RGPD : ce que pourrait changer le nouveau “Digital Omnibus” européen
La Commission européenne a présenté un ensemble de révisions majeures du RGPD dans le cadre de son Digital Package dévoilé le 19 novembre 2025. L’objectif affiché : alléger les démarches pour les entreprises tout en maintenant un niveau élevé de protection des données. Mais plusieurs propositions touchent au cœur même du règlement et soulèvent déjà des questions.
1. Vers la fin des bannières de cookies ?
La principale évolution pour les internautes concerne la gestion du consentement aux cookies. Avec le nouvel article 88a, les autorisations ne passeraient plus systématiquement par des pop-ups, mais pourraient être gérées directement dans le navigateur ou le système d’exploitation.
Le texte prévoit cependant quatre cas où aucun consentement n’est requis :
transmission indispensable au service demandé,
fonctionnalités sollicitées explicitement par l’utilisateur,
mesure d’audience interne et anonymisée,
sécurité du site ou de l’appareil.
Pour tout ce qui relève de la publicité ciblée ou de l’analytics tiers, le consentement reste obligatoire. Les sites devront reconnaître automatiquement les signaux envoyés par le navigateur (acceptation ou refus), valables pendant au moins six mois. Toute violation pourrait entraîner une sanction allant jusqu’à 4 % du chiffre d’affaires mondial.
2. Une nouvelle approche de la pseudonymisation
La Commission souhaite redéfinir ce qu’est une donnée personnelle. Une information pseudonymisée pourrait rester personnelle pour l’entreprise qui la traite, mais devenir non personnelle pour un tiers n’ayant aucun moyen d’identifier les individus.
Autrement dit, le caractère “personnel” dépendrait du destinataire. L’entreprise reste néanmoins responsable du traitement, et la notion de pseudonymisation pourrait évoluer avec les progrès technologiques.
3. Oui, les données personnelles pourraient être utilisées pour entraîner des IA
Le texte prévoit d’autoriser l’entraînement d’IA avec des données personnelles sans consentement préalable, sous réserve de respecter la loi et les principes du RGPD. Un droit d’opposition est prévu, mais laisse en suspens de nombreuses questions : comment prouver l’utilisation des données ? Comment les retirer d’un modèle déjà entraîné ?
En parallèle, les développeurs pourraient utiliser des données sensibles (origine, santé, opinions politiques) afin de tester et contrôler la non-discrimination de leurs modèles — une pratique qui n’est aujourd’hui pas autorisée. Le cadre prévu pour protéger ces données reste flou.
4. Un point d’entrée unique pour déclarer les cyberattaques
Le Digital Package veut aussi simplifier les procédures en cas d’incident de cybersécurité. Les entreprises doivent aujourd’hui jongler entre différentes réglementations (RGPD, NIS2, DORA, CER, eIDAS). Une plateforme unique, gérée par l’ENISA, permettrait de soumettre un seul rapport qui serait ensuite transmis aux autorités concernées.
Consultez notre page « Actualités » pour découvrir les autres informations à ne pas manquer.
Source de l’actu : Clubic
