RGPD, cookies, IA : la position des États sur l’omnibus numérique
Le 21 octobre 2026, les États membres ont arrêté leur position sur le volet données de l’omnibus numérique. Rien ne change encore : le RGPD actuel s’applique.
L’essentiel
- Le 21 octobre 2026, les représentants des États membres ont arrêté la position du Conseil sur le volet données de l’omnibus numérique.
- Elle admet l’intérêt légitime pour l’IA, allège la mesure d’audience et porte à 96 heures le délai de notification des violations graves.
- Le Parlement européen doit encore fixer sa position : aucun texte final n’est attendu avant 2027, et le RGPD actuel reste la règle.
Une étape, pas une réforme adoptée
L’omnibus numérique est un paquet de simplification proposé par la Commission européenne. Il retouche plusieurs textes : le RGPD, les règles sur les cookies (directive ePrivacy), le Data Act et la notification des incidents de cybersécurité. Le volet consacré à l’IA a suivi un texte à part, déjà en vigueur (le règlement (UE) 2026/1744).
Le 21 octobre 2026, après plusieurs reports, le Coreper (le comité qui réunit les représentants permanents des États membres) a adopté le mandat de négociation du Conseil sur ce volet données. Ce mandat servira de base aux négociations avec le Parlement européen, le « trilogue », qui ne pourra s’ouvrir qu’une fois la position des eurodéputés arrêtée. Selon Banque des Territoires, aucun texte finalisé n’est attendu avant 2027.
Données personnelles et IA
Le Conseil écarte la réécriture de la définition de la donnée personnelle proposée par la Commission. Il allège en revanche le régime des données pseudonymisées, c’est-à-dire dont les éléments d’identification directe ont été remplacés, par exemple par un code : elles ne seraient plus considérées comme personnelles lorsqu’elles sont destinées à un tiers qui n’a pas les moyens de réidentifier les personnes.
Sur l’IA, le traitement de données personnelles pour développer ou faire fonctionner un système pourrait reposer sur l’intérêt légitime, donc sans consentement. Le Conseil remplace le droit d’opposition sans justification voulu par la Commission par le droit d’opposition classique du RGPD. Un considérant ajoute que le seul fait de développer une IA ne vaut pas intérêt légitime : chaque situation doit être examinée. Les autorités publiques ne pourraient pas invoquer cette base et devraient s’appuyer sur une mission d’intérêt public.
Le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé est confirmé. Pour l’association noyb, l’article consacré à l’IA installe de fait une présomption d’intérêt légitime favorable aux entreprises du secteur, tandis que DigitalEurope, qui représente l’industrie numérique, juge les simplifications insuffisantes.
Cookies et violations de données
Pour les sites web et la sécurité des données, le mandat prévoit notamment :
- une mesure d’audience possible sans bandeau de consentement lorsqu’elle n’est pas liée à une régie publicitaire ;
- un refus possible en un clic, puis un délai d’au moins quatre mois avant de redemander son consentement à un internaute qui l’a refusé pour la même finalité, d’après le texte du mandat publié par le Conseil ;
- la notification à l’autorité de contrôle des seules violations de données à risque élevé, sous 96 heures au lieu de 72, le Comité européen de la protection des données établissant la liste de ces violations ;
- un point d’entrée national pour signaler les incidents de cybersécurité, à la place du guichet européen unique proposé par la Commission ;
- la possibilité de refuser une demande d’accès aux données en cas d’intention abusive, par exemple des requêtes automatisées d’agents IA qui saturent une administration.
Pour votre entreprise
Ce que ça change pour une entreprise en Guadeloupe
Pour une TPE, une association ou une collectivité de Guadeloupe, la consigne est simple : ne changez rien pour l’instant. Le délai de 72 heures pour notifier une violation de données à la CNIL s’applique toujours, tout comme les règles actuelles de consentement aux cookies et le cadre du RGPD pour l’IA.
Les bons réflexes restent donc ceux du RGPD : ne pas copier de données clients dans un outil d’IA non encadré et savoir qui prévenir en cas de fuite. Notre guide IA et RGPD les détaille, et le parcours Initiation à l’IA générative les met en pratique. Deux points méritent toutefois d’être suivis :
- pour les collectivités : si le texte final reprend la position du Conseil, elles ne pourront pas invoquer l’intérêt légitime pour développer une IA et devront s’appuyer sur leur mission d’intérêt public ;
- pour les sites web : l’allègement prévu pour la mesure d’audience pourrait simplifier le bandeau cookies des petits sites, mais seulement une fois le texte adopté et applicable.
Sources
- Omnibus numérique : l’Europe peine à finaliser la simplification promise (nouvel onglet) · Banque des Territoires (Localtis),
- Omnibus numérique : le Conseil simplifie, noyb dénonce une expropriation numérique (nouvel onglet) · Solutions Numériques & Cybersécurité,
- Omnibus numérique : mandat de négociation du Conseil avec le Parlement européen, document 14756/26 (PDF en anglais) (nouvel onglet) · Conseil de l’Union européenne,