En 2013, la CNIL avait édicté des règles relatives aux cookies déposées par les site web qui sont devenues caduques avec l'entrée en vigueur, il y a un an, du RGPD. Ces règles de 2013 admettaient qu'une interaction quelconque, même un simple scroll, suffisait à enregistrer un consentement, ce qui est spécifiquement contraire au RGPD qui exige un consentement explicite. Lors d'une audition devant la Commission des affaires européennes de l'Assemblée Nationale le 27 juin 2019, Marie-Laure Denis, présidente de la CNIL, a annoncé que ces règles feraient donc l'objet d'une refonte en commençant par constater que la décision de 2013 doit être abrogée. Cette abrogation devrait être actée lors d'une prochaine réunion plénière de l'autorité administrative indépendante, le 4 juillet 2019, avec la publication d'un état du droit en la matière après le RGPD.

Depuis plusieurs mois, la CNIL travaille avec les représentants des éditeurs de sites web pour aboutir à de nouvelles lignes directrices pour donner des consignes opérationnelles précises. Le travail devrait s'achever d'ici la fin 2019 et ces nouvelles règles être édictées à ce moment là. Une période de transition devrait être accordée, de l'ordre de six mois. Lors de son audition, Marie-Laure Denis en a donc déduit que les nouvelles lignes directrices s'appliqueraient dans un peu plus d'un an. Un communiqué de la CNIL a fait le point, le lendemain 28 juin, sur la question de la publicité en ligne au sens large. La période de transition concernant le démarchage publicitaire est achevée, comme l'a rappelé la CNIL.

Se basant sur ces déclarations, la Quadrature du Net s'est offusquée dans un communiqué que, « au mépris total du droit européen, [la CNIL] souhaite attendre juillet 2020 pour commencer à sanctionner les sites internet qui déposent des cookies sans respecter les nouvelles conditions du RGPD pour obtenir notre consentement. » Or la CNIL rappelle dans son propre communiqué que le fait que les lignes directrices opérationnelles adaptées au RGPD ne soient pas publiées n'empêche pas l'application de ce règlement, ni les contrôles à ce sujet. Simplement, les sites web ne disposent pas actuellement de règles opérationnelles claires à respecter : il leur faut interpréter les règles selon leur propre point de vue (au risque d'être sanctionnés en cas d'interprétation erronée). La situation est donc inconfortable pour les éditeurs de sites web mais n'entraîne aucun vide juridique ou aucune tolérance supplémentaire.