Cet article fournit une information générale. Voir les Mentions légales & avertissement.
Statut au 2 novembre 2026. Le Conseil de l'UE a adopté sa position de négociation sur le volet RGPD de l'Omnibus numérique le 21 octobre 2026. Le Parlement européen n'a pas encore arrêté sa position et les négociations entre les deux institutions n'ont pas commencé. Aucune des modifications du RGPD décrites ci-dessous n'est en vigueur. Le RGPD s'applique tel qu'il est rédigé aujourd'hui. Nous mettrons cet article à jour après le vote du Parlement, puis à l'adoption d'un texte final.
En bref. Pour une PME, les obligations RGPD ne changent pas aujourd'hui. Si le texte du Conseil résiste aux négociations, il relèverait le seuil de notification d'une violation de données à l'autorité et porterait le délai de 72 à 96 heures. Il allégerait certaines obligations d'information et de réponse aux demandes d'accès, et préciserait que l'intérêt légitime peut fonder le développement et l'exploitation de l'IA, sous réserve de la mise en balance habituelle. Il conserve la définition des données à caractère personnel et laisse les règles sur les cookies dans la directive ePrivacy. Le Parlement ne devrait pas voter avant début 2027 : le texte final et sa date d'application restent ouverts.
- Aucun changement du RGPD aujourd'hui : Le texte du Conseil du 21 octobre 2026 (ST 14756/26) est un mandat de négociation, tandis que l'Omnibus numérique sur l'IA (règlement (UE) 2026/1744) est en vigueur depuis le 27 juillet 2026.
- Notification des violations (proposition) : Seules les violations susceptibles d'engendrer un risque élevé seraient notifiées sous 96 heures, mais le registre interne de chaque violation (article 33, paragraphe 5) reste obligatoire.
- IA et intérêt légitime (nouvel art. 88 bis proposé) : Confirme que l'intérêt légitime peut fonder le développement et l'exploitation d'une IA, sous réserve de la mise en balance en trois étapes et du droit d'opposition ordinaire de l'article 21.
- Définition des données personnelles et cookies maintenus : La définition des données personnelles (art. 4, point 1) et le droit relatif aux décisions automatisées (art. 22) restent inchangés, et les règles sur les cookies demeurent dans la directive ePrivacy.
Un paquet, deux vitesses
La Commission européenne a proposé l'Omnibus numérique le 19 novembre 2025 sous la forme de deux règlements distincts. Ils ont avancé à des rythmes très différents.
- L'Omnibus numérique sur l'IA est en vigueur. Le règlement (UE) 2026/1744 a modifié l'AI Act et est entré en vigueur le 27 juillet 2026. Il a reporté les principales échéances « haut risque » au 2 décembre 2027 pour les systèmes de l'annexe III et au 2 août 2028 pour l'IA intégrée aux produits couverts par l'annexe I.
- L'Omnibus numérique sur les données reste une proposition. La proposition COM(2025) 837 modifierait le RGPD, la règle sur les cookies de la directive ePrivacy, le Data Act et la notification des incidents.
| Étape | Date | Statut |
|---|---|---|
| Proposition de la Commission COM(2025) 837 | 19 novembre 2025 | Fait |
| Avis conjoint 2/2026 du Comité européen de la protection des données (CEPD) et du Contrôleur européen de la protection des données | 10 février 2026 | Fait |
| Projet de rapport du Parlement (commissions ITRE et LIBE) | 22 juin 2026 | Fait ; amendements déposés en juillet 2026 |
| Mandat de négociation du Conseil (ST 14756/26) | 21 octobre 2026 | Fait |
| Vote en commission au Parlement | Attendu début 2027 | Non programmé |
| Trilogue, texte final, date d'application | Non fixés | Ouverts |
Ce que le Conseil modifierait dans le RGPD
Le texte du Conseil conserve l'orientation de la proposition de la Commission, mais en supprime ou en restreint les modifications les plus ambitieuses. Le tableau compare les règles actuelles à la position du Conseil.
| Sujet | RGPD aujourd'hui | Position du Conseil (pas en vigueur) | Conséquence pour une PME |
|---|---|---|---|
| Définition des données personnelles (art. 4, point 1) | Toute information se rapportant à une personne identifiée ou identifiable | Inchangée. La définition « relative », plus étroite, proposée par la Commission est abandonnée | Aucun changement de périmètre |
| Données pseudonymisées (nouvel art. 25 bis) | Les données pseudonymisées restent des données personnelles | Pas des données personnelles pour un tiers qui ne peut pas identifier la personne ; toujours des données personnelles pour un sous-traitant | Un critère plus clair pour le partage de données. Aucun changement si vous agissez comme sous-traitant |
| Notification des violations (art. 33) | Notifier l'autorité sous 72 heures, sauf si la violation n'est pas susceptible d'engendrer un risque | Notifier uniquement les violations susceptibles d'engendrer un risque élevé, sous 96 heures. Chaque violation doit toujours être documentée en interne | Moins de notifications. Le registre interne des violations reste obligatoire |
| Listes d'AIPD (art. 35) | Chaque autorité nationale publie ses propres listes | Des listes uniques au niveau de l'UE, adoptées par le CEPD, des traitements qui exigent ou non une analyse d'impact | Une référence unique au lieu de variantes nationales. Les listes nationales restent valables d'ici là |
| Obligation d'information (art. 13) | Informer les personnes lors de la collecte | Pas d'obligation lorsqu'il est raisonnable de penser que la personne sait déjà qui vous êtes et pourquoi vous traitez ses données, et que le traitement n'est pas à risque élevé | Un allègement possible pour les relations clients simples. Pas pour les traitements sensibles ou à grande échelle |
| Demandes d'accès (art. 12, paragraphe 5) | Les demandes manifestement infondées ou excessives peuvent être refusées ou facturées | Refus ou facturation possibles lorsqu'une intention abusive peut être démontrée. La charge de la preuve pèse sur le responsable du traitement | Un allègement limité. Les motifs doivent être documentés |
| IA et intérêt légitime (nouvel art. 88 bis) | Possible au titre de l'art. 6, paragraphe 1, point f), comme l'a précisé le CEPD dans son avis 28/2024 | Énoncé expressément. Un considérant ajoute que le développement de l'IA ne constitue pas en soi un intérêt légitime. Le droit d'opposition ordinaire s'applique | La mise en balance reste obligatoire |
| Données sensibles résiduelles dans l'IA (art. 9, paragraphe 2, point k)) | Aucune exception spécifique | Exception étroite pour les données sensibles incidentes et non voulues lors de l'entraînement ou du fonctionnement d'une IA, à effacer ou à isoler | Concerne surtout les développeurs d'IA |
| Décisions automatisées (art. 22) | Droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou similaires | Maintenu comme un droit. La Commission avait proposé d'en faire une autorisation | Aucun changement |
| Cookies (directive ePrivacy, art. 5, paragraphe 3) | Consentement, avec des exemptions limitées et des variations nationales | Les règles restent dans ePrivacy. Une liste fermée d'usages sans consentement, dont la mesure d'audience propriétaire et la mesure de la publicité contextuelle. Refus en un clic, et pas de nouvelle demande pendant quatre mois après un refus | Une directive doit être transposée : les changements arriveraient plus tard et varieraient selon les pays |
| Notification des incidents | Des canaux distincts selon chaque texte | Des points d'entrée nationaux plutôt que le portail unique de l'UE proposé par la Commission | Moins de canaux, à terme |
Les trois changements que la plupart des PME ressentiraient
1. Moins de notifications de violations, la même rigueur en interne
Aujourd'hui, l'article 33 du RGPD impose de notifier l'autorité de contrôle sous 72 heures, sauf si la violation n'est pas susceptible d'engendrer un risque. Le Conseil alignerait ce seuil sur celui de l'information des personnes prévu à l'article 34 : seules les violations susceptibles d'engendrer un risque élevé seraient notifiées, sous 96 heures.
L'obligation de documenter chaque violation, prévue à l'article 33, paragraphe 5, ne changerait pas. Votre procédure devrait toujours évaluer le risque de chaque incident ; la modification déplacerait le seuil, sans supprimer l'évaluation. Tant qu'un texte final ne s'applique pas, la règle des 72 heures reste en vigueur.
2. Moins de formalités pour les relations à faible risque
Deux modifications visent les traitements courants. Un nouvel article 13, paragraphe 5, supprimerait l'obligation d'information lorsque les personnes savent déjà qui vous êtes et pourquoi vous traitez leurs données, et que le traitement n'est pas à risque élevé. L'exemple type est celui d'un artisan et de ses clients. Il ne s'appliquerait ni aux traitements complexes, ni aux grands volumes de données, ni aux catégories particulières de données.
Un article 12, paragraphe 5, révisé permettrait de refuser ou de facturer les demandes d'accès présentées avec une intention abusive démontrable. La charge de la preuve vous incomberait. Aucune de ces deux modifications ne justifie de supprimer aujourd'hui une politique de confidentialité ou une procédure de réponse aux demandes d'accès.
3. IA et intérêt légitime : une confirmation, pas un blanc-seing
L'article 88 bis du Conseil prévoit que le traitement de données personnelles pour développer ou exploiter un système ou un modèle d'IA peut reposer sur l'intérêt légitime. Son considérant 33 bis ajoute que le développement de l'IA ne constitue pas en soi un intérêt légitime ; chaque cas s'apprécie selon sa finalité. La Commission avait proposé un droit d'opposition inconditionnel ; le Conseil conserve le droit d'opposition ordinaire de l'article 21.
En pratique, ce texte confirme ce que le CEPD a indiqué dans son avis 28/2024 : l'intérêt légitime peut fonder un traitement lié à l'IA si le test en trois étapes est rempli (finalité, nécessité, mise en balance). Si vos équipes utilisent des outils d'IA sur des données de clients ou de salariés, une analyse d'intérêt légitime documentée reste la preuve qu'il vous faut. Les obligations de l'AI Act s'appliquent par ailleurs.
Ce qui ne changerait pas
- La définition des données à caractère personnel. Le Conseil a abandonné la définition relative proposée par la Commission.
- Le droit de ne pas faire l'objet d'une décision exclusivement automatisée, prévu à l'article 22.
- La documentation interne de chaque violation, prévue à l'article 33, paragraphe 5.
- Le droit d'opposition ordinaire de l'article 21, y compris pour les traitements liés à l'IA.
- Le consentement comme règle par défaut pour les cookies, avec les exemptions listées ci-dessus.
Que faire maintenant : six mesures sans regret
- Conservez votre procédure de notification sous 72 heures. Assurez-vous que chaque incident fait l'objet d'une évaluation du risque et d'une inscription au registre. Toute règle future s'appuiera sur cette traçabilité.
- Documentez une analyse d'intérêt légitime pour chaque usage de données personnelles par l'IA. Nommez la finalité métier, démontrez la nécessité, consignez la mise en balance et les garanties, et expliquez comment les personnes peuvent s'opposer.
- Ne réécrivez pas votre politique de confidentialité ni votre bannière cookies pour l'Omnibus. Vérifiez-les au regard des règles applicables aujourd'hui.
- Conservez votre procédure de réponse aux demandes d'accès. Consignez vos motifs chaque fois que vous refusez une demande ou la facturez.
- Suivez les échéances de l'AI Act déjà en vigueur. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Les fournisseurs de systèmes d'IA générative mis sur le marché avant cette date doivent appliquer le marquage lisible par machine d'ici le 2 décembre 2026. Voir notre guide de l'article 50 pour les PME.
- Fixez une date de revue après le vote en commission au Parlement, attendu début 2027. Ce vote montrera jusqu'où le texte final peut s'écarter de la position du Conseil.
Pour un état des lieux complet des obligations actuelles, commencez par notre checklist de conformité RGPD pour les PME. Si vos équipes utilisent l'IA générative au travail, lisez ChatGPT, Copilot et le RGPD et notre note sur le shadow AI.
La place de Themio
Themio prépare le lancement de ses modules RGPD et AI Act. Themio lit les documents que vous téléversez, comme une politique de confidentialité ou une politique de traitement des données, et les met en regard des articles du RGPD. Chaque constat cite la clause de votre document et l'article concerné. Les résultats s'accompagnent d'un plan d'action priorisé, exportable en PDF.
Themio suit un processus défini pour mettre à jour ses règles lorsque le droit évolue. Vos documents ne servent pas à entraîner des modèles et sont traités dans l'UE. Themio aide à préparer la conformité ; il ne fournit pas de conseil juridique. L'interprétation, les cas complexes et les questions propres à une juridiction peuvent nécessiter un avocat ou votre DPO.
Themio vous intéresse ? Rejoindre la liste d'attente.
FAQ
Sources
Source primaire de toutes les dispositions du Conseil citées ci-dessus : Conseil de l'UE, mandat de négociation avec le Parlement européen, ST 14756/26, 22 octobre 2026 (texte en anglais).
- Conseil de l'UE, Digital rulebook: Council agrees position to simplify data protection, privacy and cyber reporting rules, communiqué de presse, 21 octobre 2026 (en anglais)
- Commission européenne, proposition Omnibus numérique COM(2025) 837, 19 novembre 2025
- Commission européenne, An agile Digital Rulebook for the EU
- Parlement européen, Observatoire législatif, procédure 2025/0360(COD)
- Règlement (UE) 2016/679 (RGPD), EUR-Lex
- Règlement (UE) 2026/1744 (Omnibus numérique sur l'IA), EUR-Lex
- CEPD, avis 28/2024 sur certains aspects de la protection des données liés au traitement de données à caractère personnel dans le contexte des modèles d'IA, 17 décembre 2024
Cet article fournit une information générale sur une proposition législative, à jour à la date indiquée. Il ne constitue pas un conseil juridique. Le texte final peut différer de la position du Conseil. Pour toute décision concernant votre organisation, consultez un avocat ou votre DPO. Pour signaler une erreur, contactez l'équipe Themio.