Dans les coulisses du Digital Omnibus européen : ce qui change vraiment pour le RGPD — et ce qui vient de tomber au point mort

Pendant la majeure partie de son existence, le RGPD a été traité comme une cible fixe : un ensemble de règles publiées en 2016, appliquées à partir de 2018, et retouchées seulement à la marge depuis. Cela est en train de changer — mais pas aussi proprement que la Commission européenne l'espérait au départ. En novembre 2025, la Commission a publié son paquet Digital Omnibus, proposant l'ensemble de modifications le plus substantiel apporté au RGPD depuis l'entrée en vigueur du règlement. Trois changements comptent le plus : une exemption bien plus large de l'obligation formelle de tenue de registres, une bannière cookies repensée avec une option de refus en un clic, et une nouvelle formulation confirmant que l'intérêt légitime peut fonder le traitement de données par l'IA.

Rien de tout cela n'est encore entré en vigueur, et depuis août 2026, les trois propositions n'avancent plus au même rythme. L'exemption relative au registre des traitements bénéficie d'un soutien institutionnel et c'est l'élément qui a le plus de chances de survivre intact. La refonte de la bannière cookies et la clarification sur l'intérêt légitime en matière d'IA se sont heurtées à un mur au Conseil en juin 2026 et ont été retirées du texte de travail que négociaient les États membres — non pas abandonnées, mais mises en pause, leur sort reposant désormais sur un Parlement qui ne devrait pas finaliser sa propre position avant la publication d'une étude d'impact prévue en octobre 2026. Voici ce qui est réellement sur la table, ce qui est bloqué, et ce qu'il convient de faire en attendant.

Pourquoi la Commission agit maintenant

Le Digital Omnibus n'est pas né dans le vide. Depuis 2018, une critique récurrente des entreprises — en particulier des entreprises de taille moyenne en croissance — porte sur le fait que la charge de conformité du RGPD augmente de façon inégale. Une entreprise de 240 salariés bénéficie d'exemptions significatives concernant les obligations formelles de tenue de registres ; la même entreprise à 260 salariés n'en bénéficie plus, alors qu'elle n'est que marginalement plus grande. La Commission a qualifié ce phénomène d'effet de « falaise » (cliff edge) : les entreprises se heurtent à un mur de nouvelles obligations au moment même où elles cherchent à se développer.

Dans le même temps, la Commission a subi une pression d'une tout autre nature : des critiques selon lesquelles les bannières de consentement aux cookies seraient devenues si manipulatrices — conçues pour faire du bouton « tout accepter » la voie de moindre résistance — qu'elles ne rempliraient plus leur fonction de mécanisme de consentement authentique. Et à ces deux préoccupations s'ajoute la montée de l'IA, qui a contraint les régulateurs à préciser comment l'intérêt légitime, l'une des six bases légales de traitement prévues par le RGPD, s'applique à une catégorie de traitement qui existait à peine lorsque le règlement a été rédigé.

Le Digital Omnibus tente de répondre aux trois enjeux à la fois. Il s'agit en réalité de deux projets de règlement distincts : un « Digital Omnibus » général modifiant le RGPD, la directive ePrivacy, NIS2 et le Data Act (parfois appelé « Data Omnibus » dans la doctrine juridique), et un « Digital Omnibus on AI » distinct, centré sur l'AI Act européen. Cette distinction compte pour le calendrier — le volet AI Act a déjà franchi les étapes du Conseil et du Parlement et entrera en vigueur dès sa publication au Journal officiel, attendue mi-2026. Le volet RGPD, lui, n'en est pas là, et c'est l'objet de cet article.

L'extension de l'exemption relative au registre des traitements

Dans le cadre des règles actuelles du RGPD, l'art. 30 impose à la plupart des organisations de tenir un registre détaillé de leurs activités de traitement — quelles données personnelles elles collectent, pourquoi, combien de temps elles les conservent, et quelles mesures de sécurité sont en place. L'art. 30, paragraphe 5, prévoit une exemption restreinte pour les organisations de moins de 250 salariés, à condition que leur traitement ne remplisse pas certaines conditions de risque, notamment tout traitement de données sensibles.

Le Digital Omnibus élargirait considérablement cette exemption, de deux façons. D'abord, le seuil d'effectif passerait de moins de 250 à moins de 750 salariés — à condition que l'organisation reste également sous les plafonds financiers de 150 millions d'euros de chiffre d'affaires annuel ou de 129 millions d'euros de total de bilan. Un très grand nombre d'entreprises de taille moyenne qui doivent aujourd'hui tenir une documentation complète au titre de l'art. 30 deviendraient, avec ce nouveau seuil, éligibles au régime allégé.

Ensuite, la proposition modifie ce qui exclut une organisation du bénéfice de l'exemption. Aujourd'hui, tout traitement de données sensibles — informations de santé, données biométriques, données révélant des opinions politiques ou des convictions religieuses — exclut automatiquement une organisation, indépendamment du risque réel. Le Digital Omnibus remplacerait cette exclusion générale par un critère fondé sur le risque : l'exemption ne serait exclue que lorsque le traitement est « susceptible d'engendrer un risque élevé » pour les personnes concernées — le même seuil qui déclenche déjà une analyse d'impact relative à la protection des données (AIPD) au titre de l'art. 35.

Il convient d'être précis sur ce que ce changement modifie, et ce qu'il ne modifie pas. Il réduit la charge documentaire ; il ne réduit pas les obligations sous-jacentes relatives à la licéité du traitement, aux droits des personnes concernées ou à la sécurité. Les organisations relevant de l'exemption élargie devront toujours réaliser une AIPD lorsque celle-ci est requise — l'évaluation des risques utilisée pour déterminer l'éligibilité à l'exemption est elle-même un exercice proche d'une AIPD. C'est le seul volet du Digital Omnibus qui bénéficie d'un soutien institutionnel clair : le Comité européen de la protection des données (CEPD) et l'EDPS ont salué la simplification du registre des traitements dans un avis conjoint dès juillet 2025, et ont réaffirmé leur soutien global à cette mesure — tout en soulevant d'autres préoccupations, notamment concernant le resserrement proposé par l'Omnibus de la définition des données à caractère personnel — dans un avis conjoint plus complet sur l'ensemble du paquet, publié en février 2026.

La refonte de la bannière de cookies — et pourquoi elle vient de caler

Le deuxième volet du Digital Omnibus s'attaque à l'une des caractéristiques les plus critiquées du paysage actuel du RGPD. Tel qu'initialement proposé, il aurait obligé les sites web à permettre aux utilisateurs de refuser tous les cookies non essentiels en un seul clic, directement sur le premier niveau de la bannière, avec une option de refus bénéficiant d'une visibilité visuelle égale à celle de l'acceptation — fermant ainsi la faille de longue date où « tout accepter » n'est qu'un bouton, tandis que « refuser » suppose de naviguer dans un panneau de paramètres et de décocher les options une par une.

La proposition initiale allait plus loin encore : elle exemptait totalement de bannière de consentement certaines catégories de cookies à faible risque — mesure d'audience interne, cookies nécessaires à la fourniture d'un service explicitement demandé par l'utilisateur, cookies de sécurité et de prévention de la fraude — et introduisait des signaux « automatisés et lisibles par machine » au niveau du navigateur, permettant à un utilisateur de définir ses préférences de suivi une seule fois et de les voir respectées automatiquement par les sites. Lorsque le consentement était malgré tout demandé et donné, les sites auraient dû respecter ce choix pendant au moins six mois avant de le redemander.

Dans le texte de compromis du Conseil du 10 juin 2026, les articles portant sur le bouton de refus en un clic et sur le mécanisme de signal navigateur ont été purement et simplement supprimés, après que les ambassadeurs des États membres n'ont pas réussi à s'accorder sur ces points deux jours plus tôt. Même ce compromis allégé n'a pas obtenu la majorité qualifiée requise et a été retiré de l'approbation formelle fin juin.

Cela ne signifie pas pour autant que la conception des bannières cookies est désormais sans règles. Indépendamment du Digital Omnibus, les lignes directrices d'application du RGPD existantes traitent déjà un bouton « tout accepter » plus facile à trouver ou à cliquer que « refuser » comme un dark pattern — un défaut de conception que les régulateurs poursuivent au titre des règles actuelles, avec ou sans l'Omnibus. Ce qui est réellement bloqué à Bruxelles, c'est le mécanisme précis (clic unique, signaux au niveau du navigateur, exemptions pour risque faible) — pas l'exigence sous-jacente selon laquelle refuser doit être véritablement aussi simple qu'accepter.

Intérêt légitime et traitement par l'IA — également bloqué

Le troisième élément touche à l'une des questions les plus disputées dans la pratique actuelle de la protection des données : l'intérêt légitime, en tant que base légale prévue à l'art. 6, peut-il fonder le traitement de données personnelles pour entraîner ou faire fonctionner des systèmes d'IA ? Aujourd'hui, les organisations qui s'appuient sur l'intérêt légitime pour leurs traitements liés à l'IA évoluent dans une certaine ambiguïté — menant leurs propres tests de mise en balance sans disposer d'une formulation explicite du RGPD confirmant la validité de cette approche.

Le Digital Omnibus, dans sa version initiale, aurait ajouté une formulation reconnaissant explicitement que l'intérêt légitime peut fonder le traitement lié à l'IA — de manière conditionnelle, et non inconditionnelle. Les garanties existantes qui rendent l'intérêt légitime valable dans n'importe quel contexte — nécessité, proportionnalité, un véritable test de mise en balance au regard des droits des personnes, transparence, et un droit d'opposition inconditionnel — auraient toujours dû être réellement respectées. Cette disposition était présentée comme une clarification du champ d'application, non comme un assouplissement de la norme.

Cette formulation clarificatrice faisait partie des dispositions retirées aux côtés des articles sur les cookies dans le texte de compromis du Conseil de juin 2026. L'effet pratique, pour l'instant : les organisations ne disposent toujours pas d'une disposition explicite du RGPD confirmant que l'intérêt légitime couvre le traitement lié à l'IA. La position juridique sous-jacente n'a pas changé — l'art. 6, paragraphe 1, point f), s'applique déjà dès lors que le test de mise en balance est réellement effectué et documenté — mais la confirmation réglementaire espérée n'est pas plus proche qu'elle ne l'était en novembre 2025.

Où en sont vraiment les choses, dans l'ordre

1. Novembre 2025 — la Commission européenne publie la proposition Digital Omnibus, couvrant le RGPD, ePrivacy, NIS2 et le Data Act.
2. Février 2026 — le CEPD et l'EDPS publient leur avis conjoint sur l'ensemble du paquet : globalement favorables à la simplification du registre des traitements, tout en soulevant des préoccupations sur d'autres points, notamment la définition plus restrictive proposée pour les données à caractère personnel.
3. 8–10 juin 2026 — les ambassadeurs du Conseil ne parviennent pas à s'accorder sur les dispositions relatives au consentement aux cookies et à l'intérêt légitime pour l'IA ; le texte de compromis de la présidence supprime purement et simplement ces articles.
4. Fin juin 2026 — même le texte de compromis allégé est retiré de l'approbation formelle du Conseil, faute de majorité qualifiée.
5. Aujourd'hui (août 2026) — le Parlement européen finalise encore sa propre position, une étude d'impact étant attendue en octobre 2026. L'adoption définitive du volet du paquet relatif au RGPD n'est pas attendue avant fin 2026 au plus tôt — ce qui signifie qu'une mise en œuvre réelle relève plus vraisemblablement de 2027, avec un calendrier potentiellement encore plus long selon ce que le Parlement et le Conseil devront encore concilier.

Dans le même temps, le volet AI Act du paquet Digital Omnibus — une proposition distincte, sans lien avec la question de l'intérêt légitime évoquée plus haut — a déjà franchi les étapes du Conseil et du Parlement et entrera en vigueur dès sa publication au Journal officiel. Il est facile de confondre les deux volets du Digital Omnibus ; un seul d'entre eux est réellement arrivé à bon port.

Se préparer dès maintenant à des règles qui ne sont pas encore définitives

Cette incertitude n'est pas une raison d'attendre, mais c'est une raison d'être sélectif sur les efforts à fournir.

1. Suivez l'évolution du seuil RoPA, mais n'agissez pas encore en conséquence. Si votre organisation compte entre 250 et 750 salariés, l'exemption élargie pourrait modifier sensiblement votre charge de conformité — mais le seuil, ainsi que les plafonds financiers qui l'accompagnent, restent soumis à négociation. Sachez où vous vous situeriez, et maintenez vos registres actuels au titre de l'art. 30 en bon ordre jusqu'à ce que le texte final soit arrêté.
2. Ne refondez pas votre bannière cookies autour d'un mécanisme actuellement supprimé du texte en négociation. Construire un parcours de refus en un clic autour d'un article précis sur lequel les membres du Conseil n'ont pas réussi à s'accorder en juin est prématuré. Ce qui n'est pas prématuré : s'assurer que votre option « refuser » actuelle est véritablement aussi facile à trouver et à cliquer que « tout accepter » — c'est une exigence d'application du RGPD dès aujourd'hui, indépendamment de l'Omnibus.
3. Continuez à documenter vos tests de mise en balance de l'intérêt légitime pour les traitements liés à l'IA comme si la clarification n'allait pas arriver bientôt — car, actuellement, ce n'est pas le cas. Ce sont les garanties (nécessité, proportionnalité, une véritable évaluation de mise en balance, transparence, droit d'opposition) qui rendent l'intérêt légitime défendable aujourd'hui, avec ou sans disposition explicite sur l'IA dans le texte.
4. Faites le point à nouveau en octobre 2026, lorsque l'étude d'impact du Parlement sera attendue et que sa propre position de négociation devrait commencer à se préciser. Ce sera le prochain moment où la forme du texte final — plutôt que celle de la proposition de novembre 2025 — deviendra plus claire.

En résumé

Le Digital Omnibus demeure une tentative sincère de corriger trois problèmes réels du RGPD tel qu'il fonctionne actuellement — mais depuis août 2026, ses trois volets n'avancent plus à la même vitesse. La simplification du registre des traitements bénéficie du soutien du CEPD et de l'EDPS et constitue l'élément le plus susceptible de devenir loi sous une forme proche de sa version actuelle. La refonte de la bannière cookies et la clarification sur l'intérêt légitime pour l'IA sont toutes deux bloquées, retirées du texte de travail du Conseil après l'échec d'un accord entre États membres, la position propre du Parlement n'étant pas attendue avant octobre. Considérez l'exemption RoPA comme méritant une attention particulière, et traitez les deux autres volets comme du bruit de fond tant qu'il n'existe pas de texte concret sur lequel réagir.

Réservez une consultation gratuite avec GDPRGard →

Sources

• EDPB — Digital Omnibus: EDPB and EDPS support simplification and competitiveness while raising key concerns (Feb 2026)
• EDPB — Targeted modifications of the GDPR: record-keeping simplification (July 2025)
• Noerr — Proposal for simplification of GDPR record-keeping for organisations under 750 employees
• Secure Privacy — What Article 88a Changes for Cookie Consent (2026)
• Addleshaw Goddard — EU Digital Omnibus on AI: Council and Parliament agreed positions

À lire aussi :

• RGPD en 2026 : amendes record, une réforme en mouvement, et ce qu'il faut faire maintenant
• Les 5 erreurs de bannières de cookies les plus courantes — et comment les corriger
• L'excuse « c'était public » n'existe plus : le RGPD couvre désormais formellement les données d'entraînement de l'IA