Digital Omnibus : ce que change le mandat du Conseil de l'UE du 21 octobre 2026

Digital Omnibus : le Conseil de l'Union européenne écarte la redéfinition de la donnée personnelle et les cookies dans le RGPD, mais allège la notification des violations et ouvre l'intérêt légitime à l'IA.

Le 21 octobre 2026, les États membres ont arrêté leur position sur le Digital Omnibus. Ils acceptent de simplifier le RGPD, le Data Act et la directive ePrivacy, mais ils écartent les propositions les plus contestées de la Commission. Tour d'horizon de ce qui change et de ce qui reste ouvert.

Le 19 novembre 2025, la Commission européenne présentait le Digital Omnibus, un règlement unique qui modifie d'un coup une série de textes du droit numérique : le RGPD et son équivalent pour les institutions européennes (le règlement 2018/1725), le Data Act, la directive ePrivacy et la directive NIS2. Le même texte abroge le Data Governance Act, la directive Open Data et le règlement sur les relations entre plateformes et entreprises (P2B). L'objectif affiché est de réduire les coûts de conformité pour les entreprises sans abaisser le niveau de protection.

Onze mois plus tard, le Comité des représentants permanents (Coreper) a adopté le mandat de négociation du Conseil de l'Union européenne. Le document, publié le 22 octobre sous la référence 14756/26, signale en gras chaque modification apportée au texte de la Commission et barre chaque suppression. Il ne s'agit pas d'un texte adopté. C'est la ligne que les États défendront lors des trilogues avec le Parlement européen. Sa lecture permet pourtant de voir où passent déjà les lignes rouges.

Le message général est clair : le Conseil accepte de simplifier, mais il refuse de déréguler. Sur les deux sujets qui avaient suscité le plus de critiques, la définition de la donnée personnelle et les cookies, il revient en arrière. Il conserve en revanche la plupart des allègements opérationnels et confirme une ouverture importante pour l'intelligence artificielle.

I. Les reculs du Conseil : trois propositions écartées

La donnée personnelle garde sa définition

C'était la proposition la plus critiquée du paquet. La Commission voulait compléter l'article 4(1) du RGPD : une information n'aurait pas été une donnée personnelle pour une entité incapable d'identifier la personne, même si une autre entité en était capable. Cette approche relative s'appuyait sur l'arrêt Breyer de 2016, puis sur l'arrêt CEPD contre Conseil de résolution unique (CRU) du 4 septembre 2025 (C-413/23 P). La Cour y a jugé que des données pseudonymisées ne sont pas forcément personnelles pour un destinataire qui ne peut pas raisonnablement identifier les personnes.

Les autorités de protection et une partie de la doctrine craignaient qu'inscrire ce principe dans la définition elle-même réduise fortement le champ du RGPD. Le Conseil a entendu ces critiques : il supprime la modification de l'article 4(1).

Il ne renonce pas pour autant à l'idée. Il la déplace dans un nouvel article 25a consacré à la pseudonymisation, plus étroit et mieux encadré :

• une donnée pseudonymisée n'est pas une donnée personnelle pour un tiers incapable d'identifier la personne ;
• elle le redevient dès qu'elle est transmise à un destinataire qui dispose de moyens raisonnables de ré-identification, et la transmission elle-même devient alors un traitement de données personnelles ;
• elle reste toujours une donnée personnelle pour le sous-traitant qui la traite pour le compte du responsable ;
• le Comité européen de la protection des données (CEPD) rendra un avis sur la pseudonymisation et l'anonymisation.

La jurisprudence de la Cour est ainsi traduite dans la loi, mais seulement pour les données pseudonymisées, et la notion générale de donnée personnelle n'est pas modifiée.

Les cookies restent dans la directive ePrivacy

La Commission voulait faire entrer les règles sur les traceurs dans le RGPD, avec deux nouveaux articles 88a et 88b. Elles promettaient la fin de la lassitude du consentement : refus en un clic, interdiction de redemander le consentement pendant six mois, prise en compte des préférences envoyées automatiquement par le navigateur, et obligation pour les grands éditeurs de navigateurs d'intégrer cette fonction.

Le Conseil supprime ces deux articles. Les règles sur les cookies restent dans la directive ePrivacy, qui est modifiée de façon ciblée. Le Conseil y élargit les cas où le consentement n'est pas requis : sécurité du service, service demandé par l'utilisateur, mesure d'audience et mesure de la publicité contextuelle, à condition que les données soient pseudonymisées après leur collecte.

Le résultat est ambivalent : les éditeurs gagnent des exemptions, mais les internautes perdent les signaux de refus automatisés promis par la Commission. La question de savoir si les cookies relèvent du RGPD ou de la directive ePrivacy devrait être l'un des points de friction avec le Parlement.

Pas de guichet unique pour déclarer les incidents

La Commission voulait confier à l'Agence de l'Union européenne pour la cybersécurité (ENISA) un guichet unique pour déclarer les incidents exigés par plusieurs textes, dont le RGPD et NIS2. Le Conseil le réduit à un point d'information qui aide les entreprises à identifier leurs obligations de déclaration. Les notifications passeraient par des points d'entrée nationaux, ce qui préserve la maîtrise des États sur ces informations sensibles.

II. Les allègements maintenus pour les entreprises

Seules les violations à risque élevé seraient notifiées

C'est sans doute la mesure la plus concrète pour les équipes de conformité. Aujourd'hui, une violation de données doit être notifiée à l'autorité sous 72 heures, sauf si elle est peu susceptible d'engendrer un risque. Les autorités reçoivent ainsi un grand nombre de notifications pour des incidents mineurs.

Le mandat aligne le seuil de notification à l'autorité sur celui de l'information des personnes concernées (article 34). Seules les violations susceptibles d'engendrer un risque élevé seraient notifiées, et le délai passerait à 96 heures. Les autres violations ne disparaîtraient pas des radars : le responsable de traitement devrait toujours les évaluer au cas par cas et les consigner dans son registre interne (article 33(5)).

Pour harmoniser les pratiques, le CEPD publierait un modèle commun de notification et deux listes : les situations présumées à risque élevé et celles qui ne le sont pas. Ces listes seraient revues au moins tous les trois ans. Le Conseil précise qu'elles serviraient aussi à décider quand informer les personnes concernées.

Un garde-fou contre les demandes d'accès abusives

Le droit d'accès est parfois détourné de son objet, notamment dans les litiges prud'homaux où il sert à obtenir des pièces. Le mandat permet au responsable de traitement de facturer des frais raisonnables ou de refuser une demande s'il démontre une intention abusive de la personne. La charge de la preuve reste de son côté, et un refus devrait être motivé.

Une obligation d'information allégée

Il ne serait plus nécessaire de fournir l'information prévue à l'article 13 lorsque l'on peut raisonnablement penser que la personne la détient déjà et que le traitement n'est pas à risque élevé. Une exception est aussi prévue pour la recherche scientifique lorsque l'information demanderait un effort disproportionné.

Un cadre pour la recherche scientifique

Le texte crée une définition de la recherche scientifique : une démarche méthodique et systématique, qui respecte des règles éthiques et produit des résultats vérifiables. Elle peut aussi poursuivre un intérêt commercial. Les traitements ultérieurs à des fins de recherche, d'archivage ou de statistique seraient présumés compatibles avec la finalité d'origine, sous réserve des garanties de l'article 89.

Les décisions automatisées restent encadrées

L'article 22 est réécrit, mais il conserve son principe : toute personne a le droit de ne pas faire l'objet d'une décision fondée uniquement sur un traitement automatisé qui la concerne de façon significative. Les trois exceptions restent les mêmes : la décision est nécessaire à un contrat, elle est autorisée par la loi, ou la personne y a explicitement consenti.

III. L'IA, grande bénéficiaire du texte

L'intérêt légitime reconnu pour développer l'IA

Sur l'intelligence artificielle, le Conseil suit largement la Commission. Un nouvel article 88 bis prévoit que le traitement de données personnelles pour développer et exploiter un système ou un modèle d'IA peut reposer sur l'intérêt légitime du responsable de traitement ou d'un tiers (article 6(1)(f)).

Ce n'est pas un blanc-seing. Le test de mise en balance entre l'intérêt poursuivi et les droits des personnes reste obligatoire, tout comme le droit d'opposition et les garanties appropriées. En pratique, ce texte confirme dans la loi la position que le CEPD avait déjà adoptée dans son avis de décembre 2024 sur les modèles d'IA. Les entreprises qui entraînent des modèles sur des données collectées en masse gagnent ainsi en sécurité juridique.

Deux nouvelles exceptions pour les données sensibles

L'article 9 du RGPD interdit en principe de traiter les données sensibles (santé, opinions, origine, biométrie). Le mandat y ajoute deux exceptions.

• Les données sensibles résiduelles dans l'IA. Les grands jeux de données d'entraînement contiennent inévitablement des données sensibles que personne n'a cherché à collecter. Ce traitement "incident et résiduel" serait autorisé s'il n'est pas recherché par le responsable. Celui-ci devrait mettre en place des mesures pour filtrer et supprimer ces données, sauf si cela demande un effort disproportionné. L'exception ne s'applique pas si les données sensibles sont nécessaires à la finalité du traitement.
• La vérification biométrique. La comparaison "1 pour 1" qui sert à confirmer l'identité d'une personne serait autorisée lorsque les données biométriques, ou le moyen de les vérifier, restent sous le seul contrôle de la personne. C'est le cas du déverrouillage d'un appareil par empreinte digitale.

Ces dispositions trouvent un équilibre entre la compétitivité européenne en matière d'IA et la protection des données. Ce sont aussi celles qui risquent de diviser le plus le Parlement européen.

IV. Data Act : un cadre consolidé pour les données

Le volet données du paquet poursuit un objectif de lisibilité : regrouper cinq textes en deux, le RGPD d'un côté et le Data Act de l'autre.

• Fusion du Data Governance Act et de la directive Open Data dans le Data Act. Le statut d'intermédiaire de données et celui d'organisation altruiste deviennent volontaires, sous forme de label et non plus d'obligation. Pour les intermédiaires, la séparation juridique imposée entre leurs activités devient une simple séparation fonctionnelle, plus compatible avec un modèle économique viable.
• Protection des secrets d'affaires. Un détenteur de données pourra refuser de les communiquer s'il démontre un risque élevé de divulgation illégale vers des pays où la protection est insuffisante ou mal appliquée.
• Changement de fournisseur cloud. Les obligations sont allégées pour les services cloud conçus sur mesure, ainsi que pour les PME et les petites entreprises de taille intermédiaire ("SMC"). Ces allègements portent sur les contrats conclus au plus tard le 12 septembre 2025. Des pénalités proportionnées de résiliation anticipée deviennent possibles dans les contrats à durée déterminée.
• Accès des organismes publics aux données. Ce droit est recentré sur les missions d'intérêt public. Un droit de réclamation auprès de l'autorité compétente est créé pour les deux parties.

Et maintenant ?

Le mandat ouvre la voie aux trilogues. Le Parlement européen doit encore arrêter sa propre position, et trois sujets devraient concentrer les débats : la pseudonymisation et la définition de la donnée personnelle, l'intérêt légitime pour l'IA, et la place des cookies.

Le calendrier invite aussi à la patience. Le règlement entrerait en vigueur trois jours après sa publication au Journal officiel, mais beaucoup de dispositions ne s'appliqueraient qu'après un délai de 6, 24 ou 48 mois. Rien ne devrait donc changer en pratique avant 2027 au plus tôt.

Pour les organisations, trois conseils :

1. Ne rien suspendre. Le RGPD s'applique toujours dans sa version actuelle, y compris la notification des violations sous 72 heures.
2. Se préparer dès maintenant. La politique de pseudonymisation, la documentation de l'intérêt légitime pour les projets d'IA et le registre des violations seront au cœur du futur cadre.
3. Suivre les trilogues. Le texte final peut encore s'éloigner sensiblement du mandat du Conseil.