Le Conseil de l’Union européenne a arrêté mercredi 21 octobre sa position sur le volet « données » de l’omnibus numérique, qui simplifie le RGPD, les règles sur les cookies et la notification des cyberincidents. Il ajoute au passage des garde-fous visant les géants du numérique et la fuite de secrets d’affaires hors d’Europe. Explications.
Les États membres ont tranché. Mercredi 21 octobre, le Conseil de l’Union européenne a adopté son mandat de négociation sur la proposition de la Commission visant à simplifier certaines règles en matière de protection des données, de vie privée et de cybersécurité, apprend-on dans un communiqué du Conseil. Le texte s’inscrit dans le paquet de simplification dit « Omnibus VII », présenté par la Commission le 19 novembre 2025.
Le volet consacré à l’intelligence artificielle a déjà été bouclé : l’acte législatif correspondant a été adopté le 29 juin 2026, précise le communiqué. Restait le morceau le plus sensible, celui qui touche au règlement général sur la protection des données (RGPD), en vigueur depuis 2018 et dont le bilan dressé par l’AFCDP pour ses huit ans restait contrasté.
RGPD : la définition des données personnelles reste intacte
Premier enseignement, le Conseil maintient la définition actuelle des données à caractère personnel. Il y adjoint des règles sur la pseudonymisation, simplifie certaines obligations d’information et retient une définition de la recherche scientifique fondée sur des principes. Il prévoit également des garanties pour le traitement de données sensibles à des fins de vérification biométrique et de développement de systèmes d’IA.
Ce choix rejoint l’une des principales réserves des régulateurs. Dans leur avis conjoint, le Comité européen de la protection des données (CEPD) et le Contrôleur européen de la protection des données (EDPS) demandaient aux colégislateurs de « ne pas adopter les modifications proposées à la définition des données à caractère personnel », rapportait la CNIL le 12 février 2026. Les mêmes autorités soutenaient en revanche « l’augmentation du seuil de risque conduisant à l’obligation de notifier une violation de données ».
Le Conseil va dans ce sens. « The Council also backs the Commission proposal to extend the deadline for the notification of personal data breaches », précise le communiqué, sans indiquer la durée du nouveau délai. Une liste unique au niveau de l’Union des traitements à haut risque et des modèles communs pour les organisations figurent également au mandat.
Cookies : moins de consentements pour la mesure d’audience et la sécurité
Côté vie privée en ligne, le Conseil élargit les cas dans lesquels le consentement de l’internaute ne serait plus requis, notamment pour la fourniture d’un service, la mesure d’audience ou la sécurité de l’appareil. Objectif affiché : réduire « the number of cookie banners when navigating online », souligne le communiqué.
Contrôleurs d’accès et secrets d’affaires : les garde-fous du Conseil
Le volet le plus politique concerne la réutilisation des données. Le mandat consolide les règles sur l’altruisme des données et les services d’intermédiation. Surtout, il ouvre aux organismes publics la possibilité de fixer des conditions différentes et de facturer des redevances plus élevées « for the re-use by very large enterprises and, in particular, undertakings designated as gatekeepers », précise le communiqué. Les contrôleurs d’accès au sens du règlement sur les marchés numériques (DMA) sont, pour l’essentiel, de grandes plateformes extra-européennes.
Le texte répond par ailleurs, selon le Conseil, à « the urgent need to strengthen safeguards against the risk of trade secret leaks to third countries » (traduit de l’anglais : le besoin urgent de renforcer les garanties contre le risque de fuite de secrets d’affaires vers des pays tiers). Concrètement, les secrets d’affaires ne seraient divulgués qu’une fois que le détenteur des données et l’utilisateur auront pris toutes les mesures nécessaires à leur confidentialité.
Cyberincidents : un point d’entrée par État membre plutôt qu’à Bruxelles
Pour le signalement des cyberincidents, les Vingt-Sept s’écartent de la Commission. Celle-ci proposait un point d’entrée unique au niveau européen. Le Conseil lui préfère « a national entry point in each member state », complété par un point d’information sur le signalement des incidents au niveau de l’Union. Les capitales gardent ainsi la main sur la remontée des attaques.
Pour sa part, Thomas Byrne, ministre d’État irlandais aux Affaires européennes et à la Défense, se félicite : « These measures will reduce compliance costs and boost competitiveness and innovation » (traduit de l’anglais : ces mesures réduiront les coûts de mise en conformité et stimuleront la compétitivité et l’innovation). Helen McEntee, ministre irlandaise des Affaires étrangères et du Commerce, dont le pays préside le Conseil, estime de son côté que « Simplifying and streamlining the EU’s digital rulebook will make it easier for businesses to operate across Europe » (traduit de l’anglais : simplifier et rationaliser le corpus de règles numériques de l’UE facilitera l’activité des entreprises à travers l’Europe).
Paris et Berlin en soutien, 127 organisations en opposition
Le texte n’a rien de consensuel. Dès sa présentation, la France et l’Allemagne avaient salué le projet dans un communiqué commun, jugeant que les textes actuels comportent des « coûts disproportionnés et une insécurité juridique qui portent atteinte à la capacité de croissance et d’innovation des entreprises européennes », relevait Acteurs Publics le 25 novembre 2025.
Le même média rapportait la charge de 127 syndicats et organisations de la société civile, pour qui la « simplification technique » affichée « est en réalité une tentative de démanteler secrètement les plus fortes protections de l’UE contre les menaces numériques ». Quant au groupe Renew Europe au Parlement européen, il s’inquiétait d’un « affaiblissement possible des principes centraux du RGPD », toujours selon Acteurs Publics.
La suite se jouera à Strasbourg. La présidence du Conseil n’ouvrira les négociations avec le Parlement européen qu’une fois que celui-ci aura arrêté sa propre position. La feuille de route « One Europe, One Market » fixe l’objectif de conclure l’ensemble des paquets de simplification d’ici à la fin 2027.
