En novembre 2025, la Commission européenne a proposé de modifier le RGPD avec le paquet Digital Omnibus. Pour les violations de données, l’autorité ne serait notifiée qu’en cas de risque élevé, sous 96 heures et via un point d’entrée unique dans l’UE. Pour les demandes d’accès, il serait plus facile de refuser les demandes excessives. Rien de tout cela n’est adopté : ce sont les règles actuelles qui s’appliquent aujourd’hui.
Proposition COM(2025) 837 a été présentée le 19 novembre 2025 et s’inscrit dans un effort plus large de simplification des règles numériques de l’UE. Pour celles et ceux qui gèrent la protection des données au quotidien, deux changements comptent le plus : ce qui se passe quand un incident touche des données personnelles, et comment répondre aux personnes qui demandent leurs données.
Ce qui change, point par point
| Sujet | Aujourd’hui | Ce que dit la proposition |
|---|---|---|
| Quand notifier l’autorité | Chaque fois que la violation est susceptible d’engendrer un risque pour les personnes Art. 33, paragraphe 1 | Uniquement lorsqu’elle est susceptible d’engendrer un risque élevé, le seuil qui s’applique aujourd’hui pour informer les personnes |
| Délai | 72 heures après en avoir pris connaissance, week-end compris | 96 heures |
| Où notifier | L’autorité de contrôle compétente, comme la CNIL en France ou la CNPD au Portugal | Un point d’entrée unique dans l’UE, avec un modèle commun préparé par le CEPD |
| Demandes d’accès excessives | Le responsable du traitement doit démontrer que la demande est manifestement infondée ou excessive Art. 12, paragraphe 5 | Il suffit d’avoir « des motifs raisonnables de croire » qu’elle est excessive ; refus ou paiement de frais lorsque l’accès est utilisé à d’autres fins que la protection des données |
| Analyses d’impact | Des listes établies par chaque autorité nationale | Des listes communes à l’UE des traitements qui exigent, ou non, une analyse d’impact |
| Registre interne des violations | Obligatoire pour toutes les violations Art. 33, paragraphe 5 | Maintenu dans toutes les versions en discussion |
Ce que disent le CEPD et le Contrôleur européen
Dans leur avis conjoint 2/2026, du 10 février 2026, le Comité européen de la protection des données et le Contrôleur européen de la protection des données soutiennent plusieurs de ces mesures, avec des réserves.
Sur les demandes d’accès, ils partagent l’objectif de clarté, mais demandent la suppression des trois formulations sur les demandes excessives. Ils rappellent que, selon la Cour de justice dans l’affaire C-307/22, la personne n’a pas à justifier sa demande.
Où en est la procédure
- 19 nov. 2025
La Commission présente la proposition COM(2025) 837. - 10 févr. 2026
Le CEPD et le Contrôleur européen publient leur avis conjoint. - 21 oct. 2026 · aujourd’hui
Les ambassadeurs des États membres discutent du mandat de négociation du Conseil. Au Parlement, les commissions ITRE et LIBE n’ont pas encore voté le rapport. - Ensuite
Négociations entre le Parlement, le Conseil et la Commission. Ensuite seulement, publication au Journal officiel.
C’est une autre proposition, l’Omnibus IV. Le Parlement et le Conseil sont parvenus à un accord provisoire le 26 juin 2026 : l’exemption de tenue du registre s’appliquera aux organismes de moins de 1 000 personnes, sauf pour les activités à risque élevé. Le vote en plénière est prévu le 23 novembre 2026.
Lire le guide du registre des traitements- 1Continuez à appliquer les 72 heures et le seuil du « risque ». Ce sont les règles en vigueur jusqu’à la publication d’un texte.
- 2Documentez en interne toutes les violations. Cette obligation ne disparaît dans aucune version.
- 3Répondez aux demandes d’accès en un mois et ne demandez pas à la personne de justifier sa demande.
- 4Gardez votre registre des traitements, même si vous finissez par en être exempté. Vous en avez besoin pour retrouver les données.
- 5Abonnez-vous à la newsletter. Nous mettons à jour cet article et les guides à chaque étape de la procédure.