Le 21 octobre 2026, le Comité des représentants permanents des États membres de l’UE a arrêté la position de négociation du Conseil sur le Digital Omnibus. Ce paquet vise à simplifier le RGPD, les règles sur les cookies de la directive ePrivacy et les canaux de notification des incidents de sécurité. Rien de tout cela n’est encore du droit applicable : le Parlement européen doit d’abord définir sa position, puis viendront les négociations entre le Conseil, le Parlement et la Commission. Les entreprises ont néanmoins intérêt à s’y intéresser, car la direction que prennent les obligations de notification et de documentation se dessine.
De quoi traite le Digital Omnibus
La Commission européenne a présenté le Digital Omnibus en novembre 2025. Il s’inscrit dans son programme de simplification de la réglementation européenne et regroupe des modifications de plusieurs textes. Le volet consacré à l’intelligence artificielle est déjà adopté et a reporté les échéances de l’EU AI Act. Le volet relatif aux données et à la protection des données est politiquement plus controversé et arrivera donc plus tard.
Le Conseil ne suit pas la Commission sur tous les points. Il freine certaines propositions et ajoute des garanties à d’autres.
La notion de données à caractère personnel est maintenue
La Commission souhaitait modifier la définition de l’article 4, point 1, du RGPD afin que des données ne soient pas à caractère personnel pour un destinataire qui ne peut pas identifier la personne. Le Conseil s’y oppose et conserve la définition actuelle. Une disposition spécifique sur la pseudonymisation devrait plutôt préciser quand des tiers n’ayant pas accès à la clé peuvent traiter différemment des données pseudonymisées. Selon la position du Conseil, les sous-traitants traitent dans tous les cas des données à caractère personnel. En pratique, les contrats au titre de l’article 28 du RGPD et les obligations associées restent inchangés.
Violations de données : seuil relevé, délai allongé
Le changement le plus sensible concerne sans doute l’article 33 du RGPD. Selon la position du Conseil, les responsables du traitement ne devraient notifier une violation de données à l’autorité de contrôle que si elle est susceptible d’engendrer un risque élevé pour les personnes concernées. C’est le même seuil que celui qui s’applique déjà aujourd’hui à l’information des personnes concernées. Le délai de notification passerait de 72 à 96 heures.
L’obligation de documenter en interne chaque violation de données, même non notifiée, reste inchangée. Si vous ne tenez pas aujourd’hui un registre rigoureux des incidents de protection des données, la réforme vous apportera donc peu.
Canaux de notification des incidents de sécurité
La Commission avait proposé un point de contact unique à l’échelle de l’UE, par lequel les entreprises notifieraient les incidents au titre de plusieurs textes, par exemple le RGPD et NIS2. Le Conseil souhaite plutôt un point de contact national dans chaque État membre, complété par un point d’information au niveau de l’UE et des règles uniformes pour les notifications transfrontalières. Pour les entités relevant de NIS2, cela pourrait à terme signifier un canal de notification commun. D’ici là, les obligations distinctes envers le BSI et l’autorité de protection des données continuent de s’appliquer.
Autres points de la position du Conseil
- Analyse d’impact relative à la protection des données : le Comité européen de la protection des données publierait des listes uniformes à l’échelle de l’UE indiquant quels traitements nécessitent ou non une analyse d’impact. D’ici là, les listes nationales restent applicables.
- Demandes d’accès : les responsables du traitement pourraient refuser les demandes abusives ou exiger des frais s’ils peuvent prouver l’intention abusive. La charge de la preuve leur incombe.
- Obligations d’information : une nouvelle exception s’appliquerait lorsque les personnes concernées connaissent déjà le responsable du traitement et la finalité, et que le traitement ne présente pas de risque élevé. Elle ne vaut pas pour les données sensibles.
- Intelligence artificielle : le développement et l’exploitation de systèmes d’IA pourraient reposer sur l’intérêt légitime, mais uniquement après un examen au cas par cas. Les données sensibles se retrouvant involontairement dans les données d’entraînement devraient être supprimées ou isolées.
- Cookies : les règles restent dans la directive ePrivacy. Pour certaines finalités, comme la fourniture d’un service, la mesure d’audience ou la sécurité du terminal, le consentement ne serait plus nécessaire.
La suite
Le Parlement n’a pas encore adopté sa position. Selon les observateurs, un vote en commission compétente n’est pas attendu avant début 2027. Ce n’est qu’ensuite que commenceront les négociations en trilogue, au cours desquelles tous les points peuvent encore évoluer. Jusqu’à un accord et sa publication au Journal officiel, le RGPD et la directive ePrivacy s’appliquent sans changement. Le délai de notification de 72 heures reste donc la référence jusqu’à nouvel ordre.
Ce que cela signifie pour vous
Vous n’avez rien à modifier aujourd’hui. La position du Conseil montre toutefois où la charge de travail devrait se déplacer, et certains préparatifs sont utiles quelle que soit l’issue :
- Tenez un registre complet de tous les incidents de protection des données avec votre évaluation des risques. Cette obligation demeure dans tous les cas, et un seuil de notification plus élevé suppose une évaluation traçable.
- Continuez à planifier sur la base de 72 heures. N’adaptez votre processus de notification que lorsqu’un nouveau délai s’applique effectivement.
- Identifiez où les notifications au titre du RGPD et de NIS2 se recoupent, et définissez qui informe quelle autorité en cas d’incident.
- Pour vos projets d’IA, documentez dès maintenant la mise en balance sur laquelle repose le traitement. Un examen au cas par cas restera exigé après la réforme.
- Suivez la consultation sur les lignes directrices de l’EDPB relatives aux amendes, que nous avons présentée dans l’article Amende RGPD ou avertissement.
Sightadel vous aide à documenter de manière datée et centralisée les incidents, évaluations et mesures, et à piloter conjointement les obligations issues du RGPD et de NIS2. En savoir plus sur la page RGPD et la page NIS2. Vous pouvez tester la plateforme gratuitement pendant 14 jours.
État : 5 novembre 2026 · Ceci n’est pas un conseil juridique. Seule la norme ou la loi dans sa version en vigueur fait foi.
