Dans une communication conjointe, le contrôleur et le comité européens de la protection des données (EDPS et EDPB) se prononcent clairement contre la redéfinition des données personnelles proposées par la Commission européenne dans le cadre de son Digital Omnibus. En janvier, ils appelaient aussi à diverses précautions en matière de réécriture du règlement sur l’IA.

En matière d’omnibus numérique, le contrôleur et le comité européens de la protection des données (EDPS et EDPB en anglais, CEPD en français) sont on ne peut plus clairs : ils estiment toute tentative de redéfinir ce qui constitue une donnée personnelle comme un danger. Dans un communiqué conjoint, les deux entités appellent « fortement les colégislateurs à ne pas adopter les modifications (…) proposées » en la matière (voir aussi le résumé, en français, qu’en propose la CNIL).

• La Commission publie son projet d’omnibus numérique dans un contexte tendu

Si la redéfinition de ce qui constitue une donnée personnelle a pu être décrite comme le simple fait d’ancrer dans la loi une interprétation déjà donnée par la Cour européenne, l’EDPS et l’EDPB déclarent que les modifications proposées iraient en réalité « bien au-delà ».

Dans son arrêt SRB du 4 septembre 2025, la Cour de justice de l’Union européenne considérait en effet que des données pseudonymisées pouvaient être considérées comme n’étant pas des données personnelles pour leur destinataire si des mesures techniques et organisationnelles étaient prises pour l’empêcher d’accéder à des éléments identifiant, et si ce destinataire ne pouvait légalement mettre la main sur des éléments lui permettant de ré-identifier les personnes concernées, ou transmettre les données à un tiers à même d’opérer cette ré identification.

Dans leur communication conjointe de ce 11 février, l’EDPS et l’EDPB déclarent qu’en l’état, le Digital Omnibus propose une redéfinition de la nature d’une donnée personnelle bien plus large que la simple intégration de cet arrêt. « La simplification est essentielle pour réduire les formalités administratives et renforcer la compétitivité de l’Union, mais pas aux dépens des droits fondamentaux », déclare Anu Talus, la directrice de l’EDPB. Une position qui fait écho à celle d’entités de défense des droits numériques comme noyb (qui salue leur décision), ou l’organisation European Digital Rights (EDRi).

Maintenir un registre des systèmes d’IA à haut risque

En matière d’intelligence artificielle, l’EDPS et l’EDPB soulignent de nouveau leur scepticisme vis-à-vis de l’intégration, au sein du RGPD, d’un fondement légal à l’usage de données personnelles pour le développement et le déploiement de systèmes d’IA. En janvier, dans une communication conjointe spécifiquement dédiée à la partie du Digital Omnibus visant le règlement en cours d’application sur l’intelligence artificielle (RIA ou AI Act), elles convenaient là aussi du besoin de répondre à quelques enjeux concrets, mais insistaient sur le besoin de préserver les droits fondamentaux.

En pratique, elles contestaient la proposition de supprimer l’obligation d’enregistrer les systèmes à haut risque dans un registre public – proposition soutenue notamment par les lobbies des géants numériques américains. À défaut, elles estiment que cette évolution « abimerait significativement la responsabilité et créerait une incitation indésirable pour les fournisseurs à demander des exemptions pour éviter l’examen public ».

• Derrière le Digital Omnibus, les traces des lobbies des Big Tech

L’EDPS et l’EDPB appelaient par ailleurs à préciser la possibilité d’utiliser des données personnelles comme l’origine ethnique ou des données de santé pour de la détection et de la correction de biais « uniquement dans les situations circonscrites où les risques d’effets adverses provoqués par ces biais sont considérés suffisamment sérieux ».

Bacs à sable réglementaires et gestion des cookies

L’EDPS et l’EDPB saluent aussi plusieurs propositions d’intérêt dans les deux omnibus. Côté IA, elles soulignaient en janvier l’intérêt des bacs à sable réglementaires de niveau européen, permettant de « promouvoir l’innovation ». Elles recommandaient d’y faire directement participer les autorités de protection des données compétentes.

Côté Digital Omnibus, les deux entités saluent les modèles et listes communes proposées pour auditer les impacts en termes de protection des données en cas de fuites. Elles appellent néanmoins à augmenter les seuils de risques en fonction desquels la notification aux autorités de protection des données devient obligatoire et à allonger le délai de notification.

Elles soutiennent l’harmonisation de la notion de « recherche scientifique » dans les textes, et le projet d’amender la directive ePrivacy pour trouver des solutions à la « consent fatigue », c’est-à-dire à la multiplication des bannières de gestion des cookies demandant à un même internaute s’il ou elle consent à partager ses données.