Podcast #45 : Digital Omnibus

Bonjour et bienvenue dans In My Data, le podcast qui décrypte avec vous l'actualité du RGPD.

Je suis Tom de l’Hamaide, juriste et DPO chez FCN Data (ex Blockproof), et on se retrouve pour un nouvel épisode avec Lou et Clara.

Aujourd'hui, on va discuter d'un projet européen assez controversé, Omnibus.

Digital Omnibus : de quoi s'agit-il ?

C'est une proposition législative qui va regrouper plusieurs modifications et des révisions d'actes juridiques. Cela va concerner plusieurs changements, peut-être des allégements, on en parlera un petit peu plus tard au cours de ce podcast.

Lorsque la Commission a évoqué Omnibus et ce projet de révision de textes, notamment le RGPD, elle a vraiment insisté sur le caractère technique et a ciblé ses propositions. Elle parle aussi de mesures de simplification. On va voir que ce n'est pas aussi simple que ça.

On va voir dans quelle mesure ces évolutions peuvent avoir des conséquences pour certains organismes, notamment ceux qui sont soumis au RGPD ou qui sont concernés par la gestion des cookies sur leur site web. En effet, de nombreux organismes sont potentiellement concernés. On abordera donc cet instrument Omnibus, ainsi que les différentes révisions qu’il prévoit.

On va donc parler de tout cela aujourd’hui. On va commencer par approfondir un peu le sujet et présenter plus précisément le Digital Omnibus. Il se décline en deux paquets distincts.

Le premier volet porte spécifiquement sur les dispositions du RIA, c’est-à-dire le Règlement sur l’intelligence artificielle. Celui-ci est d’ailleurs déjà entré en vigueur, à la suite du vote du 26 mars 2026. L’objectif est notamment de réduire la charge administrative qui pèse sur les organisations.

On retrouve ici un débat qui revient régulièrement : avec l’ensemble de nos réglementations, est-ce qu’on ne risque pas de prendre du retard par rapport aux autres pays, qui poursuivent déjà activement leur développement dans ce domaine ? C’est donc un enjeu majeur, qui soulève de nombreuses questions.

Le deuxième volet va porter cette fois-ci sur les acquis numériques existants. Lorsqu'on parle de ces acquis numériques, de quoi s’agit-il exactement ? On fait notamment référence au RGPD, mais aussi à la directive e-Privacy.

Ce deuxième volet va donc également concerner les cookies, que l’on évoquait juste avant, mais aussi la gouvernance des données et la cybersécurité. On a donc bien ces deux grands volets du Digital Omnibus.

On va maintenant se concentrer un peu plus particulièrement sur le deuxième volet, qui est lui-même divisé en deux parties. L’une d’elles concerne les données non personnelles. On ne va pas s’y attarder énormément aujourd’hui, mais il faut tout de même préciser que ces données vont également faire l’objet de révisions, notamment à travers un autre texte : le Data Act. On peut donc ouvrir cette parenthèse, avant de revenir à notre sujet principal.

En effet, on va surtout s’intéresser au droit des données personnelles, qui va connaître de nombreux changements. On va voir apparaître plusieurs modifications et simplifications, du moins selon les objectifs affichés par l’Union européenne dans le cadre de ce Digital Omnibus.

Alors, concrètement, comment cet allègement va-t-il se traduire ? Est-ce qu’on va agir sur les définitions ? Sur les procédures ? Est-ce que ces changements vont concerner certains organismes en fonction de leur secteur d’activité ou de leur cœur de métier ?

Digital Omnibus : quelles sont les conséquences ?

Merci Tom pour cette introduction.

En effet, on a plusieurs points qui pourraient évoluer avec cet Omnibus, si jamais les propositions sont adoptées. Et l’un des changements les plus fondamentaux pour nous, en tant que DPO, dans l’accompagnement de nos clients, concerne sans doute la redéfinition potentielle du périmètre des données à caractère personnel.

On le sait, cette notion est véritablement au cœur du RGPD. Les données à caractère personnel sont définies, notamment par la Charte des droits fondamentaux de l’Union européenne, comme des informations se rapportant à une personne physique identifiée ou identifiable.

Ces informations peuvent être relativement courantes, comme un nom ou un prénom, mais elles peuvent également prendre la forme d’un identifiant, par exemple un identifiant en ligne.

Et c’est justement sur ce dernier point que l’Omnibus pourrait apporter des changements importants. En effet, on pourrait assister à une évolution de l’approche retenue pour définir ce qu’est une donnée à caractère personnel, et notamment de l’approche dite relative de cette notion.

Aujourd’hui, on considère qu’une donnée peut être personnelle dès lors qu’un responsable de traitement dispose de moyens lui permettant d’identifier une personne physique. Mais l’Omnibus pourrait aller un peu plus loin dans cette logique.

Ainsi, un responsable de traitement qui ne disposerait pas de moyens raisonnables pour réidentifier une personne, notamment dans le cadre de données pseudonymisées, pourrait ne pas être soumis aux obligations du RGPD pour ces données.

La différence avec le cadre actuel résiderait donc dans une approche davantage contextualisée de la notion de donnée personnelle. On chercherait à déterminer, pour chaque organisme, s’il est effectivement en mesure de réidentifier une personne à partir des informations et des moyens dont il dispose.

Autrement dit, une même donnée pourrait être considérée comme une donnée à caractère personnel pour un responsable de traitement, mais ne pas l’être nécessairement pour un autre, y compris dans le cadre d’une relation entre responsables de traitement conjoints.

Et c’est justement ce point-là qui nous interroge aujourd’hui : comment va-t-on déterminer si un organisme doit, ou non, respecter le RGPD ?

Pour rappel, dès lors que les données ne sont plus considérées comme des données à caractère personnel, comme c’est le cas avec l’anonymisation, les règles du RGPD n’ont plus vocation à s’appliquer.

Mais qu’en est-il de la pseudonymisation ? On parle ici du fait de remplacer des données directement identifiantes par un identifiant, par exemple un numéro généré aléatoirement.

Si, dans ce contexte, un responsable de traitement n’est plus en mesure de réidentifier une personne, notamment parce qu’il ne dispose pas de la clé permettant de faire le lien avec son identité, il pourrait alors être exempté de certaines obligations du RGPD, voire de son application pour les traitements concernés.

Et cela pourrait avoir des conséquences importantes pour les clients que l’on accompagne. On a notamment de nombreuses situations dans lesquelles plusieurs organismes interviennent en tant que responsables de traitement conjoints. Si l’un d’entre eux venait à ne plus être soumis au RGPD en raison de cette nouvelle approche, cela pourrait modifier considérablement la qualification de leurs relations et, par conséquent, leurs obligations contractuelles.

Les autorités de contrôle seraient également concernées. Elles devraient elles-mêmes déterminer si un organisme dispose des moyens nécessaires pour réidentifier les personnes et, par conséquent, s’il entre dans le champ d’application du RGPD.

On aurait donc un véritable travail d’analyse à mener, à la fois pour les responsables de traitement et pour les autorités de protection des données. Il faudrait notamment évaluer les moyens dont dispose chaque organisme pour retrouver l’identité des personnes à partir de données pseudonymisées, et déterminer si une réidentification est effectivement possible.

C’est un point particulièrement important, car il pourrait avoir des conséquences significatives sur l’exercice des droits des personnes concernées.

L’objectif de cet Omnibus est notamment de tendre vers une certaine harmonisation de la réglementation au niveau de l’Union européenne. Mais, dans la pratique, les autorités de contrôle pourraient être amenées à apprécier de manière assez subjective la capacité d’un organisme à réidentifier les personnes.

Autrement dit, selon les moyens dont dispose l’organisme, une même donnée pourrait être considérée comme personnelle ou non. Et si l’autorité estime que cet organisme est effectivement en mesure de réidentifier les personnes concernées, alors le RGPD aurait vocation à s’appliquer.

Clara, est-ce que tu vois d’autres points qui pourraient poser des difficultés dans le cadre de la mise en place de cet Omnibus ?

Merci pour cette question. Effectivement, j’en vois plusieurs. Il y a notamment trois dispositions de l’Omnibus qui, à première vue, semblent aller dans le sens d’une simplification, mais qui pourraient aussi créer de nouvelles difficultés pour les organismes, les responsables de traitement et les DPO, notamment dans le cadre de nos missions quotidiennes.

On va tout d’abord s’intéresser aux cookies et aux autres traceurs.

L’Omnibus propose d’intégrer directement dans le RGPD des règles relatives aux cookies et, plus largement, aux technologies de suivi. L’objectif affiché est de simplifier le système actuel et de lutter contre ce qu’on appelle la « cookie fatigue », c’est-à-dire la lassitude des utilisateurs face aux demandes répétées de consentement.

Cette lassitude peut conduire les utilisateurs à accepter ou à refuser les cookies de manière automatique, sans réellement prendre le temps de réfléchir à leur choix.

Mais cette simplification pour les utilisateurs pourrait, en réalité, entraîner une complexité supplémentaire pour les responsables de traitement.

En effet, le consentement resterait obligatoire pour les usages présentant un risque particulier, notamment la publicité ciblée ou certaines formes de personnalisation. En revanche, certaines finalités considérées comme présentant un risque plus faible pourraient être exemptées de consentement.

Et c’est là qu’apparaît une première difficulté : en tant que DPO, on devrait déterminer précisément dans quelle catégorie se situe chaque traceur et chaque finalité.

Pour un responsable de traitement qui utilise plusieurs outils d’analyse, de publicité, de personnalisation ou encore de mesure d’audience, cela pourrait nécessiter davantage d’analyses au cas par cas.

On aurait donc potentiellement besoin de mobiliser davantage de moyens et de consacrer plus de temps à l’analyse de ces différents usages.

Également, on note aussi une volonté de centraliser les préférences. Aujourd'hui, le choix est principalement effectué site par site, via les CMP, c'est-à-dire les Consent Management Platform, qui sont des outils qui permettent à un établissement de recueillir, de gérer et de conserver les choix de consentement des utilisateurs.

Néanmoins, avec l'arrivée d'Omnibus, l'utilisateur pourrait également exprimer ses préférences au niveau de son navigateur ou de son système d'exploitation. Sur le papier, ça semble bien plus simple pour l'utilisateur. Mais si on se tourne du côté du responsable de traitement, ça signifie que les sites, les CMP et les outils devront être capables de comprendre et de respecter ces nouveaux signaux. Cela suppose donc des adaptations techniques importantes et une bonne coordination avec les prestataires.

Un autre point de vigilance à noter, lorsqu'un utilisateur refuse une finalité, refuse un cookie, le site, la plateforme, ne pourrait pas nécessairement lui redemander son consentement avant six mois. Cela peut être assez contraignant pour les responsables de traitement lorsque leur traitement évolue, qu'un nouveau prestataire intervient ou que les finalités changent.

Ainsi, le fait de rendre le refus aussi simple que l'acceptation est positif pour l'utilisateur. Mais encore une fois, cela signifie que les établissements vont revoir certaines interfaces et certains parcours de consentement. Il y aura surtout une complexité opérationnelle, à la fois au niveau juridique pour nous, mais également technique.

Non seulement il va y avoir l'intervention des DPO, mais des services concernés et des services informatiques. Au-delà des cookies, on note également, notamment dans l'article 88-R, un point au stockage et aux accès aux terminaux. Ici, on élargit encore le sujet, puisqu'il ne concerne pas uniquement les cookies, mais plus largement le stockage d'informations sur un terminal et l'accès aux informations qui y sont déjà présentes.

Le risque, c'est notamment de devoir analyser un nombre important de technologies différentes : cookies, identifiants, mécanismes de stockage, outils de suivi, technologies utilisées par les applications ou les objets connectés. Pour nous, en tant que DPO, les questions deviennent donc très concrètes.

Qu'est-ce qui est stocké sur un terminal ? Qui va y accéder ? Pour quelles finalités ? Est-ce que cette technologie nécessite un consentement ? Est-ce que l'acceptation pour un terminal est valide pour tous les autres terminaux ?

Cela nécessite donc une bonne connaissance de l'architecture technique de l'établissement et des outils fournis par les prestataires. Encore une fois, cela va multiplier les échanges avec les DPO mais également d'autres services transverses (marketing, sécurité...) et une transparence qui va être demandée de la part des fournisseurs, des prestataires avec lesquels les responsables sont amenés à travailler.

Digital Omnibus : quid de l'IA ?

Autre petit point, qui concerne cette fois-ci l'intelligence artificielle.

L'objectif ici, c'est de faciliter dans certaines conditions le recours à la base légale de l'intérêt légitime pour les traitements nécessaires au développement et à l'exploitation de systèmes ou de modèles d'intelligence artificielle.

Sauf qu'il existe un risque important : donner l'impression que l'intérêt légitime devienne une sorte de passeport pour utiliser des données dans le cadre de l'utilisation de l'intelligence artificielle.

Or ce n'est pas le cas. On peut considérer qu'il s'agit d'un affaiblissement de la donnée personnelle car on simplifie la collecte de données. La difficulté sera notamment de déterminer précisément ce qui relève de l'entraînement du modèle, du développement, de l'exploitation, de l'amélioration continue du système.

Plus ces notions seront difficiles à distinguer, plus les analyses du DPO seront complexes.

Ici, la mise en place de l'ensemble de ces éléments vise à faciliter l'utilisation des données à caractère personnel pour développer les outils utilisant de l'intelligence artificielle. Cela peut conduire à davantage de réutilisation de données existantes pour de nouvelles finalités.

Notre travail (en tant que DPO) auprès de l'ensemble de nos clients sera de rester particulièrement vigilant sur le principe de minimisation, le principe de proportionnalité des données et surtout de la transparence afin de mettre en avant le droit des personnes concernées.

Merci pour toutes ces précisions Clara. On voit bien que, même si on parle de simplification, les choses restent assez techniques. L’Union européenne va finalement plus loin dans son analyse, et on se rend compte que cette simplification n’est pas forcément aussi évidente qu’elle peut le paraître au premier abord.

J’aurais une petite question, peut-être un peu plus générale. On a beaucoup parlé des données à caractère personnel, de leur identification et des difficultés que cela peut poser.

Mais nous, on accompagne aussi pas mal de clients dans le secteur médico-social, qui traitent un volume important de données de santé. Et autour de ces données, on a toute une organisation, avec des mesures de sécurité et des procédures spécifiques à mettre en place.

Est-ce que vous pensez que quelque chose pourrait évoluer concernant ces données personnelles, et plus particulièrement les données de santé ? Est-ce que vous pensez que ces données sensibles vont être concernées par les changements envisagés ? Ou est-ce qu’on peut considérer que, sur ce point, le cadre restera relativement stable ?

Oui, c’est un peu ce que j’évoquais tout à l’heure. On retrouve ici les mêmes interrogations autour de la définition de la donnée à caractère personnel et de l’approche qui pourrait être retenue, notamment cette approche plus subjective qui est envisagée dans le cadre de l’Omnibus.

En effet, on peut légitimement se demander si des données sensibles, et notamment des données de santé pseudonymisées, continueront systématiquement à être considérées comme des données à caractère personnel sensibles. Est-ce que le cadre juridique va évoluer sur ce point ?

Pour le moment, le projet ne semble pas prévoir de modifications spécifiques concernant les données de santé. On pourrait donc considérer, à ce stade, qu’aucun changement particulier n’est envisagé sur ce sujet.

Et je pense que c’est plutôt une bonne chose, dans la mesure où les données sensibles, et notamment les données de santé, sont particulièrement liées à l’intimité des personnes concernées. Elles doivent donc continuer à bénéficier d’un niveau de protection élevé.

On peut néanmoins s’interroger sur les conséquences des simplifications envisagées dans le cadre de l’Omnibus. Elles pourraient faciliter une utilisation plus importante de ces données, avec potentiellement un niveau de protection moins élevé pour les personnes concernées.

C’est donc un point sur lequel on devra rester particulièrement vigilants.

Les points positifs du projet Digital Omnibus

L’Omnibus prévoit également de rationaliser les notifications en matière de cybersécurité, notamment celles qui concernent les obligations de signalement prévues dans différents textes européens.

On retrouve ces obligations dans DORA, dans la directive NIS 2, dans eIDAS, mais aussi dans d’autres réglementations européennes.

C’est justement pour cela que l’Omnibus a une portée assez large : il vient toucher à plusieurs textes européens, comme on l’évoquait au début de notre échange. L’objectif est notamment de mieux harmoniser les obligations de notification. Et ça, c’est un premier point très positif.

On a également un deuxième point qui me semble particulièrement intéressant : l’uniformisation des modèles relatifs aux analyses d’impact sur la protection des données, les fameuses AIPD, également appelées PIA en anglais.

L’idée serait donc d’harmoniser les listes et les modèles utilisés pour réaliser ces analyses.

On le sait, la rédaction d’une AIPD peut représenter un travail particulièrement fastidieux. C’est un document assez conséquent, qui nécessite une véritable analyse juridique et technique. Il faut prendre en compte de nombreux éléments, bien définir le périmètre du traitement et évaluer les risques associés.

C’est donc un travail de longue haleine, qui peut être particulièrement chronophage.

Avec ces modèles harmonisés, on pourrait bénéficier d’un cadre plus clair et plus simple pour réaliser ces analyses. Et concrètement, ce serait un véritable avantage pour nous, mais aussi pour nos clients.

Je pense notamment aux organismes du secteur médico-social, qui sont particulièrement concernés par les AIPD. Lorsqu’on traite des données sensibles, notamment des données de santé, ou des données concernant des personnes accompagnées, on se retrouve très souvent dans des situations où une AIPD est nécessaire.

On pourrait donc disposer de modèles harmonisés, qui faciliteraient la réalisation de ces analyses et permettraient de gagner du temps.

Et ça, honnêtement, c’est une très bonne chose. On voit bien que, sur certains aspects, la simplification proposée par l’Omnibus peut être tout à fait concrète.

Digital Omnibus et le métier de DPO

On peut revenir sur une dernière question : on a beaucoup parlé des données personnelles et des évolutions envisagées. Mais, finalement, c’est aussi le métier de DPO qui pourrait être impacté.

Est-ce que vous avez un dernier point à aborder, ou peut-être quelques réserves à exprimer sur ces évolutions ?

Eh bien, écoute Tom, dans un premier temps, je voudrais déjà rassurer les personnes qui nous écoutent : dans l’immédiat, il n’y a pas de changement du cadre juridique applicable.

Le Digital Omnibus reste un projet, et les règles actuelles du RGPD continuent donc de s’appliquer.

Ensuite, même si on parle beaucoup de cet Omnibus, il faut rappeler qu’il fait l’objet de nombreuses controverses et qu’il soulève des enjeux importants en matière de droits fondamentaux.

Plusieurs évolutions sont proposées, et certaines pourraient effectivement soulever des interrogations, notamment au regard de la Charte des droits fondamentaux de l’Union européenne et du droit à la protection des données personnelles, auquel la Cour de justice de l’Union européenne se réfère régulièrement.

On l’a vu, il existe un possible effet paradoxal. Certaines données qui sont aujourd’hui considérées comme des données à caractère personnel pourraient, à terme, sortir du champ d’application du RGPD et bénéficier ainsi d’un niveau de protection moindre au titre de ce règlement. Cela pourrait donc se faire au détriment des personnes concernées.

Et lorsque je parlais tout à l’heure de changements qui ne seraient pas immédiats, il faut rappeler que le Digital Omnibus n’est pas le seul texte à surveiller.

On a également un calendrier de révision qui s’étale dans le temps, avec plusieurs textes européens relatifs au numérique qui doivent être réévalués progressivement à partir de 2027, puis en 2028 et en 2029.

Parmi ces textes, on retrouve notamment la directive NIS 2, le Digital Services Act (DSA), le Data Act et le règlement sur l’intelligence artificielle (AI Act).

On voit donc que les évolutions réglementaires vont se poursuivre dans les prochaines années, et qu’on devra rester particulièrement attentifs à leurs conséquences sur nos pratiques et sur l’accompagnement de nos clients.

Merci Clara et Lou pour ces échanges. On se retrouve bientôt pour un nouveau podcast !