Le Conseil européen finalise le Digital Omnibus, rejette des propositions clés sur les données personnelles et les cookies, allège les notifications de violation et élargit l'intérêt légitime en IA.
Finalisation de l'omnibus numérique
Le 21 octobre 2026, les États membres réunis au sein du Conseil de l'Union européenne ont arrêté leur position sur l'omnibus numérique, un ensemble de textes réglementaires qui modifie plusieurs lois numériques, dont le règlement général sur la protection des données (RGPD), le règlement sur les données (Data Act) et la directive vie privée et communications électroniques (ePrivacy). Le Conseil a rejeté les propositions les plus controversées de la Commission européenne, notamment la redéfinition des données personnelles et l'intégration des règles sur les cookies dans le RGPD. Il a toutefois assoupli la notification des violations de données et élargi l'intérêt légitime pour l'intelligence artificielle.La proposition de la Commission européenne
En novembre 2025, la Commission européenne avait proposé un règlement unique destiné à modifier une série de lois numériques, dont le RGPD, le Data Act, la directive ePrivacy et la directive NIS2. Le même texte prévoyait également d'abroger le règlement sur la gouvernance des données, la directive sur les données ouvertes et le règlement sur les relations entre plateformes et entreprises (P2B). L'objectif affiché était de réduire les coûts de conformité pour les entreprises sans abaisser le niveau de protection.Le mandat du Conseil
Le mandat du Conseil, publié le 22 octobre 2026 sous la référence 14756/26, met en évidence en gras les modifications apportées au texte de la Commission et barre chaque suppression. Il ne s'agit pas d'un texte adopté, mais de la position que les États membres défendront lors des trilogues avec le Parlement européen.Les questions controversées
Sur les deux sujets les plus controversés, la définition des données personnelles et les cookies, le Conseil a fait marche arrière. La définition des données personnelles reste inchangée, le Conseil ayant supprimé la modification de l'article 4, paragraphe 1, du RGPD. Il déplace toutefois la notion vers un nouvel article 25 bis consacré à la pseudonymisation, en précisant que des données pseudonymisées ne sont pas des données personnelles pour un tiers incapable d'identifier la personne, mais redeviennent des données personnelles une fois transmises à un destinataire disposant de moyens raisonnables de réidentification.Les règles sur les cookies et la directive ePrivacy
Le Conseil a également supprimé deux articles proposés par la Commission qui auraient intégré les règles sur les cookies dans le RGPD. Les règles relatives aux cookies restent ainsi dans la directive ePrivacy, modifiée pour élargir les cas où le consentement n'est pas requis, notamment la sécurité du service, le service demandé par l'utilisateur, la mesure d'audience et la mesure de la publicité contextuelle, à condition que les données soient pseudonymisées après leur collecte.La notification des violations de données
Le Conseil a rejeté la proposition de la Commission de confier à l'Agence de l'Union européenne pour la cybersécurité (ENISA) un guichet unique pour le signalement des incidents. Il la transforme plutôt en un point d'information aidant les entreprises à identifier leurs obligations de notification. Les notifications passeraient par des points d'entrée nationaux, préservant ainsi le contrôle des États sur ces informations sensibles.Les simplifications pour les entreprises
Pour les entreprises, le Conseil maintient des simplifications, dont la notification limitée aux violations à haut risque. Le seuil de notification est aligné sur l'obligation d'informer les personnes concernées, avec un délai de 96 heures pour les violations à haut risque. Les autres violations feraient toujours l'objet d'une évaluation au cas par cas et seraient consignées dans des registres internes. Le Comité européen de la protection des données (CEPD) publierait un modèle de notification commun ainsi que deux listes : les situations présumées à haut risque et celles qui ne le sont pas. Ces listes seraient réexaminées au moins tous les trois ans.Les garanties face aux demandes d'accès aux données
Une garantie contre les demandes d'accès abusives est introduite : le responsable du traitement pourra exiger des frais raisonnables ou refuser une demande s'il démontre une intention abusive de la part de la personne. La charge de la preuve reste à la charge du responsable du traitement, et tout refus doit être motivé.L'allègement de l'obligation d'information
L'obligation d'information est allégée : il n'est plus nécessaire de fournir les informations prévues à l'article 13 lorsqu'on peut raisonnablement penser que la personne les détient déjà et que le traitement ne présente pas de risque élevé. Une exception est également prévue pour la recherche scientifique lorsque la communication des informations exigerait des efforts disproportionnés.Le cadre de la recherche scientifique
Un cadre pour la recherche scientifique est établi. Celle-ci y est définie comme une démarche méthodique et systématique respectueuse des règles éthiques et produisant des résultats vérifiables. Elle peut également poursuivre un intérêt commercial. Le traitement ultérieur à des fins de recherche, d'archivage ou de statistique serait présumé compatible avec la finalité initiale, sous réserve des garanties de l'article 89.Les décisions automatisées
Les décisions automatisées restent encadrées. L'article 22 est réécrit, mais conserve son principe selon lequel toute personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui la concerne de manière significative. Les trois exceptions restent identiques : la décision est nécessaire à la conclusion ou à l'exécution d'un contrat, elle est autorisée par la loi, ou la personne a donné son consentement explicite.Intelligence artificielle et intérêt légitime
En matière d'intelligence artificielle, le Conseil suit largement la Commission et reconnaît un intérêt légitime au développement de l'IA dans un nouvel article 88 bis. Le traitement de données personnelles pour développer et exploiter un système ou un modèle d'IA peut reposer sur l'intérêt légitime du responsable du traitement ou d'un tiers. Toutefois, le test de mise en balance entre l'intérêt poursuivi et les droits des personnes reste obligatoire, de même que le droit d'opposition et les garanties appropriées.De nouvelles exceptions pour les données sensibles
Deux nouvelles exceptions concernant les données sensibles sont ajoutées à l'article 9 du RGPD. Le traitement de données sensibles résiduelles dans le cadre de l'IA est autorisé si le responsable du traitement ne les recherche pas, à condition de mettre en place des mesures visant à filtrer et supprimer ces données, sauf si cela exigerait des efforts disproportionnés. La vérification biométrique est autorisée lorsque les données biométriques ou les moyens de les vérifier restent sous le seul contrôle de la personne.Lisibilité et simplification
La partie du texte consacrée aux données vise la lisibilité en regroupant cinq textes en deux, le RGPD d'un côté et le Data Act de l'autre. Le statut des intermédiaires de données et des organisations altruistes devient facultatif, sous la forme d'un label, et n'est plus une obligation. Pour les intermédiaires, la séparation juridique imposée entre leurs activités devient une simple séparation fonctionnelle, plus compatible avec un modèle économique viable.La protection des secrets d'affaires
La protection des secrets d'affaires permet à un détenteur de données de refuser de les partager s'il démontre un risque élevé de divulgation illicite vers des pays où la protection est insuffisante ou mal appliquée. Les obligations sont allégées pour les services d'informatique en nuage personnalisés et pour les petites et moyennes entreprises (PME). Ces simplifications s'appliquent aux contrats conclus au plus tard le 12 septembre 2025. Des pénalités proportionnées en cas de résiliation anticipée deviennent possibles dans les contrats à durée déterminée.Organismes publics et accès aux données
L'accès des organismes publics aux données est recentré sur les missions d'intérêt public, et un droit de recours auprès de l'autorité compétente est créé pour les deux parties.Prochaines étapes et mise en œuvre
Le mandat ouvre la voie aux trilogues, le Parlement européen devant encore finaliser sa propre position. Trois sujets devraient concentrer les débats : la pseudonymisation et la définition des données personnelles, l'intérêt légitime pour l'IA et la place des cookies. Le règlement entrerait en vigueur trois jours après sa publication au Journal officiel, mais de nombreuses dispositions ne s'appliqueraient qu'après un délai de 6, 24 ou 48 mois. Rien ne devrait donc changer concrètement avant 2027 au plus tôt.Recommandations pour les organisations
Pour les organisations, trois conseils sont proposés. Ne rien suspendre, car le RGPD reste applicable dans sa version actuelle, y compris l'obligation de notifier les violations dans un délai de 72 heures. Se préparer dès maintenant, car la politique de pseudonymisation, la documentation de l'intérêt légitime pour les projets d'IA et le registre des violations seront au cœur du futur cadre. Suivre les trilogues, car le texte final peut encore différer sensiblement du mandat du Conseil.
