Points clés.
- Aucune action immédiate requise : il ne s’agit encore que de propositions. Si elles sont adoptées, la plupart des changements entreront en vigueur progressivement, avec un impact limité pour la majorité des entreprises.
- Un impact limité pour la plupart des organisations : à moins que votre organisation ne traite des données pseudonymisées ou sensibles pour des cas d’usage complexes, comme l’IA ou les sciences de la vie, vos activités quotidiennes ne devraient pas être fortement touchées.
- Une définition plus nuancée des données à caractère personnel : la proposition introduit une définition relative à l’entité. La question devient alors de savoir si le destinataire des données peut identifier les personnes concernées. Cela pourrait alléger les obligations RGPD des intermédiaires.
- Centralisation des listes AIPD : la responsabilité des listes noires et blanches serait transférée au CEPD, sous le contrôle final de la Commission européenne. L’objectif est d’apporter plus de clarté et de cohérence.
- Données sensibles et IA : une nouvelle disposition (article 88c) autoriserait, dans certains cas, l’utilisation de données sensibles pour le développement de l’IA sur la base de l’intérêt légitime. Une proposition controversée, mais pragmatique.
- Les cookies intègrent le RGPD : certains éléments de la directive ePrivacy seraient intégrés au RGPD. Les signaux de consentement émis par les navigateurs pourraient devenir juridiquement contraignants.
- Une notification des incidents simplifiée : la proposition prévoit un canal de notification unique, géré par l’ENISA, avec un délai de 96 heures. Les règles seraient ainsi alignées sur celles des autres réglementations en matière de cybersécurité.
- Les échéances de conformité IA pourraient être reportées : les systèmes d’IA à haut risque pourraient bénéficier de délais de mise en œuvre prolongés, selon le moment où les textes seront adoptés.
Table of Contents
Tous les deux ou trois ans, Bruxelles jette une pierre dans la mare de la réglementation numérique, et les remous nous tiennent occupés pendant des mois. L’Omnibus numérique publié le 19 novembre en fait partie. Après des semaines de rumeurs, la Commission européenne a enfin présenté sa proposition très attendue pour simplifier les règles européennes du numérique.
Pour ceux qui suivent ces sujets au quotidien, cela fait beaucoup à absorber d’un coup. Pour la plupart des organisations, la réponse est simple : pas de panique. Il s’agit de propositions, et non de textes définitifs, et même si elles sont adoptées, leur mise en œuvre prendra du temps. Selon nous, ces changements n’auront pas d’impact sur la majorité des entreprises, et celles qui sont concernées pourront compter sur CRANIUM pour les accompagner.
L’Omnibus numérique est ouvert à la consultation jusqu’au 11 mars 2026. Pendant cette période, chacun peut apporter sa contribution (y compris les lobbies et la société civile), tandis que le Parlement et le Conseil débattent du contenu. Viendront ensuite les trilogues. Une fois un compromis trouvé, nous connaîtrons l’impact réel du texte final. À ce stade, l’adoption de l’Omnibus numérique est attendue vers la mi-2026.
Nous vous présentons les principaux éléments, sans entrer dans les détails juridiques.
1. L’Omnibus numérique et le RGPD
L’Omnibus numérique modifie plusieurs textes européens, mais c’est le volet RGPD qui fait le plus débat. Voici les principales modifications envisagées :
Une nouvelle approche des “données à caractère personnel”.
La Commission européenne veut que la notion de donnée à caractère personnel dépende davantage de l’entité qui traite les données, dans la lignée de l’arrêt SRB de la CJUE. Concrètement, une information sera une donnée à caractère personnel si l’entité qui la détient ou la reçoit est capable d’identifier les personnes concernées. Peu importe qu’un autre acteur puisse le faire.
Cela pourrait soulager certains intermédiaires qui reçoivent des données pseudonymisées sans avoir les moyens raisonnables de les réidentifier. Mais des experts mettent en garde : cela pourrait aussi faciliter le partage de grands volumes de données, du moment que le destinataire ne peut pas identifier les personnes, alors que d’autres pourraient facilement le faire.
Pour la plupart des entreprises, ce changement ne devrait toutefois pas modifier grand-chose au quotidien.
Les listes noires et blanches d’AIPD.
Ce serait désormais au CEPD d’établir les listes des traitements qui nécessitent (ou non) une AIPD, la Commission européenne ayant le dernier mot. Nous saluons ce changement, qui apporte plus de cohérence et allège la charge administrative.
Données sensibles et développement de l’IA.
Un nouvel article 88 quater permettrait de traiter certaines données sensibles à des fins d’entraînement et de développement de systèmes d’IA, sur la base de l’intérêt légitime. Pour ses partisans, c’est une solution efficace face aux jeux de données non structurés. Pour ses détracteurs, c’est un recul sur les principes de nécessité et de minimisation.
Des droits des personnes concernées allégés.
Les responsables du traitement pourraient refuser les demandes d’accès « abusives », c’est-à-dire introduites pour d’autres raisons que la protection des données. Certaines organisations auraient des obligations d’information plus légères. Les règles sur la prise de décision automatisée seraient aussi assouplies.
Beaucoup d’entreprises reçoivent des demandes d’accès qui vont trop loin, par exemple quand un employé en conflit avec son employeur réclame une copie de toutes ses données. Avec cette modification, il serait plus facile de refuser une demande qui n’a rien à voir avec la protection des données. Mais à notre avis, la barre reste très haute, et c’est toujours au responsable du traitement d’en apporter la preuve.
Incidents de cybersécurité : un seul guichet au lieu de cinq.
Un point d’entrée unique, géré par l’ENISA, servirait à notifier les incidents (via le point d’entrée unique prévu par NIS2). Le délai de notification passerait aussi de 72 à 96 heures, pour s’aligner sur d’autres réglementations. Nous saluons cet effort de cohérence.
Les cookies inclus dans le RGPD.
Certaines règles de la directive ePrivacy seraient transférées dans le RGPD. Les navigateurs devraient pouvoir transmettre aux sites web le choix de l’utilisateur en matière de consentement, et les sites seraient tenus de le respecter. Fait intéressant : la plupart des navigateurs proposent déjà une telle option (« Do Not Track »), mais les sites ne sont pas obligés d’en tenir compte. Une norme commune serait la bienvenue, à condition d’être imposée par la loi.
Reste à voir comment cela se traduira en pratique.
2. L’Omnibus numérique et l’IA
La Commission européenne propose aussi plusieurs ajustements à l’AI Act.
Un report possible des obligations pour l’IA à haut risque.
Si le texte est adopté à temps, les échéances de mise en conformité pour l’IA à haut risque seront nettement repoussées, sans doute à décembre 2027 pour les systèmes de l’annexe III et à août 2028 pour ceux de l’annexe I. Les fournisseurs et les déployeurs auraient ainsi plus de temps pour se mettre en conformité, pendant que l’UE met en place davantage d’outils d’accompagnement.
Toutefois, attention : l’échéance actuelle pour les systèmes de l’annexe III est fixée à août 2026. La proposition doit donc être adoptée avant cette date. Sinon, l’AI Act s’appliquera pleinement à ces systèmes. Dans tous les cas, le RGPD continue de s’appliquer aux données d’entraînement des systèmes d’IA, quelles que soient les obligations prévues par l’AI Act.
Une exception élargie pour corriger les biais.
Jusqu’ici, seuls les développeurs de systèmes d’IA à haut risque pouvaient traiter des données sensibles pour corriger les biais de leurs systèmes. Cette possibilité serait étendue à tous les développeurs de systèmes d’IA.
3. De nouveaux modèles de clauses contractuelles (Data Act)
Des modèles non contraignants pour les contrats de partage de données et de services de traitement de données. Utiles pour harmoniser les pratiques, mais facultatifs pour tout le monde.
4. Impact et suivi
Chez CRANIUM, nous pensons que ces changements auront un impact relativement limité sur la plupart des entreprises. Certaines démarches seront simplifiées, comme la gestion des préférences en matière de cookies ou la notification des incidents. Mais à moins que votre activité ne repose sur l’utilisation de données à caractère personnel dans des contextes plus complexes, comme le développement de l’IA ou les sciences de la vie, où des mesures techniques comme la pseudonymisation entrent en jeu, l’impact restera faible.
Pour ces entreprises ainsi que pour les institutions publiques concernées, en revanche, les nouvelles règles pourraient offrir plus de souplesse, à condition d’être bien mises en œuvre et documentées.
Rappelons toutefois qu’il ne s’agit que de propositions. Rien n’est encore gravé dans le marbre, et l’issue des négociations, qui s’annoncent serrées, déterminera l’impact réel de ces changements. CRANIUM suit le dossier de près et reste à votre disposition pour en analyser les conséquences avec vous.
