Moins de bandeaux cookies, un délai de notification des violations allongé, un guichet national pour les incidents cyber et une porte ouverte à l’IA sur les données personnelles. Les Vingt-Sept ont arrêté leur position sur le volet numérique de l’omnibus VII. Quand la présidence irlandaise parle de simplification, l’ONG noyb dénonce une “expropriation numérique”. Rien n’est encore gravé dans le marbre : le texte doit maintenant passer l’épreuve du Parlement européen.
Le Conseil a arrêté sa position sur la proposition visant à alléger les règles en matière de protection des données, de vie privée et de cybersécurité, tout en promettant de maintenir “des niveaux élevés de protection des données à caractère personnel”. Helen McEntee, ministre irlandaise des affaires étrangères et du commerce, défend la ligne.
La simplification et la rationalisation du corpus réglementaire numérique de l’UE permettront aux entreprises d’exercer plus facilement leurs activités dans toute l’Europe, en réduisant les charges administratives tout en maintenant des normes élevées en matière de confidentialité des données et de droits des citoyens
Helen McEntee, ministre irlandaise des affaires étrangères et du commerce
Prudence toutefois : il ne s’agit à ce stade que d’un mandat de négociation, aucune de ces mesures n’est entrée en vigueur.
Un grand ménage, des cookies au cyber
Sur le papier, le Conseil maintient la définition des données à caractère personnel et ajoute une disposition sur la pseudonymisation et l’identification des personnes. Il soutient l’allongement du délai de notification des violations, qui passerait de 72 à 96 heures, une liste européenne unique des traitements à risque élevé et des modèles communs de conformité. La recherche scientifique obtient sa définition, assortie d’exemptions ciblées.
Côté cookies, les règles de la directive “vie privée et communications électroniques” restent en place, mais le consentement ne sera plus requis pour davantage de finalités, comme la fourniture d’un service, la mesure d’audience ou la sécurité de l’appareil. De quoi réduire le nombre de bandeaux. Les organismes publics pourront par ailleurs réclamer des redevances plus élevées aux très grandes entreprises, en particulier aux contrôleurs d’accès, pour la réutilisation de leurs données. Enfin, les États membres enterrent le guichet unique européen de signalement des incidents au profit d’un guichet national dans chaque pays, complété par un point d’information à l’échelle de l’UE. Pour Thomas Byrne, ministre délégué irlandais chargé des affaires européennes, le bénéfice se mesure en euros.
Ces mesures permettront de réduire les coûts de mise en conformité et de stimuler la compétitivité et l’innovation
Thomas Byrne, ministre délégué irlandais chargé des affaires européennes
L’article 88 bis met le feu aux poudres
Reste le chapitre de l’IA, que le Conseil présente comme encadré par des garanties. L’ONG viennoise noyb en fait une tout autre lecture. Selon elle, le nouvel article 88 bis reviendrait à considérer comme licite, par principe, le traitement de données personnelles “dans le cadre de l’IA”, au nom d’un intérêt légitime présumé et sans consentement. Le périmètre donne le vertige : il engloberait aussi des données anciennes, et des personnes sans aucun lien commercial avec les acteurs de l’IA. Quant au rappel ajouté par le Conseil, qui renvoie au droit d’opposition et aux mesures techniques et organisationnelles, c’est un habillage selon l’ONG, puisque ces règles s’imposent de toute façon à n’importe quel traitement.
Max Schrems, le fondateur de l’association, ne mâche pas ses mots : “En vertu du texte adopté, les profits des entreprises d’IA l’emporteraient généralement sur le droit fondamental des Européens à la vie privée. Cela n’est rien d’autre qu’une expropriation numérique des Européens”.
Désormais, Google, Meta et Microsoft peuvent tout simplement utiliser toutes les données qu’ils ont collectées, pratiquement sans aucune limite et pour n’importe quel projet comportant une composante « IA ». C’est le plus gros cadeau que les États membres de l’UE aient jamais fait aux géants américains de la tech
Max Schrems fondateur de NOYB
“C’est comme dire que tout est permis – quoi que l’on fasse – tant que cela est fait avec l’IA. Si quelque chose est illégal dans un tableur Excel, cela devient légal si c’est effectué par un agent d’IA“, insiste-t-il. noyb conteste aussi la lecture rassurante sur la définition des données personnelles. Selon l’ONG, le sort réservé aux pseudonymes, comme les identifiants de suivi ou les adresses IP, pourrait faire sortir une partie du suivi en ligne du champ du RGPD. Elle pointe également un risque industriel, que Max Schrems résume ainsi : “Ce changement législatif profite avant tout aux grands acteurs, ceux qui ont collecté d’énormes quantités de données européennes”.
La bataille se déplace désormais au Parlement européen, qui n’a pas encore arrêté sa position. Côté Conseil, Thomas Byrne se dit prêt à “engager les négociations avec le Parlement européen dès que celui-ci aura arrêté sa position”. Les discussions se dérouleront sous la pression de la feuille de route “Une Europe, un marché”, qui vise à boucler tous les chantiers de simplification d’ici fin 2027. Et noyb agite déjà la perspective de la Cour de justice de l’UE, qui a déjà fait tomber des textes pour bien moins que ça, des données de connexion aux transferts vers les États-Unis.
