Le RGPD fait peau neuve : ce qui va changer pour les Européens

L'Europe s'apprête à réviser le RGPD, ce règlement qui protège nos données personnelles depuis 2018. Une réforme qui suscite autant d'espoirs chez les entreprises que d'inquiétudes chez les défenseurs de la vie privée.

Depuis son entrée en vigueur le 25 mai 2018, le Règlement général sur la protection des données (RGPD) est devenu un pilier de la vie numérique européenne. Ce texte encadre la manière dont les entreprises et les administrations collectent, stockent et utilisent les informations personnelles des citoyens. Sept ans plus tard, la Commission européenne vient de dévoiler un projet de révision majeur baptisé Digital Omnibus, présenté le 19 novembre dernier.

Le gardien des données

Pour comprendre les enjeux de cette révision, il faut d'abord saisir ce que protège le RGPD. Une donnée personnelle, c'est toute information permettant d'identifier une personne : nom, adresse, numéro de téléphone, mais aussi adresse IP, données de géolocalisation ou habitudes de navigation sur Internet. Le RGPD a harmonisé le patchwork de législations nationales autour de principes clairs : une entreprise ne peut collecter des données que pour un but précis et légitime, elle doit les sécuriser, ne pas les conserver indéfiniment, et surtout obtenir le consentement éclairé des personnes concernées. Ces fameuses fenêtres de cookies qui surgissent sur chaque site web en sont la manifestation la plus visible.

Un vaste chantier

Le projet Digital Omnibus s'inscrit dans une volonté de la Commission européenne de réduire la charge administrative pesant sur les entreprises. L'objectif affiché est ambitieux : diminuer cette charge de 25 % d'ici 2029, et même de 35 % pour les PME. Concrètement, le texte propose de clarifier la définition de la donnée personnelle, de moderniser les règles sur les cookies et d'alléger les obligations documentaires. Sur ce dernier point, une avancée notable : les utilisateurs pourraient bientôt paramétrer leurs préférences de cookies directement dans leur navigateur, une seule fois pour toutes, au lieu de cliquer sur chaque site. Mais la mesure la plus controversée concerne l'intelligence artificielle : les entreprises développant des systèmes d'IA pourraient accéder plus facilement aux données personnelles pour entraîner leurs modèles, en invoquant un simple intérêt légitime.

De vives réactions

Cette ouverture vers l'IA a déclenché une vague de protestations. L'association européenne EDRi, qui fédère les défenseurs des droits numériques, dénonce une dilution insidieuse du consentement et des garde-fous protégeant les citoyens. L'ONG autrichienne Noyb, connue pour ses actions contre les géants de la tech, a adressé une lettre ouverte à la Commission le 11 novembre, cosignée par de nombreuses organisations. Selon l'agence Reuters, un collectif de 127 organisations qualifie même ce projet de plus grand recul des droits numériques fondamentaux de l'histoire de l'Union européenne. Plusieurs États membres, dont l'Allemagne et les Pays-Bas, redoutent une dérive. En France, la CNIL avait anticipé ces débats en publiant dès avril 2025 une stratégie réaffirmant l'importance d'un haut niveau de protection.

Dilemme insoluble

Derrière ce débat technique se cache un enjeu géopolitique majeur. L'Europe accuse un retard considérable dans la course à l'intelligence artificielle face aux États-Unis et à la Chine, où les réglementations sur les données sont bien moins contraignantes. En facilitant l'accès aux données d'entraînement, Bruxelles espère donner un coup de fouet à ses champions technologiques. Mais ce calcul ne fait pas l'unanimité. Les détracteurs du Digital Omnibus soulignent que la protection des données constituait justement un avantage compétitif européen, un label de confiance reconnu mondialement. Sacrifier cette spécificité reviendrait à s'aligner sur des standards moins protecteurs sans garantie de rattraper le retard technologique. Les débats au Parlement européen, qui auront lieu probablement début 2026, s'annoncent houleux.