La réforme du RGPD par l'omnibus numérique de l'UE 2026 réécrit votre feuille de route de conformité : voici ce qui change réellement

Points clés : réforme du RGPD par l'omnibus numérique de l'UE 2026

Le paquet de simplification omnibus numérique de la Commission européenne propose les modifications les plus importantes apportées au RGPD depuis son adoption en 2016. Cinq domaines de conformité fondamentaux (le registre des traitements, l'AIPD, la notification de violation, le périmètre du DPD et les droits des personnes concernées) sont en cours de refonte. Les organisations multi-entités doivent dès à présent mener des évaluations d'impact au niveau de chaque entité, car certaines filiales pourront prétendre à des exemptions tandis que d'autres non. L'adoption législative définitive est attendue d'ici 2027.

Définitions

Qu'est-ce que l'omnibus numérique de l'UE ?

L'omnibus numérique de l'UE (officiellement le paquet de simplification omnibus) est une proposition législative de la Commission européenne visant à réduire la charge réglementaire pesant sur les entreprises en modifiant plusieurs règlements de l'UE, dont le RGPD. Il a été publié dans le cadre de l'agenda de simplification 2025 de la Commission. Texte intégral du RGPD (EUR-Lex)

Qu'est-ce qu'un registre des activités de traitement (registre des traitements) ?

Le registre des traitements est le registre obligatoire de l'ensemble des activités de traitement de données à caractère personnel requis par l'article 30 du RGPD. La proposition omnibus introduit des seuils conditionnels susceptibles d'exempter certaines entités plus petites de la tenue d'un registre des traitements complet.

Qu'est-ce qu'une analyse d'impact relative à la protection des données (AIPD) ?

Une AIPD est une analyse de risque requise par l'article 35 du RGPD pour les opérations de traitement susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes. La proposition omnibus recalibre les déclencheurs d'AIPD sans supprimer l'obligation.

Qu'est-ce qu'un délégué à la protection des données (DPD) ?

Un DPD est une fonction de conformité indépendante requise par les articles 37 à 39 du RGPD. L'omnibus pourrait modifier les organisations tenues de désigner un DPD et redéfinir le périmètre formel des responsabilités du DPD.

Foire aux questions

Qu'est-ce que l'omnibus numérique de l'UE et comment modifie-t-il le RGPD ?

L'omnibus numérique de l'UE est un paquet de simplification proposé par la Commission européenne début 2025 qui modifie le RGPD pour la première fois depuis son adoption initiale. Il remodèle les obligations relatives au registre des activités de traitement (registre des traitements), aux analyses d'impact relatives à la protection des données (AIPD), aux délais de notification de violation, aux règles de désignation du DPD et au traitement des demandes des personnes concernées. Selon la Commission européenne, l'objectif est de réduire la charge administrative (estimée jusqu'à 25 % pour les PME) tout en maintenant les normes fondamentales de protection des données. RGPD (EUR-Lex)

Quand les évolutions du RGPD liées à l'omnibus numérique de l'UE entreront-elles en vigueur ?

La Commission européenne a publié la proposition omnibus début 2025. Elle doit suivre la procédure législative ordinaire : première lecture du Parlement européen, position du Conseil et éventuelles négociations en trilogue. La plupart des analystes prévoient une adoption définitive et une période de transition s'étendant jusqu'en 2027, ce qui signifie que les organisations devraient lancer dès maintenant leurs analyses d'écarts et la mise à jour de leurs processus plutôt que d'attendre le texte définitif.

Comment l'omnibus numérique de l'UE affecte-t-il les exigences relatives au registre des traitements ?

La proposition introduit de nouveaux seuils susceptibles d'exempter certaines entités de la tenue d'un registre des activités de traitement complet, en fonction de l'effectif et du niveau de risque des traitements. Pour les groupes multi-entités, cela crée un paysage de conformité fragmenté : certaines filiales pourront prétendre à une exemption du registre des traitements tandis que d'autres non, ce qui impose une évaluation entité par entité plutôt qu'une politique de groupe uniforme. Selon l'IAPP, les organisations comptant plus de 10 entités devraient évaluer le statut de chaque filiale au regard des seuils proposés.

Les AIPD seront-elles toujours requises sous le RGPD réformé ?

Oui. Les AIPD ne sont pas supprimées par la proposition omnibus. La réforme recalibre plutôt les activités de traitement déclenchant une AIPD complète par rapport à celles relevant d'un examen allégé. Les organisations dotées de processus d'AIPD étendus devront réévaluer chaque critère de déclenchement et déterminer si les AIPD existantes peuvent être simplifiées ou doivent être maintenues dans le nouveau cadre. Le CEPD devrait publier des orientations actualisées une fois le texte définitif adopté.

Comment la proposition omnibus modifie-t-elle les règles de notification de violation ?

Les ajustements proposés pourraient faire évoluer le délai de notification de 72 heures établi par l'article 33 du RGPD et introduire des seuils de gravité actualisés pour déterminer quand une violation doit être signalée aux autorités de contrôle. Les organisations actives dans plusieurs juridictions devront mettre à jour les plans de réponse aux incidents de chaque filiale afin de refléter les exigences révisées tout en conservant une documentation prête pour l'audit.

Que devraient faire dès maintenant les organisations multi-entités pour se préparer ?

Les organisations devraient : (1) mener une évaluation d'impact au niveau des entités mettant chaque évolution proposée en regard de leur structure d'entreprise spécifique ; (2) examiner les processus de registre des traitements et d'AIPD en vue d'une éventuelle simplification au regard des nouveaux seuils ; (3) mettre à jour les plans de notification de violation pour refléter les évolutions proposées des délais et des seuils de gravité ; (4) évaluer la documentation des mandats du DPD et l'allocation des ressources ; et (5) adopter une plateforme centralisée de gestion de la protection des données afin de garantir une conformité homogène sur l'ensemble des filiales durant la période de transition.

Statistiques et contexte

Selon le rapport IAPP-EY 2023 sur la gouvernance de la confidentialité, une organisation consacre en moyenne plus de 1'000 heures par an aux activités de conformité au RGPD. La Commission européenne estime que le paquet de simplification omnibus pourrait réduire la charge administrative jusqu'à 25 % pour les petites et moyennes entreprises. Le rapport annuel 2024 du CEPD indiquait que les autorités de contrôle de l'ensemble de l'EEE ont traité plus de 160'000 notifications de violation de données depuis l'entrée en application du RGPD en mai 2018. Selon l'article 30 du RGPD, les obligations relatives au registre des traitements s'appliquent actuellement à tous les responsables du traitement et sous-traitants comptant plus de 250 employés, ou traitant des données sensibles quelle que soit leur taille.

Comparatif : RGPD actuel vs. évolutions proposées par l'omnibus