas le cas. Gardez-le derrière le consentement.
3. Pour les cookies que vous classez comme statistiques ou apparence exemptées, conservez l’avis d’information et ajoutez une voie d’opposition. Un lien « gérer les cookies » permettant de les désactiver suffit.
4. Conservez l’opt-in pour la publicité, les réseaux sociaux et les statistiques tierces, avec Refuser aussi simple qu’Accepter.
5. Conservez les enregistrements. La charge de la preuve n’a pas bougé.

Le guide des régions montre comment le jeu de règles britannique est appliqué par visiteur, aux côtés des règles de l’UE, de la Suisse, du Brésil, du Canada et des États-Unis, depuis une seule bannière.

Sources

1. Practical Law (Thomson Reuters), « Changes to UK cookie rules: Data (Use and Access) Act 2025 »
2. Stevens & Bolton, « The Data (Use and Access) Act 2025: cookies, what is changing and what you need to know »
3. Womble Bond Dickinson, « New exceptions for non-intrusive cookies: the ICO’s updated guidance has landed », 2026
4. Clifford Chance, « Key aspects of the Data (Use and Access) Act take effect », février 2026
5. Veille réglementaire CookieCrumbs, « UK PECR Schedule A1 », lignes directrices ICO finalisées le 29 avril 2026

Rédigé par l’équipe CookieCrumbs, publié le 5 septembre 2026. Chaque fait porte sa date ; si l’un d’eux a évolué, dites-le-nous et nous corrigerons.