La disposition la plus contestée du « Digital Omnibus » européen, qui restreignait la définition de la donnée personnelle dans le RGPD, pourrait être retirée des négociations. Un texte de compromis du Conseil de l’Union européenne, révélé par le média spécialisé IAPP, supprime cette réécriture.
L’enjeu dépasse la technique juridique : la définition de l’article 4 du RGPD détermine quelles informations bénéficient de la protection européenne. En la réduisant, la Commission ouvrait la voie à un traitement plus libre de données aujourd’hui couvertes. Autorités de contrôle, défenseurs des droits et juristes s’y opposaient depuis novembre 2025.
Ce que proposait la Commission
Présenté le 19 novembre 2025, le paquet « Digital Omnibus » visait à simplifier l’acquis numérique européen — RGPD, directive ePrivacy, Data Act, Data Governance Act et directive NIS2. Sa mesure la plus discutée modifiait la définition de la donnée personnelle : une information cesserait d’être personnelle pour une entité donnée dès lors que celle-ci ne peut identifier la personne concernée, « compte tenu des moyens raisonnablement susceptibles d’être utilisés par cette entité ».
Cette approche dite « relative » aboutissait à ce que la CNIL a qualifié de « donnée à double face » : une même information serait personnelle pour un acteur et anonyme pour un autre, selon ses capacités techniques et ses intentions. Dans son rapport d’étape publié le 22 juillet 2026, l’autorité française a réaffirmé son opposition, dénonçant l’introduction d’un facteur de subjectivité dans un régime qui repose sur des critères objectifs.
L’avis conjoint du CEPD et du contrôleur européen
Le 11 février 2026, le Comité européen de la protection des données (CEPD) et le Contrôleur européen de la protection des données (CEPD-EDPS) ont rendu un avis conjoint (2/2026) très critique. Les deux instances ont exhorté les colégislateurs à ne pas adopter la nouvelle définition, estimant qu’elle va « bien au-delà d’un amendement ciblé ou technique du RGPD » et qu’elle réduirait sensiblement le champ de la donnée personnelle.
Le contrôleur européen Wojciech Wiewiórowski a été explicite : « Ces changements ne sont pas conformes à la jurisprudence de la Cour de justice et réduiraient significativement le concept de donnée personnelle. » Il a rappelé que cette jurisprudence a été confirmée en septembre par la Cour dans l’affaire opposant le Conseil de résolution unique au contrôleur européen, et a plaidé pour des évolutions qui « clarifient les obligations et apportent une sécurité juridique tout en maintenant un niveau élevé de protection ».
Le compromis du Conseil fait machine arrière
Selon un projet de compromis daté du 20 février et diffusé par la présidence chypriote du Conseil, révélé par l’IAPP, les États membres écartent la nouvelle définition de la donnée personnelle. Le texte reviendrait ainsi sur l’un des points centraux de la proposition initiale de la Commission, tout en conservant d’autres volets de simplification.
Ce retrait n’est pas définitif : le règlement demeure en discussion. Le Parlement européen a adopté sa position de négociation sur le volet consacré à l’intelligence artificielle lors de sa deuxième session plénière de mars 2026, et les trilogues ont été lancés. Le volet touchant au RGPD, à ePrivacy et à NIS2 reste, lui, en cours de négociation entre les institutions.
La pression de la société civile
L’association noyb, fondée par Max Schrems, fait partie des voix qui ont réclamé le rejet de plusieurs modifications du RGPD portées par l’Omnibus. Le 30 juillet 2026, elle a par ailleurs déposé une plainte contre le dictionnaire en ligne dict.cc : son bandeau de consentement sollicite l’accord des internautes en un seul clic pour 1 741 « partenaires » publicitaires, la lecture de toutes les politiques de confidentialité exigeant, selon l’association, au moins 170 heures de travail.
Pour noyb, cet exemple illustre pourquoi l’exigence d’un consentement éclairé ne peut structurellement être satisfaite dans l’écosystème publicitaire actuel : les utilisateurs ne peuvent savoir qui accède à leurs données ni à quelles fins. Le sort réservé à la définition de la donnée personnelle dans le compromis final du Conseil constituera un signal sur l’orientation que prendra la simplification numérique européenne.
