Les règles numériques européennes vont se simplifier. Le 21 octobre 2026, le Conseil de l'UE a adopté son mandat de négociation pour simplifier le RGPD, les règles sur les cookies issues de la directive ePrivacy, ainsi que les obligations de signalement des incidents cyber et de données — un paquet placé sous le mot d'ordre « simplification sans baisse du niveau de protection », dont le texte intégral a été publié le lendemain.
Ce qui s'est passé
Il s'agit du septième paquet législatif du programme de simplification « Omnibus » de l'UE, qui vise à rendre le corpus numérique européen plus clair et plus facile à appliquer, et à réduire les coûts de conformité pour les entreprises et les administrations. À noter : la partie du même paquet portant sur la mise en œuvre des règles harmonisées sur l'IA a déjà été adoptée le 29 juin 2026 ; ce que le Conseil vient d'approuver, c'est l'autre moitié — la simplification du cadre législatif numérique.
Les principaux éléments :
- Révision du RGPD : la définition des données personnelles reste inchangée ; nouvelles dispositions sur la pseudonymisation et l'identification d'une personne physique ; allègement des exigences pour les demandes infondées ou excessives des personnes concernées et pour les obligations d'information à faible risque ; définition de la « recherche scientifique » fondée sur des principes, avec des dérogations ciblées pour les organismes de recherche ; dérogation — assortie de garanties — pour le traitement de données sensibles à des fins de vérification biométrique et pour le développement et l'exploitation de systèmes d'IA ; clarification du fondement juridique du traitement de données personnelles lié à l'IA ; allongement du délai de notification des violations de données ; liste à l'échelle de l'UE des catégories de traitement à haut risque et modèles de conformité communs.
- Règles sur les cookies : les règles de la directive ePrivacy sur les cookies et le suivi en ligne sont maintenues, mais davantage de cas où les cookies peuvent être déposés sans consentement sont précisés — par exemple la fourniture d'un service, la mesure d'audience ou la sécurisation de l'appareil de l'utilisateur — ce qui devrait nettement réduire le nombre de bandeaux cookies sur les sites.
- Règles plateformes et données : certaines dispositions du règlement plateformes-entreprises (P2B) sont abrogées ; l'« acquis données » (data acquis) est consolidé ; les organismes publics pourront facturer des redevances plus élevées pour la réutilisation des données par de très grandes entreprises, en particulier les contrôleurs d'accès désignés ; la protection des secrets d'affaires contre les fuites vers les pays tiers est renforcée — aucune divulgation requise tant que le détenteur et l'utilisateur des données n'ont pas pris toutes les mesures nécessaires pour préserver la confidentialité.
- Signalement des incidents : au lieu d'un point d'entrée unique au niveau de l'UE, chaque État membre mettra en place un point d'entrée national, complété par un point d'information européen sur le signalement des incidents, ainsi qu'un cadre harmonisé de notification et des règles de notification transfrontière. Par ailleurs, le règlement européen sur l'IA est déjà entré en phase d'application (/article/2612-eu-ai-acts-first-enforcement-why-openai-and-anthropic-got-letters) — la pression de conformité est bien réelle.
Prochaine étape : la présidence du Conseil ouvrira les négociations avec le Parlement européen une fois que celui-ci aura adopté sa propre position. Selon la feuille de route « Une Europe, un marché » signée en avril 2026, l'UE vise à boucler tous les paquets de simplification d'ici fin 2027.
Qui est concerné
Le champ d'application est l'UE : les entreprises opérant dans l'UE, les administrations publiques et les citoyens européens sont concernés.
- Les entreprises fournissant des services d'IA dans l'UE, ou traitant des données personnelles avec l'IA : le fondement juridique des données d'entraînement et d'exploitation de l'IA, ainsi que la voie de conformité pour la vérification biométrique, pourraient bénéficier de nouvelles dérogations. Le régulateur britannique des données a déjà demandé à dix développeurs de modèles de modifier leurs pratiques (/article/2519-uk-ico-names-10-model-developers-changing-data-practices-and-xai-faces-a-separat) — la conformité des données se resserre.
- Les équipes vie privée et sécurité : l'allongement du délai de notification des violations est une bonne nouvelle, mais le passage à des points d'entrée nationaux et à un cadre harmonisé impose de mettre à jour les procédures internes de réponse.
- Les exploitants de sites web et les prestataires de mesure d'audience : les outils de gestion du consentement devront être reconfigurés pour les nouveaux cas exemptés.
- Les détenteurs publics de données et les grands réutilisateurs : les redevances pour les contrôleurs d'accès réutilisant des données publiques pourraient augmenter, et le seuil de protection des secrets d'affaires contre la divulgation vers des pays tiers est relevé.
Que faire
- Ne pas attendre le texte final : cartographiez dès maintenant les fondements juridiques et les mesures de pseudonymisation des données personnelles traitées dans vos pipelines d'entraînement et d'exploitation de l'IA, et dressez une liste des écarts pour pouvoir agir dès l'adoption.
- Traiter les scénarios biométriques à part : chaque nouvelle dérogation est assortie de garanties — faites un examen de conformité avant le lancement, et ne lisez pas « dérogation » comme « feu vert ».
- Mettre à jour la procédure de réponse aux violations : le délai de notification pourrait s'allonger, mais le cadre harmonisé et les points d'entrée nationaux exigent de nouveaux modèles et canaux de signalement.
- Suivre le trilogue : le mandat du Conseil n'est que le point de départ des négociations ; le Parlement n'a pas encore adopté sa position, et des points clés — règles de pseudonymisation, dérogations recherche, portée des exemptions cookies — peuvent encore évoluer avant l'adoption.
Où sont les risques
Le plus grand risque est de prendre ce mandat pour du droit déjà en vigueur : ce n'est que le mandat de négociation du Conseil, les discussions avec le Parlement européen restent à venir — le calendrier et le contenu final peuvent changer. Et « simplification » n'est pas « dérégulation » : le communiqué insiste à plusieurs reprises sur le maintien de standards élevés de protection, et chaque dérogation pour la biométrie et le traitement de données d'IA est liée à des garanties. Ne suspendez pas le travail de conformité trop tôt.
Attention aussi à la frontière territoriale : ce sont des règles de l'UE, inapplicables aux États-Unis ou dans d'autres juridictions. Les multinationales doivent les gérer par juridiction — les dérogations européennes ne se transposent pas telles quelles ailleurs.
