Depuis son entrée en application en 2018, le RGPD n’avait jamais été modifié sur le fond. Avec le Digital Omnibus, la Commission européenne propose d’en réécrire plusieurs notions clés. Ce qu’est une donnée personnelle, la façon de recueillir le consentement aux cookies, les conditions d’utilisation des données pour entraîner des IA : tout est sur la table. Pour les équipes marketing, l’enjeu est direct. Mesure d’audience, ciblage publicitaire et projets d’IA reposent tous sur ces règles.

À fin septembre 2026, pourtant, rien n’est tranché. Le texte est toujours en négociation, les versions se succèdent et certaines mesures phares ont déjà été contestées. Mieux vaut donc distinguer ce qui est proposé, ce qui est acquis et ce qui ne l’est pas.

Deux textes, un seul qui concerne le marketing

Le 19 novembre 2025, la Commission européenne a présenté un paquet de simplification de ses règles numériques. Il comprend notamment deux textes distincts, souvent confondus.

Le premier, le « Digital Omnibus on AI », modifie le règlement européen sur l’IA (AI Act). Ce volet est déjà adopté. C’est le règlement (UE) 2026/1744 du 8 juillet 2026, publié au Journal officiel le 24 juillet et entré en vigueur le 27 juillet. Il repousse les obligations applicables aux systèmes d’IA à haut risque au 2 décembre 2027 pour ceux de l’annexe III, et au 2 août 2028 pour ceux de l’annexe I. Il ne modifie pas le RGPD.

Le second, le « Digital Omnibus » sur les données, porte la référence COM(2025) 837 (procédure 2025/0360(COD)). Il touche au RGPD, à la directive ePrivacy qui encadre aujourd’hui les cookies, au Data Act et au signalement des incidents de cybersécurité. C’est lui qui concerne directement le marketing, et il est toujours en négociation. L’adoption du volet IA ne dit donc rien du sort du volet données : c’est l’erreur la plus fréquente sur le sujet.

Ce que proposait la Commission

Tout ce qui suit décrit la proposition initiale de la Commission. Plusieurs de ces mesures ont déjà été remises en cause depuis.

Les cookies passent sous le RGPD

Les règles sur les cookies et traceurs quitteraient la directive ePrivacy pour entrer dans le RGPD, via deux nouveaux articles, 88a et 88b. Elles concerneraient les traitements qui portent sur des données personnelles.

Le consentement reste la règle, mais l’article 88a prévoit une liste fermée d’exceptions. Elle couvre la transmission d’une communication, la fourniture d’un service explicitement demandé par l’utilisateur, la mesure d’audience agrégée réalisée par l’éditeur pour son seul usage, et la sécurité du service ou de l’appareil.

Le texte veut aussi mettre fin au harcèlement au consentement. Le refus devrait être possible en un seul clic. Si un utilisateur refuse, le site ne pourrait plus lui redemander son consentement pour la même finalité pendant au moins six mois.

L’article 88b, enfin, obligerait les sites à respecter les choix exprimés de façon automatique, par exemple dans les réglages du navigateur, une fois les normes techniques établies. Les fournisseurs de services de médias en seraient exemptés, pour préserver leur modèle financé par la publicité. Selon les analyses publiées, l’article 88a s’appliquerait six mois après l’entrée en vigueur du texte, et l’article 88b dans un délai de 24 mois.

Données personnelles, IA et obligations allégées

Une définition plus étroite des données personnelles. La Commission proposait de préciser qu’une information n’est pas une donnée personnelle pour une entité qui n’a pas de moyens raisonnables d’identifier la personne. Et ce, même si une autre entité en a les moyens. Elle voulait aussi pouvoir fixer par actes d’exécution les critères selon lesquels des données pseudonymisées cessent d’être personnelles. C’est la mesure la plus contestée du paquet.

L’IA fondée sur l’intérêt légitime. Un nouvel article 88c reconnaîtrait que le développement et le fonctionnement de systèmes d’IA peuvent reposer sur l’intérêt légitime, et non uniquement sur le consentement. Le responsable du traitement devrait toujours mettre en balance ses intérêts avec les droits des personnes. Les lois nationales pourraient continuer à exiger le consentement.

Des obligations allégées. Les violations de données ne seraient plus notifiées à l’autorité que si elles présentent un risque élevé pour les personnes. Le délai passerait de 72 à 96 heures, via un guichet unique européen géré par l’ENISA. Les entreprises pourraient aussi refuser les demandes d’accès abusives, faites à d’autres fins que la protection des données.

Un texte déjà largement réécrit

Pour devenir loi, le texte doit être approuvé par le Parlement européen et par le Conseil, qui réunit les États membres. Chacun arrête d’abord sa position. Les deux négocient ensuite avec la Commission lors de « trilogues ». À fin septembre 2026, aucun trilogue n’a commencé.

Les autorités de protection des données ont tiré les premières. Le 10 février 2026, le Comité européen de la protection des données (EDPB) et le Contrôleur européen (EDPS) ont adopté un avis commun. Ils soutiennent plusieurs mesures, dont l’allègement des notifications de violations et la réduction des bandeaux cookies. Mais ils demandent expressément de ne pas adopter la nouvelle définition des données personnelles. Ils la jugent contraire à la jurisprudence de la Cour de justice et susceptible de réduire fortement le champ du RGPD. L’article sur l’IA leur paraît aussi inutile : l’EDPB a déjà reconnu en 2024 que l’intérêt légitime peut, dans certains cas, fonder l’entraînement d’un modèle.

Au Conseil, un compromis qui s’éloigne de la proposition

La présidence chypriote espérait obtenir un mandat de négociation le 26 juin 2026. Faute de majorité qualifiée, le point a été retiré de l’ordre du jour des ambassadeurs. Le dossier a été transmis à la présidence irlandaise le 1er juillet. Selon la presse spécialisée, l’Allemagne a refusé de soutenir le texte et a rallié d’autres États à sa position.

Le dernier texte connu est un compromis de la présidence irlandaise daté du 3 septembre 2026 (document 12535/26, classifié « LIMITE »). Il n’a pas été publié officiellement : l’association noyb, fondée par Max Schrems, l’a rendu public le 21 septembre. D’après les analyses qui en ont été faites, il change profondément la proposition.

Les cookies retournent dans la directive ePrivacy. Les articles 88a et 88b sont supprimés. Le Conseil avait déjà retiré l’obligation de respecter les signaux des navigateurs dans un texte du 18 juin. Le refus en un clic et le délai de six mois avant de redemander le consentement sont en revanche conservés, cette fois dans la directive ePrivacy.

Une nouvelle exemption pour la publicité contextuelle. Mesurer l’affichage et la performance de publicités basées uniquement sur le contenu de la page ou sur une requête de recherche ne nécessiterait plus de consentement. À condition de n’impliquer ni profilage, ni conservation de données, ni lien avec l’activité passée ou future de l’utilisateur.

La définition des données personnelles reste intacte. Un nouvel article précise toutefois quand des données pseudonymisées cessent d’être personnelles pour celui qui ne peut pas identifier la personne. Sa rédaction est plus proche de l’arrêt de la Cour de justice du 4 septembre 2025 (EDPS contre Conseil de résolution unique).

L’article sur l’IA est maintenu, mais dépouillé de ses garde-fous. Renuméroté 88 bis, il permet toujours de fonder sur l’intérêt légitime le traitement de données pour développer et faire fonctionner des IA. Les garanties proposées par la Commission, dont un droit d’opposition inconditionnel, disparaissent du texte de l’article. L’Allemagne demande d’aller plus loin, avec une présomption d’intérêt légitime. Pour Max Schrems, il s’agit d’une « expropriation numérique » des Européens.

Les violations de données ne seraient notifiées que si elles présentent un risque élevé, sous 96 heures.

Au Parlement, plus de 1 750 amendements

Les commissions Libertés civiles (LIBE) et Industrie (ITRE), conjointement compétentes, ont publié leur projet de rapport le 22 juin 2026. Plus de 1 750 amendements ont été déposés. Les co-rapporteurs n’ont pas tranché les points les plus sensibles, dont la définition des données personnelles et les cookies.

Sur un sujet aussi mouvant, beaucoup d’articles décrivent une version dépassée du texte. Certains affirment par exemple que le refus en un clic et le délai de six mois ont été supprimés en juin. L’analyse du texte de septembre indique au contraire qu’ils sont conservés, mais dans la directive ePrivacy. Une seule certitude : la version finale n’est pas écrite, et elle différera de la proposition de la Commission.

Ce que ça changerait pour le marketing data

Les conséquences qui suivent sont déduites des textes connus. La version finale peut encore tout changer.

La mesure d’audience « maison » serait libérée, pas les outils des plateformes. Dans la proposition de la Commission comme dans le texte du Conseil, l’exemption de consentement vise une mesure agrégée, réalisée pour le propre compte de l’éditeur. La version du Conseil exclut en plus tout partage avec des tiers et tout croisement avec leurs données. Un outil de mesure qui renvoie les données vers une régie publicitaire, ou les combine entre plusieurs sites, aurait donc peu de chances d’en bénéficier. C’est un argument de plus en faveur d’une mesure réellement maîtrisée par l’annonceur.

Le ciblage publicitaire reste en principe soumis au consentement. Dans toutes les versions connues, déposer ou lire un traceur à des fins de publicité personnalisée, de profilage ou de suivi entre sites exige le consentement. L’exemption ajoutée par le Conseil ne concerne que la mesure de la publicité contextuelle, sans profilage. noyb estime toutefois que l’article sur l’IA pourrait rendre licite une personnalisation publicitaire fondée sur l’IA sans consentement. Le texte ne tranche pas la façon dont les deux règles s’articuleraient.

Le consentement deviendrait plus rare, donc plus précieux. Un refus en un clic, puis l’interdiction de redemander pendant six mois : c’est la fin des bandeaux qui reviennent à chaque visite jusqu’à obtenir un « oui ». Si ces règles sont adoptées, les taux de consentement devraient baisser sur de nombreux sites. Les marques qui disposent de données propres, collectées avec un consentement explicite, prendraient l’avantage : comptes clients, programmes de fidélité, newsletters.

Les signaux des navigateurs restent l’inconnue la plus lourde. Si l’obligation de respecter les réglages du navigateur revenait dans le texte final, une partie des internautes ne verrait plus jamais de bandeau. Leur choix s’appliquerait automatiquement à tous les sites. Le Conseil l’a retirée, mais 19 organisations ont demandé sa réintroduction le 10 septembre. Le sujet n’est pas clos.

L’IA marketing gagnerait une base juridique, pas un chèque en blanc. Utiliser les données clients pour entraîner ou faire fonctionner un modèle pourrait s’appuyer sur l’intérêt légitime. Mais le test de mise en balance avec les droits des personnes demeure dans le texte du Conseil. Or, selon une synthèse de l’EDPB portant sur 62 décisions, les entreprises sous-estiment régulièrement ce qu’exige ce test.

Les identifiants pseudonymisés ne deviendraient pas une zone franche. Même dans la version du Conseil, des données pseudonymisées transmises à un tiers capable d’identifier les personnes restent des données personnelles. Emails hachés, identifiants publicitaires et échanges en salles blanches de données (data clean rooms) resteraient donc largement dans le champ du RGPD.

Que faire en attendant

  1. Ne rien changer à sa conformité actuelle. Tant que le texte n’est pas adopté et en vigueur, le RGPD s’applique tel quel, ainsi que les règles nationales sur les cookies issues de la directive ePrivacy. Retirer un bandeau ou changer de base légale sur la foi d’une proposition serait une erreur.
  2. Préparer ce qui a de fortes chances de rester. Le refus en un clic figure dans la proposition de la Commission comme dans le dernier texte connu du Conseil. Plusieurs autorités l’exigent déjà au nom de la lutte contre les interfaces trompeuses. Proposer dès aujourd’hui un bouton « Tout refuser » aussi visible que « Tout accepter » est donc un choix sans regret.
  3. Renforcer les données propriétaires. Quelle que soit la version finale, la tendance va vers moins de consentements collectés par défaut et une meilleure protection des données partagées entre acteurs. Les données collectées directement auprès des clients, avec leur accord, gagneront en valeur.
  4. Documenter ses projets d’IA. Si l’intérêt légitime devient une base plus sûre pour l’IA, il faudra démontrer un test de mise en balance sérieux. Commencer à le formaliser pour les projets en cours ne coûte rien.
  5. Suivre les prochaines étapes. Viendront l’adoption d’un mandat au Conseil sous présidence irlandaise, le vote en commissions au Parlement, puis l’ouverture des trilogues. Selon les observateurs, le volet données ne sera pas adopté avant fin 2026 au plus tôt.

Miser sur ce qui résiste à toutes les versions

Le Digital Omnibus devait simplifier. Il a surtout ouvert un débat de fond sur ce qu’est une donnée personnelle, sur la place du consentement et sur ce que l’IA a le droit de faire avec nos données. Pour les professionnels de la data, la bonne posture n’est ni l’attente passive ni l’anticipation hâtive. Elle consiste à miser sur ce qui tiendra quelle que soit l’issue : des données propres, un consentement loyal et une mesure maîtrisée. Reste une question que la négociation devra trancher : l’Europe choisira-t-elle de protéger la donnée personnelle, ou de la rendre plus facile à exploiter pour l’IA ?

Sources

Sources officielles

Analyses juridiques de la proposition

Volet IA adopté

Négociations au Conseil et au Parlement