Digital Omnibus : le Conseil sur le RGPD et les cookies
Le 21 octobre 2026, les ambassadeurs de l'UE ont arrêté le mandat du Conseil sur le Digital Omnibus : violations de données, cookies, incidents.
Le 21 octobre 2026, le Comité des représentants permanents (Coreper) a arrêté le mandat du Conseil pour les négociations avec le Parlement européen sur le Digital Omnibus, la proposition de la Commission de novembre 2025 visant à simplifier les règles numériques de l'UE (procédure 2025/0360(COD)). Le texte a été publié le 22 octobre 2026 sous la forme du document du Conseil 14756/26, chaque modification de la proposition de la Commission y étant signalée.
Il s'agit du point de départ du Conseil pour les négociations, pas d'un texte en vigueur. Tant qu'un règlement définitif n'est pas adopté et publié, le RGPD, la directive ePrivacy et les lois nationales de transposition de NIS2 s'appliquent tels quels.
Violations de données personnelles
Le Conseil reprend les deux principales modifications de l'article 33 du RGPD proposées par la Commission :
- Seules les violations à risque élevé devraient être notifiées à l'autorité de contrôle : celles « susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques ».
- 96 heures au lieu de 72 : notification dans les meilleurs délais et, si possible, dans les 96 heures après en avoir pris connaissance, avec une justification en cas de retard.
La notification passerait par un point d'entrée national mis en place par chaque État membre, au lieu du point d'entrée unique européen proposé par la Commission. En attendant, les responsables du traitement continuent de notifier directement leur autorité de contrôle. Le CEPD publierait des listes des situations susceptibles, ou non, d'engendrer un risque élevé.
Données personnelles et pseudonymisation
La Commission proposait d'ajouter à la définition des données personnelles qu'une information n'est pas une donnée personnelle pour une entité qui ne peut pas identifier la personne. Le Conseil supprime cette phrase et propose à la place un nouvel article 25 bis sur la pseudonymisation :
- les données pseudonymisées ne sont pas des données personnelles pour un tiers incapable d'identifier la personne ;
- si elles sont transmises à quelqu'un qui peut identifier la personne, elles redeviennent des données personnelles ;
- pour un sous-traitant, les données traitées pour le compte d'un responsable du traitement restent toujours des données personnelles ;
- le CEPD rendrait un avis sur la pseudonymisation et l'anonymisation.
Les cookies restent dans la directive ePrivacy
La Commission proposait de transférer les règles sur les cookies dans le RGPD. Le Conseil les maintient à l'article 5, paragraphe 3, de la directive ePrivacy et le réécrit. Le consentement reste la règle, avec des exceptions lorsque le stockage ou la lecture d'informations est strictement nécessaire, par exemple pour transmettre une communication, fournir un service demandé par l'utilisateur, assurer la sécurité ou mesurer l'audience de façon anonyme et agrégée par le fournisseur du service ou pour son compte.
Lorsqu'un consentement est demandé, l'utilisateur doit pouvoir refuser en un seul clic ou par un moyen équivalent. Après un refus, la même demande ne pourrait pas être renouvelée pendant au moins quatre mois ; la Commission en proposait six. Les États membres disposeraient de 24 mois après l'adoption pour transposer ces changements.
Autres points du RGPD
- Décisions automatisées (article 22) : le Conseil maintient le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, avec les exceptions et garanties existantes, dont l'intervention humaine.
- Demandes d'accès (article 12, paragraphe 5) : le responsable du traitement pourrait exiger des frais ou refuser une demande lorsqu'une intention abusive peut être démontrée ; la charge de la preuve lui incombe.
- Analyses d'impact (article 35) : le CEPD publierait des listes européennes des traitements qui exigent, ou non, une AIPD.
- IA : le traitement pour le développement et le fonctionnement de systèmes et modèles d'IA peut reposer sur l'intérêt légitime de l'article 6, paragraphe 1, point f), et les données sensibles présentes par accident dans les données d'entraînement doivent être effacées dans les meilleurs délais, ou protégées si l'effacement est techniquement impossible.
Notification des incidents au titre de NIS2
Au lieu d'une plateforme européenne unique, l'ENISA créerait un point d'information sur la notification des incidents qui indique les obligations applicables et oriente vers le bon point d'entrée national ; il ne reçoit lui-même aucune notification. Dans les six mois suivant l'entrée en vigueur, la Commission ferait rapport sur les différences de définitions, de seuils et de délais entre NIS2, eIDAS, le RGPD, DORA et la directive CER.
Que faire maintenant
Rien ne change encore. Continuez à notifier les violations dans les 72 heures, gardez votre recueil du consentement aux cookies tel quel et suivez les négociations : le texte final peut encore évoluer sur chacun de ces points.
Sources
- Conseil de l'UE : document 14756/26, Digital Omnibus, mandat de négociation (22 octobre 2026)
- Règlement (UE) 2016/679 (RGPD)
- Directive 2002/58/CE (directive vie privée et communications électroniques)
- Directive (UE) 2022/2555 (NIS2)
À titre d’information, ne constitue pas un conseil juridique. Dernière mise à jour le 29 octobre 2026.
Également disponible en: English, Nederlands, Italiano, Deutsch, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål