L'omnibus numérique sur les données : ce qui changerait au RGPD et pourquoi il reste bloqué

Ce qu’est l’omnibus numérique sur les données et en quoi il diffère de celui sur l’IA

Il existe deux omnibus numériques, que l’on confond sans cesse. La Commission a présenté les deux le même jour, avec une numérotation consécutive, et un seul est devenu une norme. Les distinguer est la première étape, car leur situation juridique est opposée.

Celui sur l’intelligence artificielle a suivi une procédure distincte et a été adopté en huit mois. Il a réaménagé le calendrier du règlement sur l’IA et laissé intactes les obligations de transparence, comme nous l’expliquons dans notre analyse des obligations de transparence en matière d’IA pour les entreprises. Celui sur les données a suivi le chemin inverse.

Où en est la procédure

L’omnibus numérique sur les données n’a pas de position commune du Conseil. La présidence chypriote a retiré son texte de compromis le 30 juin 2026 après avoir constaté qu’il ne réunissait pas de majorité qualifiée parmi les États membres. La présidence irlandaise a rouvert les consultations en juillet, présenté des textes de compromis révisés en septembre et soumis le dossier aux ambassadeurs des États membres (Coreper) le 7 octobre 2026 en vue d’adopter un mandat de négociation avec le Parlement européen.

L’avis conjoint 2/2026 (en anglais) a soutenu l’objectif de simplification, mais a averti que la nouvelle définition de la donnée à caractère personnel devait dire ce qu’est une donnée personnelle et non ce qui cesse de l’être. Cette réserve s’est révélée déterminante. Le compromis chypriote a fini par retirer cette définition du texte.

La conséquence pratique est qu’aucune des modifications qui suivent n’est arrêtée. Toutes peuvent disparaître ou changer de forme avant le vote final.

Les modifications proposées au RGPD

La proposition touche le cœur du règlement, pas ses marges. Elle redéfinit la donnée à caractère personnel, crée une nouvelle base juridique pour l’intelligence artificielle et transfère dans le RGPD les règles sur les cookies, qui relèvent aujourd’hui de la directive ePrivacy. Ce sont les trois modifications les plus profondes depuis 2016.

La définition de la donnée à caractère personnel dépendrait de celui qui traite les données

L’article 4, point 1, cesserait de s’appliquer de manière absolue. Une information ne serait pas une donnée à caractère personnel pour une entité donnée si celle-ci ne peut pas identifier la personne concernée par des moyens raisonnablement susceptibles d’être utilisés par elle. L’analyse se déplace vers les capacités réelles de chaque responsable du traitement, et non vers celles de n’importe quel tiers imaginable.

Pour une entreprise qui travaille avec des données pseudonymisées, l’effet serait considérable. Le même jeu de données pourrait échapper au RGPD entre ses mains et y être soumis entre celles de son prestataire. C’est aussi le point qui a rencontré le plus de résistance et le premier que le Conseil a supprimé de son texte.

L’intérêt légitime comme base pour entraîner et exploiter des systèmes d’IA

Un nouvel article 88 quater reconnaîtrait l’intérêt légitime comme base juridique pour développer et exploiter des systèmes d’intelligence artificielle. Ce ne serait pas automatique. Il faudrait un intérêt réel, licite et précis, un traitement nécessaire pour l’atteindre et une mise en balance dans laquelle les droits de la personne concernée ne prévalent pas.

Il s’accompagnerait de garde-fous renforcés, d’analyses d’impact spécifiques et d’un droit d’opposition inconditionnel. La proposition ajoute en outre une exception pour les données sensibles présentes de manière résiduelle dans les jeux d’entraînement, à condition que le responsable prenne des mesures pour éviter de les collecter et supprime celles qu’il détecte.

Les cookies quitteraient ePrivacy pour entrer dans le RGPD

Le stockage d’informations et l’accès à celles-ci dans l’équipement de l’utilisateur seraient régis par le RGPD. Le refus devrait pouvoir s’exprimer en un seul clic ou par un moyen équivalent. Dans la proposition de la Commission, un refus ouvrirait une période de six mois pendant laquelle il ne serait pas possible de redemander le consentement.

La modification la plus lourde sur le plan technique est ailleurs. Les responsables du traitement devraient respecter des signaux automatisés lisibles par machine, afin que l’utilisateur puisse exprimer sa préférence une fois dans le navigateur plutôt que bannière par bannière.

La notification des violations passerait de 72 à 96 heures

Le délai de notification d’une violation de données à caractère personnel serait porté à 96 heures lorsqu’un risque élevé est probable. La notification serait en outre présentée via un point d’entrée unique créé dans le cadre de la directive NIS2, avec un modèle commun proposé par le comité européen de la protection des données.

L’objectif est de mettre fin aux notifications multiples. Aujourd’hui, un même incident peut obliger à informer séparément l’autorité de protection des données, l’autorité de cybersécurité et, dans le secteur financier, le superviseur au titre de DORA. Le point d’entrée unique réunirait ces trois canaux. Si vous relevez de la directive NIS2, c’est la modification qui vous concernerait le plus.

Les quatre textes qu’absorberait le Data Act

La proposition regroupe la réglementation des données dans un texte unique. Elle intègre au Data Act le contenu utile de quatre textes et les abroge, au motif qu’ils font doublon ou sont devenus obsolètes.

Pour une entreprise qui réutilise des données du secteur public ou qui sert d’intermédiaire pour des données de tiers, cela signifie que ses obligations changeraient de texte de référence sans disparaître. Le panorama complet des règles numériques qui vous concernent aujourd’hui figure dans notre guide du cadre réglementaire numérique en Espagne et dans l’Union européenne.

Ce qu’une entreprise espagnole doit faire d’ici là

Rien qui implique de refaire des processus. Le RGPD actuel s’applique intégralement et sans réserve jusqu’à l’adoption et la publication de l’omnibus, ce qui n’arrivera pas avant 2027 dans le meilleur des cas. Anticiper un texte que le Conseil a déjà modifié deux fois, c’est gaspiller son budget.

Il est en revanche utile de préparer le terrain par des décisions qui servent avec la règle actuelle et serviront encore avec la future.

1. Documenter quels jeux de données vous détenez sous forme pseudonymisée et par quels moyens vous pourriez les réidentifier
2. Vérifier si vos traitements liés à l’intelligence artificielle reposent aujourd’hui sur une base juridique solide, sans compter sur le futur article 88 quater
3. Vérifier que votre bannière de cookies permet de refuser aussi facilement que d’accepter, ce qui est déjà exigé
4. Chronométrer votre procédure interne de violation de données au regard du délai actuel de 72 heures, et non des 96 heures proposées
5. Suivre le dossier dans les prochains mois, car la présidence irlandaise veut avancer avant la fin de l’année

Exemple appliqué à une entreprise qui allait refaire sa bannière de cookies

Une plateforme de commerce électronique basée à Valence, que nous appellerons Vertia, a budgété au printemps une refonte complète de son système de consentement. L’idée était d’anticiper la période de six mois et les signaux automatisés du navigateur annoncés dans la proposition.

Elle aurait dépensé ce budget pour un régime qui n’existe toujours pas et que le Conseil renégocie depuis juillet. La décision raisonnable est inverse. Adapter la bannière à ce qu’exigent déjà la réglementation en vigueur et l’autorité espagnole de protection des données (AEPD), et laisser l’architecture prête à accepter des signaux automatisés le jour où ils seront adoptés.

En protection des données, cette erreur est fréquente lorsqu’une proposition européenne est très médiatisée. Une proposition de la Commission n’est pas une norme, et entre sa présentation et sa publication au Journal officiel, plus de choses tombent en route qu’on ne le croit. La prudence consiste à toujours distinguer ce qui oblige déjà de ce qui n’est écrit que dans un document de travail.