Le 12 octobre 2026, l’association autrichienne noyb a publié le résultat de son analyse de plus de 1 000 amendements déposés par les eurodéputés sur les volets RGPD et ePrivacy de l’Omnibus numérique. Elle les a classés selon leur effet sur la protection de la vie privée et publie les résultats, élu par élu et groupe par groupe, sur un site dédié. Au-delà du classement, ce travail rappelle une donnée de calendrier qui intéresse tout responsable de traitement : la réforme Omnibus numérique RGPD est loin d’être figée, et le Parlement n’a pas encore arrêté sa position.
La méthode retenue par noyb
noyb compte, pour chaque amendement, s’il renforce ou affaiblit la protection des personnes à ses yeux. Le score d’un élu ou d’un groupe correspond au nombre d’amendements jugés positifs moins celui des amendements jugés négatifs. Les amendements neutres ou peu clairs sont écartés, et l’association ne pondère pas selon la portée de chaque modification : un changement mineur pèse autant qu’une refonte d’article. Des classements complémentaires portent sur les amendements qu’elle estime contraires à la Charte des droits fondamentaux et sur ceux qui concilient simplification et protection.
Selon cette grille, publiée sur gdpr-omnibus.eu, le groupe PPE obtient le score le plus bas, suivi des groupes CRE et Patriotes. Renew et le groupe Europe des nations souveraines ont un score nul. Les groupes S&D, Verts/ALE et La Gauche ont un score positif. Il s’agit de l’appréciation d’une ONG militante, qui assume sa position ; le détail du calcul n’est pas entièrement documenté sur le site. Le classement renseigne surtout sur la dispersion des positions dans l’hémicycle, donc sur l’incertitude qui pèse encore sur le texte final.
Le calendrier de l’Omnibus numérique RGPD
La Commission a présenté sa proposition le 19 novembre 2025. Au Parlement, le dossier a été confié conjointement aux commissions ITRE (industrie) et LIBE (libertés civiles), avec une rapporteure pour chacune, et des avis attendus des commissions IMCO et JURI. Le projet de rapport commun a été déposé en juin 2026 et les amendements fin juillet. D’après les suivis publiés sur la procédure, le vote en commission n’est pas attendu avant le début de 2027, et aucune date de plénière n’est fixée.
Côté Conseil, les ambassadeurs des États membres ont arrêté le 21 octobre 2026 le mandat de négociation, sous présidence irlandaise. Les négociations interinstitutionnelles ne pourront s’ouvrir qu’une fois la position du Parlement votée. Viendront ensuite l’accord politique, la mise au point du texte, l’adoption formelle par les deux institutions et la publication au Journal officiel, puis les délais d’entrée en application prévus par le texte lui-même. Pour les règles sur les traceurs, le mandat du Conseil évoque par exemple une mise en œuvre nationale dans un délai de 24 mois.
Au rythme habituel d’un règlement européen, un organisme a donc devant lui plusieurs mois d’incertitude, probablement davantage avant que les nouvelles règles ne s’appliquent.
Ce qui peut encore bouger
Les amendements portent sur des points qui touchent directement la conformité quotidienne. Sans prétendre à l’exhaustivité, on peut citer la définition de la donnée personnelle et le statut des données pseudonymisées, l’usage de données personnelles pour développer et exploiter des systèmes d’IA, le régime des données sensibles, l’exercice du droit d’accès face aux demandes jugées abusives, les règles sur les cookies et autres traceurs, ou encore la notification des violations de données. Sur chacun de ces sujets, le Conseil et la Commission n’ont pas la même rédaction, et les amendements parlementaires tirent dans des directions opposées.
Pour un organisme, la conséquence est simple. Un allègement qui figure dans la proposition de la Commission ou dans le mandat du Conseil peut disparaître, être réécrit ou être assorti de garanties nouvelles. À l’inverse, des obligations absentes de la proposition initiale peuvent apparaître par voie d’amendement. Le texte voté en commission au Parlement donnera la première vision complète des deux positions, et c’est à ce moment qu’une analyse d’impact sérieuse deviendra possible.
Ce que l’organisme doit faire en attendant
Mon conseil aux services que j’accompagne reste constant : on applique le RGPD tel qu’il est en vigueur, et on prépare la suite sans rien démonter.
- Maintenir le registre des traitements, les AIPD et les contrats de sous-traitance sur la base du droit actuel, y compris pour les projets d’IA.
- Repérer dès maintenant les traitements qui seraient concernés par une modification : données pseudonymisées partagées avec des tiers, outils de mesure d’audience, réutilisation de données pour des modèles d’IA, procédure de réponse aux demandes d’accès.
- Garder la trace des choix faits aujourd’hui et de leur base légale, pour pouvoir les réexaminer rapidement quand le texte définitif sera connu.
- Suivre les étapes officielles (vote des commissions ITRE et LIBE, plénière, accord interinstitutionnel) plutôt que les annonces ou les fuites de documents de travail.
- Informer la direction que le calendrier se compte en années, ce qui évite qu’un projet soit lancé sur la promesse d’un assouplissement qui n’existe pas encore.
Le classement de noyb peut aussi servir d’outil de lecture. Il permet de retrouver rapidement les amendements déposés sur un article précis et de voir quelles formulations circulent. Un DPO y trouvera matière à anticiper les scénarios possibles, sans en tirer de conclusion sur l’issue du vote.
DPO FRANCE, réseau national de DPO indépendants, suit l’évolution de l’Omnibus numérique pour les organismes qu’il accompagne et les aide à repérer les traitements concernés. DPO SUITE conserve le registre, les AIPD, les sous-traitants et les preuves dans un même outil, ce qui facilite la mise à jour le jour où le texte sera adopté.
