RGPD et omnibus numérique : ce qui change vraiment

Le 21 octobre 2026, les ambassadeurs des Vingt-Sept (UE · Conseil de l’UE) ont arrêté leur position sur l’« omnibus numérique », le texte proposé par la Commission (UE · Commission européenne) le 19 novembre 2025 pour simplifier le RGPD, la directive ePrivacy, le Data Act et NIS2. Leur mandat de négociation (document 14756/26) garde la définition actuelle des données personnelles, mais réserve la notification aux autorités aux violations à risque élevé et porte le délai de 72 à 96 heures. Le Parlement européen (UE · Parlement européen), lui, n’a pas encore voté.

Rien de tout cela ne s’applique aujourd’hui : le RGPD reste tel qu’il est, et le texte final dépendra d’une négociation qui n’a pas commencé. Mais les deux versions en présence dessinent déjà la carte des changements probables. Leur point commun : l’omnibus allège des formalités, pas les principes du RGPD.

Ce qui est déjà acté

• La proposition (UE · Commission européenne) : présentée le 19 novembre 2025 (COM(2025) 837), elle modifie le RGPD et regroupe l’essentiel des règles européennes sur les données dans deux textes, le RGPD et le Data Act.
• L’avis des régulateurs (UE · CEPD et EDPS) : le 10 février 2026, l’avis conjoint 2/2026 demande de ne pas modifier la définition des données personnelles, mais soutient le relèvement du seuil de notification des violations et le délai de 96 heures.
• La jurisprudence (UE · Cour de justice de l’UE) : le 4 septembre 2025 (arrêt C-413/23 P), la Cour a jugé que des données pseudonymisées ne sont pas, dans tous les cas et pour toute personne, des données personnelles.
• La position du Conseil (UE · Conseil de l’UE) : mandat adopté le 21 octobre 2026 ; la présidence négociera avec le Parlement dès que celui-ci aura sa propre position.
• Le calendrier du Parlement (UE · Parlement européen) : dossier confié conjointement aux commissions ITRE et LIBE ; projet de rapport déposé le 22 juin 2026, amendements en juillet ; aucun vote en commission au 29 octobre 2026.

Ce que la position du Conseil changerait

• Définition des données personnelles (UE · Conseil de l’UE, article 4) : le Conseil écarte la définition « relative » voulue par la Commission. Un nouvel article 25 bis prévoit à la place que des données pseudonymisées ne sont pas personnelles pour un tiers incapable de réidentifier, qu’elles le redeviennent chez un destinataire qui en a les moyens, et qu’elles restent toujours personnelles pour un sous-traitant.
• Violations de données (UE · Conseil de l’UE, article 33) : notification à l’autorité seulement en cas de risque élevé, dans les 96 heures « si possible », via un point d’entrée national prévu par NIS2 plutôt que par le guichet européen unique proposé par la Commission. Le registre interne de toutes les violations reste obligatoire.
• Demandes d’accès abusives (UE · Conseil de l’UE, article 12) : refus ou facturation possibles quand une intention abusive peut être démontrée, en informant la personne des motifs ; la charge de la preuve reste au responsable, mais des « motifs raisonnables de croire » à l’abus suffiraient. Le texte cite les demandes automatisées malveillantes envoyées par des agents d’IA.
• Information des personnes (UE · Conseil de l’UE, article 13) : dispense possible si la personne connaît déjà l’identité du responsable et la finalité, et si le traitement ne présente pas de risque élevé ; jamais pour les données sensibles, les gros volumes ou les traitements complexes.
• Décisions automatisées (UE · Conseil de l’UE, article 22) : la Commission voulait en faire une autorisation encadrée ; le Conseil rétablit le droit de ne pas y être soumis.
• Analyses d’impact (UE · Conseil de l’UE, article 35) : deux listes européennes, établies par le CEPD, diraient quels traitements exigent ou non une analyse d’impact. Les listes nationales restent valables d’ici là.

Le vrai enjeu : la pseudonymisation plus que la définition

Le débat public s’est focalisé sur la définition des données personnelles. Le compromis du Conseil la laisse intacte et déplace la question vers un cas précis : le partage de données pseudonymisées. C’est la situation de la plupart des projets de données, d’un entrepôt confié à un prestataire d’analyse à un jeu d’entraînement transmis à un partenaire. Demain, le statut des données dépendrait de qui détient les moyens de réidentifier. Les contrats, la séparation des clés et la documentation deviendraient la preuve.

Le reste du compromis le confirme : l’article 22 n’est pas assoupli, et la sanction récente montre pourquoi il compte. Le 21 août 2026, l’autorité néerlandaise (Pays-Bas · AP) a infligé 824 990 000 euros d’amende à Uber pour avoir désactivé automatiquement des comptes de chauffeurs, sans intervention humaine ni information suffisante. Uber a fait appel. Les gains de l’omnibus sont réels, mais ils portent sur la paperasse, pas sur le risque de sanction.

Trois points de vigilance

1. Ne rien appliquer par anticipation. Le texte n’est ni adopté ni négocié. Une violation non notifiée dans les 72 heures reste aujourd’hui un manquement, même si le seuil pourrait changer demain. Une procédure modifiée trop tôt crée un écart de conformité.

2. Le « relatif » se prouve. Pour échapper au RGPD, un destinataire devrait montrer qu’il ne peut pas réidentifier, compte tenu des moyens raisonnablement susceptibles d’être utilisés. Un sous-traitant ne pourra jamais s’en prévaloir. Sans contrat ni mesure technique, la donnée reste personnelle.

3. Le Parlement peut tout rouvrir. Les amendements déposés en commission vont dans les deux sens : retour au texte actuel pour les uns, définition relative assumée pour les autres. Les points les plus disputés, notamment l’IA, l’article 22 et la définition, ne seront tranchés qu’en trilogue.

Ce que les responsables de traitement doivent faire

1. Garder les procédures actuelles : notification sous 72 heures, registre de toutes les violations, information des personnes concernées.
2. Cartographier les jeux pseudonymisés partagés avec des tiers, et documenter qui détient les moyens de réidentification.
3. Recenser les décisions entièrement automatisées (refus, désactivation, tarification) et vérifier l’intervention humaine et l’information des personnes.
4. Préparer un dossier type pour les demandes d’accès abusives : critères, preuves conservées, motivation écrite.
5. Repérer les traitements qui pourraient sortir de l’analyse d’impact, sans alléger quoi que ce soit avant la publication des listes européennes.
6. Nommer un responsable de veille sur le vote des commissions ITRE et LIBE et sur les trilogues, avec une revue des procédures prévue à l’adoption.

Un règlement simplifié reste un projet tant qu’il n’est pas publié : d’ici là, c’est le RGPD actuel qui sanctionne.

La question à poser lundi matin

À votre délégué à la protection des données : « Si la position du Conseil était adoptée telle quelle, quels traitements changeraient de régime chez nous, et lesquels ne changeraient pas ? »