Analyse — situation au 1er novembre 2026
Sous le mot de « simplification », l’Union européenne prépare des changements qui pourraient réduire certaines protections de nos données personnelles. Le risque mérite d’être pris au sérieux. Mais la réforme reste en négociation, et certaines de ses dispositions les plus contestées ont déjà été revues.
Le mot est rassurant : simplifier. Qui pourrait s’opposer à des règles plus lisibles, à des démarches moins coûteuses, à moins de formulaires ? Le problème commence lorsque l’on range sous ce même mot des changements de nature très différente. Uniformiser un formulaire et réduire le périmètre d’un droit ne produisent pas les mêmes effets.
C’est toute l’ambiguïté de l’« omnibus numérique », présenté par la Commission européenne le 19 novembre 2025. Ce projet modifie plusieurs textes, dont le règlement général sur la protection des données, le RGPD. L’objectif affiché est de réduire les coûts de conformité et de soutenir la compétitivité, sans abaisser les protections. La stratégie européenne qui l’accompagne entend aussi faciliter l’accès aux données pour l’intelligence artificielle. [1][2]
Cette promesse doit être examinée à partir des dispositions proposées, plutôt que du vocabulaire employé pour les défendre.
La bataille sur les données protégées
Le point le plus sensible du projet initial concernait la définition des données personnelles. La Commission proposait de préciser que des informations pourraient ne pas être personnelles pour une organisation incapable d’identifier les personnes avec les moyens raisonnablement susceptibles d’être utilisés, même si une autre organisation pouvait le faire.
L’enjeu est considérable : cette définition détermine quelles informations bénéficient des garanties du RGPD. Un nom remplacé par un identifiant ne rend pas automatiquement une personne impossible à retrouver. La pseudonymisation et l’anonymisation ne sont pas interchangeables.
En février 2026, le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont demandé de ne pas adopter cette modification, jugeant qu’elle réduirait fortement le champ des données protégées. [3]
Une évolution importante est cependant intervenue : dans sa position du 21 octobre 2026, le Conseil de l’Union européenne conserve la définition actuelle et propose une disposition distincte sur la pseudonymisation. [4] Présenter aujourd’hui la proposition initiale comme une décision européenne définitive serait donc trompeur.
L’IA au centre des assouplissements
La réforme vise également à faciliter l’utilisation de données pour développer et faire fonctionner des systèmes d’IA. La Commission souhaite notamment expliciter le recours à l’« intérêt légitime » et permettre, sous conditions, certains traitements incidents de données sensibles. [2][3]
Il faut ici éviter un raccourci : le consentement n’a jamais été l’unique fondement possible d’un traitement de données personnelles. Les autorités européennes rappellent que l’intérêt légitime peut déjà être mobilisé dans certains cas pour l’IA. Elles demandent aussi de mieux encadrer la dérogation envisagée pour les données sensibles. [3]
Le débat porte donc sur les conditions d’utilisation de nos données, les garanties applicables et la capacité des personnes à faire respecter leurs droits. Il mérite davantage qu’une opposition sommaire entre innovation et vie privée.
À mes yeux, faciliter l’entraînement des modèles ne suffit pas à justifier un recul des protections. Il faut pouvoir expliquer précisément pourquoi chaque changement est nécessaire et quelles conséquences il aura pour les personnes concernées.
Certaines simplifications ont du sens
Tout le projet ne mérite pas le même jugement. Les autorités de protection des données soutiennent, par exemple, des modèles communs pour certaines démarches et des ajustements aux notifications de violations de données. [3]
Ces mesures montrent qu’il existe une marge pour alléger les procédures. Le bon critère devrait être concret : l’entreprise passe-t-elle moins de temps à remplir des documents, ou la personne dispose-t-elle de moins de moyens pour savoir ce que deviennent ses données ?
Cette distinction doit guider l’examen des assouplissements proposés sur l’information des personnes et le traitement des demandes considérées comme infondées ou excessives, qui figurent aussi dans la position du Conseil. [4] La manière de rédiger ces exceptions comptera autant que les principes affichés.
Une réforme encore ouverte
L’Union européenne ne parle pas ici d’une seule voix. La Commission a proposé le texte, les autorités de protection des données l’ont critiqué sur plusieurs points et le Conseil en a remanié certaines dispositions.
Au 1er novembre 2026, cette réforme du RGPD n’est pas définitivement adoptée. Le Conseil a fixé sa position de négociation ; son communiqué prévoit l’ouverture des discussions avec le Parlement européen lorsque celui-ci aura adopté la sienne. [4]
Parler d’une tentative de détricotage partiel est donc défendable. Parler d’un RGPD déjà démantelé ne décrit pas l’état du dossier.
La vigilance reste nécessaire. Un droit peut perdre de sa portée par l’accumulation d’exceptions, sans jamais être formellement supprimé. Chaque nouvelle dérogation doit donc être évaluée pour ses effets propres, puis avec les autres.
La question à poser aux institutions européennes est simple : après cette réforme, pourrons-nous comprendre, contester et maîtriser l’usage de nos données aussi efficacement qu’avant ? C’est sur cette réponse que la promesse de simplification devra être jugée.
Sources
- Commission européenne — Présentation de la proposition d’omnibus numérique, 19 novembre 2025.
- Commission européenne — Stratégie pour une union des données, COM(2025) 835, 19 novembre 2025.
- Comité européen et Contrôleur européen de la protection des données — Analyse de l’omnibus numérique, 11 février 2026.
- Conseil de l’Union européenne — Position sur l’omnibus numérique, 21 octobre 2026, mise à jour le 22 octobre.