Pourquoi la réforme européenne du RGPD et des cookies ne change encore rien pour votre site

Le texte touchera un jour chaque site web et chaque responsable informatique de l'Union. Le 21 octobre, les représentants des Vingt-Sept ont arrêté la position du Conseil de l'Union européenne sur le volet « données » du Digital Omnibus, le paquet de simplification des règles numériques proposé par la Commission européenne. Il modifie le RGPD (règlement général sur la protection des données), la directive ePrivacy qui encadre les cookies, et la façon de déclarer les incidents de cybersécurité.

Il s'agit d'une position de négociation, pas d'une loi : rien ne change aujourd'hui pour les entreprises. Les discussions avec le Parlement européen commenceront quand celui-ci aura adopté sa propre position, ce qui n'est pas encore le cas.

La définition des données personnelles ne bouge pas

La Commission voulait qu'une donnée pseudonymisée puisse échapper au RGPD pour une entreprise qui n'a pas les moyens raisonnables de retrouver la personne concernée. Les États refusent : la définition actuelle est conservée, complétée par une disposition sur la pseudonymisation. Le Contrôleur européen de la protection des données, Wojciech Wiewiórowski, avait averti que la proposition initiale « réduirait considérablement » la notion de donnée personnelle, rapporte l'IAPP, l'association internationale des professionnels de la vie privée.

Sur l'intelligence artificielle, le Conseil conserve la possibilité de traiter des données sensibles pour la vérification biométrique et le développement de systèmes d'IA, mais il y ajoute des garde-fous et clarifie les bases légales des traitements de données personnelles. Les demandes d'accès infondées ou excessives seraient plus simples à gérer, et les obligations d'information allégées quand le risque est faible.

Des cookies sans consentement dans plus de cas

La Commission avait déplacé les règles sur les cookies dans le RGPD. Le Conseil les laisse dans la directive ePrivacy, mais élargit les cas où le consentement n'est pas nécessaire : fourniture du service demandé, mesure d'audience, sécurité de l'appareil. Selon l'analyse du site juridique NICFAB, le texte fixe une liste fermée de six finalités dispensées de consentement. Il abandonne aussi l'obligation faite aux sites de respecter les choix de consentement réglés dans le navigateur, et ramène de six à quatre mois le délai avant de redemander un consentement refusé.

Déclarer un incident : un guichet par pays

C'est le point qui concerne le plus les équipes de sécurité. La Commission proposait un point d'entrée unique, à l'échelle européenne, pour déclarer incidents de cybersécurité et violations de données. Les États préfèrent un point d'entrée national dans chaque pays, complété par un point d'information européen et des règles harmonisées, notamment pour les incidents qui touchent plusieurs pays. Le Conseil soutient aussi un délai plus long pour notifier une violation de données. D'après NICFAB, il reprend la proposition de la Commission : 96 heures au lieu de 72, avec un seuil de notification relevé.

Ce qu'il faut faire en attendant

Rien de nouveau, sinon continuer à appliquer les règles actuelles :

• une violation de données se notifie toujours à la CNIL dans les 72 heures ;
• les cookies non essentiels exigent toujours le consentement de l'internaute ;
• côté NIS2, dont la transposition française se fait toujours attendre, ce texte ne change rien pour l'instant.

Le compromis n'a pas été simple. Selon NICFAB, le texte, inscrit à l'ordre du jour les 7 et 11 octobre, n'a pas été adopté : le 7, l'Allemagne et la France réclamaient une meilleure protection du secret des affaires dans le Data Act, et le 11, il n'a même pas été discuté. La présidence irlandaise veut désormais un accord rapide : pour la ministre Helen McEntee, ces changements sont « une étape importante » pour l'attractivité de l'Europe. Le prochain rendez-vous est la position du Parlement européen, sans laquelle aucune négociation finale ne peut commencer.