Le 28 octobre 2026, les ONG Corporate Europe Observatory et LobbyControl ont publié une étude intitulée « The Big Tech campaign to kill data protection in Europe ». Elle décrit l’influence des grandes plateformes numériques sur l’Omnibus numérique, le texte qui doit modifier le RGPD et les règles sur les cookies. Les chiffres avancés frappent par leur volume. Pour un responsable de traitement, ils rappellent surtout qu’un allègement du RGPD reste aujourd’hui un projet en discussion, porté par des intérêts identifiés et combattu par d’autres.
Ce que décrivent les deux ONG
Selon leur communiqué, 655 réunions de lobbying consacrées à l’Omnibus numérique ont été recensées au Parlement européen depuis la proposition de la Commission de novembre 2025, soit environ trois par jour ouvré. 83 % d’entre elles concernaient des intérêts économiques, contre 11 % pour la société civile et les syndicats. Google et Meta figurent parmi les plus actifs auprès des eurodéputés.
L’étude s’intéresse aussi à l’Allemagne. Les auteurs comptent 103 rencontres entre des entreprises technologiques non européennes et des responsables du gouvernement fédéral depuis l’arrivée du chancelier Friedrich Merz, en estimant que le chiffre réel est sans doute supérieur, faute de publication systématique de ces rendez-vous. Ils évoquent enfin des départs d’anciens agents publics vers des fonctions de représentation d’intérêts dans plusieurs pays.
Ces éléments relèvent de l’analyse des deux organisations, qui militent pour un encadrement strict du lobbying. Le communiqué ne détaille pas sa méthode de collecte. L’intérêt de l’étude, pour un DPO, tient moins à ce débat qu’à ce qu’elle dit du processus : un texte aussi disputé peut encore évoluer dans un sens comme dans l’autre.
Un allègement du RGPD qui n’existe pas encore
Au 3 novembre 2026, la situation est la suivante. Le Conseil a arrêté son mandat de négociation le 21 octobre. Le Parlement européen, lui, n’a pas voté sa position ; selon les suivis de procédure, le vote des commissions compétentes est attendu au début de 2027. Les négociations entre institutions ne commenceront qu’ensuite. Le texte final devra être adopté, publié, puis entrer en application selon ses propres délais.
Jusque-là, le RGPD, la directive ePrivacy et l’article 82 de la loi Informatique et Libertés s’appliquent sans changement. La CNIL contrôle et sanctionne sur ces bases, comme l’a montré l’amende de 325 millions d’euros prononcée contre Google en septembre 2025 pour des pratiques liées aux traceurs et à la publicité dans Gmail. Un organisme qui supprimerait son bandeau cookies, réutiliserait des données de ses usagers pour entraîner un modèle d’IA sans base valable ou considérerait comme anonyme un fichier pseudonymisé s’exposerait aux sanctions actuelles, avec le droit actuel.
Les risques d’une conformité par anticipation
Je rencontre régulièrement des directions qui ont lu qu’une règle « allait disparaître » et qui demandent s’il est encore utile de s’en occuper. La réponse est oui, pour plusieurs raisons concrètes.
Le contenu final n’est pas connu. Les positions du Conseil et des groupes parlementaires divergent, comme le montre le classement des amendements établi par noyb, sur la définition des données personnelles, l’usage des données pour l’IA, les cookies ou le droit d’accès. Une disposition présente dans la proposition de la Commission peut disparaître, ou revenir assortie de garanties plus exigeantes.
Le droit ne rétroagit pas en faveur de l’organisme. Un traitement irrégulier mené en 2026 reste irrégulier, même si la règle change en 2028. Les plaintes, les demandes d’accès et les actions en réparation se fondent sur le droit applicable au moment des faits.
Les contentieux associatifs se développent. Des associations spécialisées déposent des plaintes et préparent des actions collectives. Le retentissement d’une étude comme celle-ci alimente l’attention portée aux pratiques des organismes, grands ou petits.
Enfin, revenir en arrière coûte cher. Démonter un dispositif de recueil du consentement ou une procédure de réponse aux droits, puis devoir le reconstruire, mobilise des équipes et des budgets deux fois.
Ce que l’organisme doit faire
- Continuer à appliquer le RGPD et les lignes directrices de la CNIL en vigueur, sans préjuger du texte final.
- Établir une liste des traitements qui pourraient être concernés par une évolution : traceurs, données pseudonymisées partagées, projets d’IA, gestion des demandes d’accès.
- Documenter dans le registre la base légale retenue et les raisons de chaque choix, pour pouvoir les réexaminer quand la réforme sera adoptée.
- Exiger des éditeurs et prestataires qu’ils ne modifient pas leurs pratiques (cookies, réutilisation des données clients, entraînement de modèles) au nom d’une réforme non adoptée, et le vérifier lors du renouvellement des contrats de l’article 28.
- Faire valider par la direction une règle simple : aucun projet ne s’appuie sur une disposition qui n’est pas publiée au Journal officiel.
DPO FRANCE, réseau national de DPO indépendants, aide les organismes à tenir une conformité fondée sur le droit en vigueur tout en suivant l’évolution de l’Omnibus numérique. DPO SUITE conserve le registre, les bases juridiques, les sous-traitants et les preuves, de sorte que l’adaptation au texte final pourra se faire à partir d’un état des lieux à jour.
