Le 21 octobre 2026, les ambassadeurs des Vingt-Sept ont arrêté la position du Conseil de l’Union européenne sur l’omnibus numérique. Ce mandat ouvre une étape de la réforme du règlement général sur la protection des données (RGPD), des cookies et des signalements d’incidents cyber. Il ne constitue pas une loi adoptée : les nouvelles exemptions envisagées ne sont pas encore utilisables par les sites ou les entreprises.

Le Conseil a ajouté le texte de son mandat à son communiqué le 22 octobre. La réforme s’inscrit dans le programme européen de simplification, avec un objectif affiché de réduction des contraintes administratives.

Cookies : davantage d’exemptions proposées

Le Conseil maintient les règles sur les cookies et les autres traceurs dans la directive ePrivacy. Il souhaite préciser et étendre les usages sans consentement, notamment pour fournir un service demandé, mesurer son audience ou assurer la sécurité du terminal. Ces exemptions seraient encadrées par leur finalité ; elles ne correspondent pas à une suppression générale du consentement.

En France, la CNIL rappelle que les traceurs de publicité personnalisée nécessitent actuellement un consentement préalable. Certains cookies techniques et certains outils de mesure d’audience remplissant des conditions précises en sont déjà dispensés. Pour les traceurs soumis au consentement, accepter et refuser doivent présenter le même degré de simplicité.

Violations de données : le délai et le seuil changeraient

Le mandat propose de porter de 72 à 96 heures le délai maximal, lorsque cela est possible, pour avertir l’autorité de protection des données après la découverte d’une violation. Il réserverait cette obligation aux violations susceptibles d’entraîner un risque élevé pour les personnes. Le droit actuel impose une notification dans les meilleurs délais et, si possible, sous 72 heures, sauf absence de risque pour leurs droits et libertés.

Le Conseil privilégie aussi un point d’entrée dans chaque État membre pour faciliter les déclarations relevant de plusieurs textes européens, à la place du guichet unique européen proposé initialement. L’organisation de ces signalements reste donc elle aussi à négocier.

L’utilisation des données par l’IA reste contestée

Le Conseil conserve la définition actuelle des données personnelles, tout en ajoutant des dispositions sur la pseudonymisation et l’identification des personnes. Pour le développement et le fonctionnement de systèmes ou de modèles d’intelligence artificielle, le mandat prévoit le recours à l’intérêt légitime, avec un renvoi aux garanties du RGPD et au droit d’opposition.

Le 23 octobre, l’association de défense des droits numériques noyb a critiqué cette disposition sur l’IA, jugeant insuffisant le renvoi aux droits existants. Le Conseil affirme, pour sa part, vouloir simplifier les règles en maintenant la protection des données. Les effets de la réforme sur les garanties individuelles sont ainsi au cœur du désaccord.

Un texte encore ouvert aux négociations

Les attentes divergent également entre gouvernements. Dans son bulletin du 24 octobre, Agence Europe rapporte que l’Allemagne juge le compromis insuffisant et réclame notamment des allègements supplémentaires pour les traitements à faible risque, dont ceux de petites et moyennes entreprises.

Au 24 octobre, l’Observatoire législatif du Parlement européen indique que le dossier attend encore une décision en commission. La présidence du Conseil doit négocier avec les eurodéputés une fois leur position adoptée. Le contenu final et son calendrier d’application restent à établir ; les règles en vigueur continuent de s’appliquer.