Le 24 septembre 2026, l’association European Digital Rights (EDRi) a rendu publique une lettre adressée aux représentants des États membres qui négocient au Conseil le volet « données » de l’Omnibus numérique. Elle vise le compromis de la présidence irlandaise, dont une première version circulait le 3 septembre et une version révisée le 21 septembre. Deux sujets retiennent l’attention d’un DPO : le statut des données pseudonymisées, avec un nouvel article 25a, et le sort des cookies. La question de l’intérêt légitime pour l’IA, déjà traitée sur ce site, est laissée de côté ici.
Ce que reproche la lettre d’EDRi
Le courrier, signé par une conseillère politique de l’organisation, critique un régime « relatif à l’acteur » : un même fichier pseudonymisé resterait une donnée personnelle pour l’organisme qui détient la clé de correspondance, mais n’en serait plus une pour un destinataire jugé incapable de réidentifier les personnes. La définition de l’article 4(1) du RGPD n’est pas réécrite. Son champ d’application deviendrait en revanche mouvant, selon EDRi, qui rappelle qu’une pseudonymisation remplace un identifiant direct par un code, alors qu’une anonymisation suppose qu’aucune identification ne soit raisonnablement possible.
EDRi demande que le service juridique du Conseil et ceux des États membres vérifient la compatibilité du texte avec les articles 7 et 8 de la Charte des droits fondamentaux et avec la jurisprudence de la Cour de justice avant tout accord politique. La page de présentation de la lettre regrette aussi la suppression des signaux automatisés de confidentialité et l’ajout d’exceptions permettant d’accéder aux informations stockées sur un appareil sans consentement.
Où en est le texte
Les ambassadeurs des États membres réunis au Coreper ont arrêté le mandat de négociation du Conseil le 21 octobre 2026. D’après les analyses du texte diffusé le lendemain, l’article 25a a été conservé : des données pseudonymisées ne seraient pas personnelles pour un tiers qui ne peut pas identifier la personne, tandis que le sous-traitant devrait continuer à les traiter comme des données personnelles. Le Parlement européen n’a pas encore adopté sa position et les négociations entre institutions ne pourront commencer qu’après. Aucune de ces règles n’est applicable aujourd’hui.
La Cour de justice a déjà adopté une lecture contextuelle dans son arrêt du 4 septembre 2025 (CEPD contre Conseil de résolution unique, affaire C-413/23 P). Le caractère personnel de données pseudonymisées transmises à un tiers dépend des moyens dont ce tiers dispose raisonnablement pour réidentifier. La Cour précise aussi que l’obligation d’information s’apprécie du côté du responsable qui collecte, au moment de la collecte. L’article 25a graverait cette logique dans le règlement, avec moins de nuances qu’un raisonnement au cas par cas.
Données pseudonymisées : l’effet sur la sous-traitance
Le schéma se retrouve souvent dans les dossiers que je suis, en santé au travail comme en établissement de santé. Un organisme confie un jeu de données pseudonymisées à un prestataire d’analyse, lequel s’appuie sur un hébergeur et sur un outil statistique en ligne. Aujourd’hui, toute la chaîne raisonne en données personnelles : contrat conforme à l’article 28, liste des sous-traitants ultérieurs, mesures de sécurité, encadrement des transferts hors Union.
Avec l’article 25a dans la version du Conseil, la qualification se fragmenterait. Le prestataire qui agit pour le compte de l’organisme resterait dans le champ du RGPD. Un destinataire qui reçoit les données pour son propre compte, sans accès à la clé, pourrait soutenir qu’il en sort. Plusieurs questions pratiques restent alors sans réponse. Qui démontre l’impossibilité de réidentifier, et avec quelles preuves ? Que vaut cette démonstration le jour où le destinataire croise le fichier avec d’autres sources, ou change de sous-traitant ? En cas de fuite chez lui, l’émetteur, qui conserve la table de correspondance, fait toujours face à une violation de données personnelles.
Pour le DPO, la qualification ne pourrait plus être posée une fois pour toutes dans le registre. Elle devrait être documentée destinataire par destinataire, avec une analyse des moyens de réidentification de chacun, et revue à chaque changement de prestataire.
Cookies : la fin annoncée du signal de navigateur
La Commission avait proposé en novembre 2025 d’imposer aux sites le respect des choix exprimés automatiquement par le navigateur, ce qui aurait limité la répétition des bandeaux. Le Conseil a retiré ce mécanisme et replacé les règles sur les traceurs dans l’article 5(3) de la directive ePrivacy. Son mandat prévoit six finalités dispensées de consentement, dont la mesure d’audience propre au site, la sécurité technique et la mesure de l’affichage de la publicité contextuelle, ainsi qu’un délai minimal de quatre mois avant de solliciter à nouveau une personne qui a refusé. EDRi y voit un accès au terminal élargi sans que l’utilisateur soit consulté.
En France, l’article 82 de la loi Informatique et Libertés et les lignes directrices de la CNIL continuent de s’appliquer. La CNIL a sanctionné Google de 325 millions d’euros le 1er septembre 2025, en relevant entre autres qu’il était plus difficile de refuser les traceurs que de les accepter lors de la création d’un compte. Le bandeau reste la règle et son paramétrage reste contrôlé.
Ce que l’organisme peut faire dès maintenant
- Repérer dans le registre les traitements fondés sur des données pseudonymisées, en indiquant qui détient la clé de correspondance et où elle est conservée.
- Relire les contrats de sous-traitance : un fichier pseudonymisé n’y est jamais « anonyme », ni aujourd’hui ni, pour un sous-traitant, dans la version envisagée.
- Pour chaque destinataire agissant pour son propre compte, consigner les moyens de réidentification dont il dispose et les engagements contractuels de non-réidentification qu’il a pris.
- Conserver la procédure de notification de l’article 33 pour les fichiers pseudonymisés : du point de vue de l’émetteur, une fuite reste une violation.
- Garder les bandeaux cookies en l’état jusqu’à l’adoption du texte, puis réexaminer la liste des traceurs susceptibles d’entrer dans les nouvelles exemptions.
DPO FRANCE, réseau national de DPO indépendants, accompagne les organismes dans la qualification de leurs flux de données pseudonymisées et la révision de leurs contrats de sous-traitance. Le logiciel DPO SUITE réunit le registre, les sous-traitants et leurs contrats, les AIPD et les preuves de conformité, ce qui permet de reprendre l’analyse rapidement si le texte final modifie les règles.
