Lancé il y a près d’un an, l’Omnibus numérique, destiné à « simplifier » plusieurs réglementations numériques européennes, continue son parcours chaotique. Dans la version du 21 octobre 2026, le Coreper a écarté la réécriture de la définition de la donnée personnelle proposée par la Commission qui avait provoqué une levée de boucliers. Il allège néanmoins le statut des données pseudonymisées. Dans le but de faciliter leur réutilisation, il leur retire le statut de données personnelles quand elles sont destinées à un tiers ne disposant pas des moyens pour réidentifier les personnes.
IA : l’intérêt légitime validé
Sur l’IA, le texte prévoit que le traitement de données personnelles pour développer ou exploiter un système d’IA « peut être réalisé » sur le fondement de l’intérêt légitime, c’est-à-dire sans consentement des personnes. Le Conseil a retiré le droit d’opposition inconditionnel (sans justification) prévu par la Commission, en le remplaçant par le droit d’opposition classique au titre du RGPD. Un considérant ajoute que développer une IA ne constitue pas « en soi » un intérêt légitime et que l’analyse se fait au cas par cas.
Quant aux autorités publiques, elles ne peuvent se prévaloir d’un intérêt légitime. Elles doivent s’appuyer sur une « mission d’intérêt public » pour développer une IA. Le texte confirme aussi le droit à ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, notamment si des données sensibles sont utilisées, avec des exceptions limitées.
Allègement des formalités
Les allègements de procédure ont fait l’objet d’ajustements marginaux. Les violations de données ne devraient être notifiées qu’en cas de « risque élevé », sous 96 h au lieu de 72 h. À charge pour le Comité européen de la protection des données d’établir la liste des violations à risque élevé et des traitements soumis à analyse d’impact. Une demande d’accès d’une personne à ses propres données pourra aussi être refusée si une intention abusive est démontrée, par exemple l’usage de requêtes automatisées via des agents IA entraînant une surcharge de travail pour une administration.
Sur la cybersécurité, le Conseil renonce au guichet européen unique pour le signalement des incidents, la notification passera par un point d’entrée national. Pour les cookies, le texte acte des dispositions visant à remédier à « la fatigue du consentement », en permettant leur usage sans bandeau d’acceptation pour mesurer une audience sans lien avec une régie publicitaire.
Facturation de certaines données publiques
Côté données publiques, la directive Open Data et le règlement sur la gouvernance des données doivent être fondus dans le Data Act. L’harmonisation est conçue sur une base minimale même si les États pourront conserver des règles d’ouverture plus ambitieuses. La possibilité de surfacturer (au-delà du coût) la réutilisation de données publiques aux très grandes entreprises, notamment les grandes plateformes, est confirmée. L’accès des administrations aux données privées en cas d’urgence publique a été circonscrit aux événements imprévisibles limités dans le temps.
Un texte toujours contesté
En l’état, ce texte reste contesté, avec de fortes dissensions entre pays européens. Pour l’association Noyb, l’article sur l’IA revient à présumer un intérêt légitime au profit des entreprises d’IA. Les règles sur la pseudonymisation sont aussi contestées. DigitalEurope, le lobby des entreprises numériques, estime en revanche les simplifications insuffisantes. Le Parlement européen doit encore arrêter sa position avant l’ouverture du trilogue. On n’attend pas de texte finalisé avant 2027.
.
