Omnibus numérique : les États membres arrêtent leur position sur le RGPD et les cookies, ce que ça change pour une PME

En bref. Le 21 octobre 2026, le Conseil de l'UE, qui réunit les États membres, a arrêté sa position sur l'« omnibus numérique », un texte qui simplifierait le RGPD, les règles sur les cookies et le signalement des incidents. Ce n'est pas encore une loi : il reste à négocier avec le Parlement européen. Pour une PME, rien ne change aujourd'hui, et le RGPD actuel continue de s'appliquer.

Ne confondez-vous pas deux textes ?

Le nom prête à confusion. L'omnibus IA (règlement (UE) 2026/1744) est adopté et en vigueur depuis le 27 juillet 2026 : c'est lui qui a modifié l'AI Act, comme nous l'expliquons dans Digital Omnibus : ce qui a changé. L'omnibus numérique dont il est question ici est un autre texte, proposé par la Commission le 19 novembre 2025 et toujours en discussion.

Que proposent les États membres ?

Le mandat de négociation du Conseil comprend notamment :

• IA et données personnelles : le développement et le fonctionnement d'un système d'IA pourraient s'appuyer sur l'« intérêt légitime » de l'entreprise, sauf si une autre loi exige le consentement ou si les droits des personnes l'emportent. Des garanties restent obligatoires, dont le droit d'opposition de l'article 21 du RGPD.
• Cookies : moins de bandeaux. Le consentement ne serait plus requis pour certaines finalités précises, comme la mesure d'audience ou la sécurité, sous conditions.
• Violations de données : la notification à l'autorité viserait celles susceptibles d'engendrer un risque élevé, avec un délai porté à 96 heures, contre 72 heures aujourd'hui.
• Signalement des incidents : un point d'entrée national dans chaque État, à la place du guichet unique européen proposé par la Commission.
• Définition des données personnelles : le Conseil la maintient telle quelle.

Où en est le calendrier ?

Le Conseil négociera avec le Parlement européen dès que celui-ci aura adopté sa propre position, et nous n'en avons pas trouvé à la date de cet article. Le contenu peut donc encore évoluer, et aucune date d'application n'est fixée. Les institutions européennes se sont donné pour objectif de conclure tous les paquets de simplification d'ici à la fin de 2027.

Que devez-vous faire ?

1. Ne changez rien pour l'instant. Gardez votre bandeau de cookies et votre délai de 72 heures en cas de violation de données.
2. Ne vous fiez pas aux titres de presse pour mettre des données de clients dans un outil d'IA : le RGPD actuel s'applique.
3. Profitez-en pour faire le point sur vos outils. Notre méthode pour cartographier vos systèmes d'IA vous servira quelle que soit la version finale du texte.

Le mouvement va vers la simplification, et c'est une bonne nouvelle pour les PME. La meilleure façon d'en profiter le moment venu est de savoir déjà où sont vos données et vos outils.

---

Pour aller plus loin. Pour comprendre l'AI Act en une heure, sans jargon, suivez notre formation gratuite « L'IA Act en 60 min ». Pour passer à l'action pas à pas, la formation « Conformité AI Act — la méthode complète » (890 €, 8 heures en ligne) vous guide jusqu'au dossier prêt à présenter. Découvrez-les sur notre page Formations.

---

Sources

• Conseil de l'UE, communiqué du 21 octobre 2026, mis à jour le 22 octobre : https://www.consilium.europa.eu/en/press/press-releases/2026/10/21/digital-rulebook-council-agrees-position-to-simplify-data-protection-privacy-and-cyber-reporting-rules/
• Conseil de l'UE, mandat de négociation, document 14756/26 du 22 octobre 2026 (article 33 et article 88 bis du RGPD, directive ePrivacy) : https://data.consilium.europa.eu/doc/document/ST-14756-2026-INIT/en/pdf
• Règlement (UE) 2026/1744 (omnibus IA) — EUR-Lex : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:L_202601744
• Prix et intitulés des formations vérifiés sur https://ai-act.zenbot.tech le 4 novembre 2026.

Article vérifié le 4 novembre 2026.