# Digital Omnibus : ce que la position du Conseil change pour le RGPD URL: https://mdp-data.com/digital-omnibus-position-conseil-rgpd/ Date: 2026-11-10 Last modified: 2026-11-09 Author: Christophe SAINT-PIERRE --- > Le 21 octobre 2026, le Conseil de l’UE a adopté son mandat de négociation sur le Digital Omnibus. Définition des données personnelles, délai de notification des violations, cookies, signalement des incidents : ce qui bouge, ce qui reste en l’état et ce que les DPO peuvent préparer dès maintenant. ## MDP Data Protection décrypte la position du Conseil sur le Digital Omnibus pour aider les DPO à anticiper la réforme Sur le **Digital Omnibus**, le Conseil de l’UE a adopté sa position de négociation le 21 octobre 2026. Il maintient la définition des données personnelles, soutient l’allongement du délai de notification des violations et garde les cookies dans la directive ePrivacy. Rien de tout cela ne s’applique encore : le Parlement européen n’a pas arrêté sa position et les négociations n’ont pas commencé. Le Digital Omnibus marque un tournant dans la régulation numérique européenne, entre RGPD, intelligence artificielle et cybersécurité. ## Ce que le Conseil a adopté le 21 octobre 2026 Le Digital Omnibus est la [proposition de règlement présentée par la Commission européenne le 19 novembre 2025](https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-regulation-proposal) pour simplifier plusieurs textes du numérique : RGPD, directive ePrivacy, règles sur les données et signalement des incidents de cybersécurité. Pour le contexte général, voir notre article [Digital Omnibus : comprendre le nouveau tournant de la régulation numérique européenne](https://mdp-data.com/digital-omnibus-comprendre-le-nouveau-tournant-de-la-regulation-numerique-europeenne/). Le 21 octobre 2026, les représentants des États membres ont validé le **mandat de négociation du Conseil**. Ce texte, rendu public le lendemain, fixe la position que la présidence irlandaise défendra face au Parlement européen. Le [communiqué du Conseil](https://www.consilium.europa.eu/fr/press/press-releases/2026/10/21/digital-rulebook-council-agrees-position-to-simplify-data-protection-privacy-and-cyber-reporting-rules/) en présente les principaux éléments. ### Un mandat de négociation n’est pas une loi Le mandat du Conseil ne crée aucune obligation pour les organisations. Pour devenir applicable, le texte doit faire l’objet d’un accord entre le Conseil et le Parlement européen, puis d’une adoption formelle et d’une publication au Journal officiel de l’Union européenne. Le Conseil précise lui-même qu’il ouvrira les négociations une fois que le Parlement aura adopté sa propre position. Côté Parlement, le texte est toujours examiné par les commissions ITRE et LIBE. Nous avions analysé leur projet de rapport dans [Omnibus numérique : ce que le rapport ITRE-LIBE change pour les DPO](https://mdp-data.com/omnibus-numerique-itre-libe-rgpd-dpo-2026/). ### Pourquoi certains sites annoncent un texte déjà voté Le Digital Omnibus comportait deux propositions distinctes. Le volet consacré à l’AI Act (Règlement IA, RIA, Règlement (UE) 2024/1689) a été adopté le 29 juin 2026, selon le Conseil. Le volet données, qui modifie le RGPD, est toujours en discussion. Plusieurs publications confondent les deux et présentent à tort les nouvelles règles du RGPD comme applicables. ## Digital Omnibus : ce que le Conseil change pour le RGPD Le mandat reprend l’essentiel de la proposition de la Commission, avec plusieurs inflexions notables. ### La définition des données personnelles est maintenue La Commission proposait de préciser, à l’article 4 du RGPD, qu’une information n’est pas forcément une donnée personnelle pour une entité qui ne peut pas identifier la personne concernée. Le Comité européen de la protection des données et le Contrôleur européen de la protection des données avaient demandé le retrait de cette modification dans leur [avis conjoint 2/2026 du 10 février 2026](https://www.edpb.europa.eu/system/files/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf), estimant qu’elle réduirait le champ de la protection. Le Conseil conserve la définition actuelle. Il ajoute une disposition sur la pseudonymisation et l’identification des personnes, pour clarifier les cas dans lesquels des données pseudonymisées restent des données personnelles. Pour qualifier vos données selon le droit actuel, voir notre guide [Anonymisation et pseudonymisation : vos données sont-elles encore personnelles ?](https://mdp-data.com/anonymisation-et-pseudonymisation-rgpd/) ### Violations de données : un délai de notification plus long Aujourd’hui, l’[article 33 du RGPD](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016R0679) impose de notifier une violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes. La Commission propose de porter ce délai à 96 heures, de ne notifier que les violations présentant un risque élevé et de créer un modèle de notification commun à l’Union. Le Conseil soutient l’allongement du délai. Il appuie aussi la création d’une liste unique, au niveau européen, des traitements susceptibles d’engendrer un risque élevé, ainsi que des modèles communs pour remplir les obligations du RGPD. Ces mesures concernent directement les analyses d’impact ([AIPD](https://mdp-data.com/aipd-pia-analyse-impact-protection-donnees-guide/)). ### Demandes de droits et information des personnes Le mandat allège la gestion des demandes infondées ou excessives, ainsi que certaines obligations d’information lorsque le risque est faible. Le communiqué du Conseil ne détaille pas les conditions : elles figurent dans le texte du mandat et peuvent encore évoluer en négociation. ### Recherche scientifique, biométrie et IA Le Conseil retient une définition de la recherche scientifique fondée sur des principes, avec des exemptions ciblées pour les organismes de recherche. Il entoure de garanties la nouvelle dérogation qui autoriserait le traitement de données sensibles pour la vérification biométrique et pour le développement et l’exploitation de systèmes d’IA. Il clarifie aussi la base légale applicable aux traitements liés à l’IA. ## Cookies : les règles restent dans la directive ePrivacy La Commission proposait de transférer vers le RGPD les règles applicables aux traceurs qui traitent des données personnelles. Le Conseil les maintient dans la [directive ePrivacy](https://mdp-data.com/eprivacy-directive-cookies-rgpd-2026/). Il ajoute des finalités pour lesquelles le consentement ne serait plus exigé : la fourniture d’un service demandé, la mesure d’audience et la sécurité de l’appareil de l’utilisateur. L’objectif affiché est de réduire le nombre de bandeaux cookies. Tant qu’aucun texte n’est adopté, les règles actuelles et les recommandations de la CNIL sur les traceurs continuent de s’appliquer. ## Signalement des incidents : un point d’entrée national Une même cyberattaque peut aujourd’hui déclencher plusieurs notifications : au titre du [RGPD](https://mdp-data.com/accompagnement-rgpd-transformer-la-conformite-en-atout-metier/), de la [directive NIS2](https://mdp-data.com/nis2-et-cybersecurite-obligations-et-actions-cles-pour-les-organisations/) ou du [règlement DORA](https://mdp-data.com/dora-reglement-resilience-numerique-secteur-financier/). La Commission proposait un point d’entrée unique au niveau européen. Le Conseil le remplace par un point d’entrée national dans chaque État membre, complété par un point d’information européen et par des règles harmonisées pour les notifications transfrontalières. Pour les organisations, l’enjeu principal reste la coordination interne : qui qualifie l’incident, au titre de quels textes, et dans quels délais. ## Commission et Conseil : ce qui diffère SujetProposition de la Commission (19 novembre 2025)Mandat du Conseil (21 octobre 2026)Définition des données personnellesPrécision ajoutée à l’article 4 : une information n’est pas forcément une donnée personnelle pour toute entitéDéfinition actuelle maintenue, nouvelle disposition sur la pseudonymisationNotification des violationsDélai porté à 96 heures, seuil relevé au risque élevéAllongement du délai soutenuCookies et traceursTransfert vers le RGPD des règles sur les traceurs traitant des données personnellesMaintien dans la directive ePrivacy, nouvelles exemptions au consentementSignalement des incidentsPoint d’entrée unique au niveau européenPoint d’entrée national, complété par un point d’information européenStatutPropositionPosition de négociation, sans effet juridique ## Concrètement, que faire maintenant ? Vos obligations ne changent pas. La période est en revanche utile pour préparer la suite. - **Continuer à notifier sous 72 heures** les violations susceptibles d’engendrer un risque pour les personnes. C’est la règle en vigueur. - **Documenter toutes les violations**, y compris celles qui ne sont pas notifiées, comme l’exige déjà l’article 33, paragraphe 5, du RGPD. Si le seuil de notification est relevé, ce registre deviendra la principale preuve de votre analyse. - **Ne pas exclure de données du périmètre du RGPD** au motif qu’elles sont pseudonymisées. La définition actuelle s’applique, et le Conseil la maintient. - **Cartographier vos obligations de notification** (RGPD, NIS2, DORA, règles sectorielles) et les personnes chargées de les déclencher. Ce travail facilitera le passage à un point d’entrée national. - **Repérer les documents à modifier le jour de l’adoption** : procédure de gestion des violations, registre, politique cookies, méthode d’AIPD. La réforme avance, vos obligations actuelles restent : comment être prêt sans tout refaire ? Le jour où le texte sera adopté, procédure de violation, registre et politique cookies devront évoluer ensemble. Les réunir dès maintenant dans un [outil de pilotage de la conformité](https://mdp-data.com/simply-rgpd/), avec vos plans d’actions, permet de les adapter sans repartir de zéro. [Échanger avec un expert](https://content.mdp-data.com/premier-contact-25022026-083012) ## Questions fréquentes : Digital Omnibus et position du Conseil Le délai de notification des violations passe-t-il à 96 heures ? Non, pas à ce jour. Le délai de 96 heures est proposé par la Commission européenne et soutenu par le Conseil dans son mandat du 21 octobre 2026, mais il n’est pas adopté. L’article 33 du RGPD s’applique toujours : une violation susceptible d’engendrer un risque doit être notifiée à la CNIL dans les 72 heures. Le Digital Omnibus est-il adopté ? Seulement pour sa partie consacrée à l’AI Act, adoptée le 29 juin 2026. Le volet qui modifie le RGPD, la directive ePrivacy et le signalement des incidents reste une proposition. Le Conseil a fixé sa position, le Parlement européen doit encore adopter la sienne avant l’ouverture des négociations. La définition des données personnelles va-t-elle changer ? Le Conseil propose de la conserver, contrairement à la Commission, qui voulait préciser qu’une information n’est pas forcément une donnée personnelle pour toute entité. Le Conseil ajoute une disposition sur la pseudonymisation. La position du Parlement européen sur ce point reste à connaître. Les bandeaux cookies vont-ils disparaître ? Ils pourraient devenir moins nombreux. Le Conseil maintient les règles dans la directive ePrivacy mais exempte de consentement certaines finalités, comme la mesure d’audience ou la sécurité de l’appareil. Tant que le texte n’est pas adopté, les règles actuelles et les recommandations de la CNIL restent applicables. Quand ces changements pourraient-ils s’appliquer ? Aucune date n’est fixée. Il faut d’abord la position du Parlement européen, puis un accord en trilogue, une adoption formelle et une publication au Journal officiel. La feuille de route « One Europe, One Market » vise la conclusion de tous les paquets de simplification d’ici fin 2027. ## En résumé Sur le Digital Omnibus, le Conseil de l’UE a adopté son mandat de négociation le 21 octobre 2026. Ce mandat conserve la définition actuelle des données personnelles et soutient un délai de notification des violations plus long. Les règles sur les cookies restent dans la directive ePrivacy. Aucune de ces mesures n’est applicable, car le Parlement européen n’a pas encore adopté sa position. Le délai de 72 heures reste donc la règle. ## **Sources** - [Conseil de l’UE, communiqué du 21 octobre 2026 sur la position du Conseil](https://www.consilium.europa.eu/fr/press/press-releases/2026/10/21/digital-rulebook-council-agrees-position-to-simplify-data-protection-privacy-and-cyber-reporting-rules/) - [Conseil de l’UE, mandat de négociation sur le Digital Omnibus (ST 14756/26)](https://data.consilium.europa.eu/doc/document/ST-14756-2026-INIT/en/pdf) - [Commission européenne, proposition de règlement Digital Omnibus, 19 novembre 2025](https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-regulation-proposal) - [Parlement européen, Observatoire législatif, résumé de la proposition 2025/0360(COD)](https://oeil.europarl.europa.eu/oeil/en/document-summary?id=1866785) - [EU Law Tracker, procédure 2025/0360(COD)](https://law-tracker.europa.eu/procedure/2025_360?lang=en) - [CEPD et Contrôleur européen de la protection des données, avis conjoint 2/2026, 10 février 2026](https://www.edpb.europa.eu/system/files/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) - [Règlement (UE) 2016/679 (RGPD), article 33, EUR-Lex](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016R0679) --- Source: https://mdp-data.com/digital-omnibus-position-conseil-rgpd/ Generated by Hack The SEO