MDP Data Protection décrypte la position du Conseil sur le Digital Omnibus pour aider les DPO à anticiper la réforme
Sur le Digital Omnibus, le Conseil de l’UE a adopté sa position de négociation le 21 octobre 2026. Il maintient la définition des données personnelles, soutient l’allongement du délai de notification des violations et garde les cookies dans la directive ePrivacy. Rien de tout cela ne s’applique encore : le Parlement européen n’a pas arrêté sa position et les négociations n’ont pas commencé.
Ce que le Conseil a adopté le 21 octobre 2026
Le Digital Omnibus est la proposition de règlement présentée par la Commission européenne le 19 novembre 2025 pour simplifier plusieurs textes du numérique : RGPD, directive ePrivacy, règles sur les données et signalement des incidents de cybersécurité. Pour le contexte général, voir notre article Digital Omnibus : comprendre le nouveau tournant de la régulation numérique européenne.
Le 21 octobre 2026, les représentants des États membres ont validé le mandat de négociation du Conseil. Ce texte, rendu public le lendemain, fixe la position que la présidence irlandaise défendra face au Parlement européen. Le communiqué du Conseil en présente les principaux éléments.
Un mandat de négociation n’est pas une loi
Le mandat du Conseil ne crée aucune obligation pour les organisations. Pour devenir applicable, le texte doit faire l’objet d’un accord entre le Conseil et le Parlement européen, puis d’une adoption formelle et d’une publication au Journal officiel de l’Union européenne. Le Conseil précise lui-même qu’il ouvrira les négociations une fois que le Parlement aura adopté sa propre position.
Côté Parlement, le texte est toujours examiné par les commissions ITRE et LIBE. Nous avions analysé leur projet de rapport dans Omnibus numérique : ce que le rapport ITRE-LIBE change pour les DPO.
Pourquoi certains sites annoncent un texte déjà voté
Le Digital Omnibus comportait deux propositions distinctes. Le volet consacré à l’AI Act (Règlement IA, RIA, Règlement (UE) 2024/1689) a été adopté le 29 juin 2026, selon le Conseil. Le volet données, qui modifie le RGPD, est toujours en discussion. Plusieurs publications confondent les deux et présentent à tort les nouvelles règles du RGPD comme applicables.
Digital Omnibus : ce que le Conseil change pour le RGPD
Le mandat reprend l’essentiel de la proposition de la Commission, avec plusieurs inflexions notables.
La définition des données personnelles est maintenue
La Commission proposait de préciser, à l’article 4 du RGPD, qu’une information n’est pas forcément une donnée personnelle pour une entité qui ne peut pas identifier la personne concernée. Le Comité européen de la protection des données et le Contrôleur européen de la protection des données avaient demandé le retrait de cette modification dans leur avis conjoint 2/2026 du 10 février 2026, estimant qu’elle réduirait le champ de la protection.
Le Conseil conserve la définition actuelle. Il ajoute une disposition sur la pseudonymisation et l’identification des personnes, pour clarifier les cas dans lesquels des données pseudonymisées restent des données personnelles. Pour qualifier vos données selon le droit actuel, voir notre guide Anonymisation et pseudonymisation : vos données sont-elles encore personnelles ?
Violations de données : un délai de notification plus long
Aujourd’hui, l’article 33 du RGPD impose de notifier une violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes. La Commission propose de porter ce délai à 96 heures, de ne notifier que les violations présentant un risque élevé et de créer un modèle de notification commun à l’Union.
Le Conseil soutient l’allongement du délai. Il appuie aussi la création d’une liste unique, au niveau européen, des traitements susceptibles d’engendrer un risque élevé, ainsi que des modèles communs pour remplir les obligations du RGPD. Ces mesures concernent directement les analyses d’impact (AIPD).
Demandes de droits et information des personnes
Le mandat allège la gestion des demandes infondées ou excessives, ainsi que certaines obligations d’information lorsque le risque est faible. Le communiqué du Conseil ne détaille pas les conditions : elles figurent dans le texte du mandat et peuvent encore évoluer en négociation.
Recherche scientifique, biométrie et IA
Le Conseil retient une définition de la recherche scientifique fondée sur des principes, avec des exemptions ciblées pour les organismes de recherche. Il entoure de garanties la nouvelle dérogation qui autoriserait le traitement de données sensibles pour la vérification biométrique et pour le développement et l’exploitation de systèmes d’IA. Il clarifie aussi la base légale applicable aux traitements liés à l’IA.
Cookies : les règles restent dans la directive ePrivacy
La Commission proposait de transférer vers le RGPD les règles applicables aux traceurs qui traitent des données personnelles. Le Conseil les maintient dans la directive ePrivacy. Il ajoute des finalités pour lesquelles le consentement ne serait plus exigé : la fourniture d’un service demandé, la mesure d’audience et la sécurité de l’appareil de l’utilisateur. L’objectif affiché est de réduire le nombre de bandeaux cookies.
Tant qu’aucun texte n’est adopté, les règles actuelles et les recommandations de la CNIL sur les traceurs continuent de s’appliquer.
Signalement des incidents : un point d’entrée national
Une même cyberattaque peut aujourd’hui déclencher plusieurs notifications : au titre du RGPD, de la directive NIS2 ou du règlement DORA. La Commission proposait un point d’entrée unique au niveau européen. Le Conseil le remplace par un point d’entrée national dans chaque État membre, complété par un point d’information européen et par des règles harmonisées pour les notifications transfrontalières.
Pour les organisations, l’enjeu principal reste la coordination interne : qui qualifie l’incident, au titre de quels textes, et dans quels délais.
Commission et Conseil : ce qui diffère
| Sujet | Proposition de la Commission (19 novembre 2025) | Mandat du Conseil (21 octobre 2026) |
|---|---|---|
| Définition des données personnelles | Précision ajoutée à l’article 4 : une information n’est pas forcément une donnée personnelle pour toute entité | Définition actuelle maintenue, nouvelle disposition sur la pseudonymisation |
| Notification des violations | Délai porté à 96 heures, seuil relevé au risque élevé | Allongement du délai soutenu |
| Cookies et traceurs | Transfert vers le RGPD des règles sur les traceurs traitant des données personnelles | Maintien dans la directive ePrivacy, nouvelles exemptions au consentement |
| Signalement des incidents | Point d’entrée unique au niveau européen | Point d’entrée national, complété par un point d’information européen |
| Statut | Proposition | Position de négociation, sans effet juridique |
Concrètement, que faire maintenant ?
Vos obligations ne changent pas. La période est en revanche utile pour préparer la suite.
- Continuer à notifier sous 72 heures les violations susceptibles d’engendrer un risque pour les personnes. C’est la règle en vigueur.
- Documenter toutes les violations, y compris celles qui ne sont pas notifiées, comme l’exige déjà l’article 33, paragraphe 5, du RGPD. Si le seuil de notification est relevé, ce registre deviendra la principale preuve de votre analyse.
- Ne pas exclure de données du périmètre du RGPD au motif qu’elles sont pseudonymisées. La définition actuelle s’applique, et le Conseil la maintient.
- Cartographier vos obligations de notification (RGPD, NIS2, DORA, règles sectorielles) et les personnes chargées de les déclencher. Ce travail facilitera le passage à un point d’entrée national.
- Repérer les documents à modifier le jour de l’adoption : procédure de gestion des violations, registre, politique cookies, méthode d’AIPD.
La réforme avance, vos obligations actuelles restent : comment être prêt sans tout refaire ?
Le jour où le texte sera adopté, procédure de violation, registre et politique cookies devront évoluer ensemble. Les réunir dès maintenant dans un outil de pilotage de la conformité, avec vos plans d’actions, permet de les adapter sans repartir de zéro.
Questions fréquentes : Digital Omnibus et position du Conseil
En résumé
Sur le Digital Omnibus, le Conseil de l’UE a adopté son mandat de négociation le 21 octobre 2026. Ce mandat conserve la définition actuelle des données personnelles et soutient un délai de notification des violations plus long. Les règles sur les cookies restent dans la directive ePrivacy. Aucune de ces mesures n’est applicable, car le Parlement européen n’a pas encore adopté sa position. Le délai de 72 heures reste donc la règle.
Sources
- Conseil de l’UE, communiqué du 21 octobre 2026 sur la position du Conseil
- Conseil de l’UE, mandat de négociation sur le Digital Omnibus (ST 14756/26)
- Commission européenne, proposition de règlement Digital Omnibus, 19 novembre 2025
- Parlement européen, Observatoire législatif, résumé de la proposition 2025/0360(COD)
- EU Law Tracker, procédure 2025/0360(COD)
- CEPD et Contrôleur européen de la protection des données, avis conjoint 2/2026, 10 février 2026
- Règlement (UE) 2016/679 (RGPD), article 33, EUR-Lex
Pour aller plus loin
- CNIL - Nouvelle édition : Guide 2024 de la sécurité des données personnelles
- MDP Data Protection - Logiciel RGPD : comment choisir la solution idéale pour votre entreprise
- MDP Data Protection —
- Une question sur votre situation ? Parlons-en — réponse sous 48 heures ouvrées.
Les solutions MDP Data Protection
MDP Data Protection et sa méthode CCOS accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.
- SimplyRGPD : Pilotage de votre conformité au quotidien.
- MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.
Notre Méthode : le Continuous Compliance Operating System - CCOS
Découvrez notre méthode pour passer à une conformité en continu.
Sinon retrouvez un résumé ici : le Continuous Compliance Operating System
Restez à jour sans y passer vos journées
Notre veille réglementaire, une fois par mois. Les textes qui bougent, ce qu'ils changent, ce qu'il faut faire.
À propos de l’auteur
Christophe SAINT-PIERRE est le dirigeant de MDP Data Protection. Expert reconnu en conformité réglementaire, RGPD, NIS2 et AI Act, il accompagne depuis plus de vingt ans les organisations dans leur transformation numérique.
Sa vision stratégique repose sur l'idée que la conformité ne doit pas être perçue comme une contrainte, mais comme un véritable levier de compétitivité, de sécurité et de confiance. Engagé pour une souveraineté numérique européenne, il défend également une approche éthique de l'intelligence artificielle et de la cybersécurité. Lire sa biographie complète.
