Le Digital Omnibus pourrait modifier plusieurs règles qui encadrent la collecte et l’utilisation des données en Europe. Pour les entreprises, l’enjeu est concret : mesurer l’activité d’un site web avec moins de contraintes, simplifier le consentement, mieux exploiter les données et sécuriser les applications d’intelligence artificielle.
Le 21 octobre 2026, le Conseil de l’Union européenne a adopté sa position sur ce projet de réforme. Rien ne change immédiatement : le texte doit encore être négocié avec le Parlement européen. Mais certaines adaptations techniques méritent d’être préparées dès maintenant.
Ce qui pourrait changer pour votre entreprise
| Sujet | Évolution envisagée | Action utile dès maintenant |
|---|---|---|
| Analytics | Mesure d’audience agrégée sans consentement, sous conditions | Identifier les données réellement nécessaires |
| Publicité | Exemption possible pour la mesure contextuelle | Séparer les campagnes contextuelles du retargeting |
| Cookies | Refus respecté au moins 4 mois | Vérifier les paramètres de la CMP |
| Données clients | Clarification des règles de pseudonymisation | Contrôler les identifiants et les accès |
| Agents IA | Précisions sur l’utilisation de l’intérêt légitime | Auditer les données envoyées aux modèles |
| Cybersécurité | Notification sous 96 h en cas de risque élevé | Vérifier les procédures de gestion des incidents |
| Cloud | Ajustement des règles de partage et de réversibilité | Tester les exports et relire les contrats |
Premier chantier : faire le tri dans vos données Analytics
Aujourd’hui, beaucoup d’entreprises utilisent les mêmes événements pour plusieurs besoins : mesurer les visites, analyser les ventes, suivre les clients et optimiser les campagnes publicitaires.
Formez-vous aux outils Data Marketing !
Apprendre à utiliser Data Studio vous permet de transformer des données complexes en insights clairs et actionnables. Que ce soit pour améliorer la collaboration au sein de votre équipe, personnaliser vos rapports, accélérer l'analyse de données ou intégrer facilement d'autres outils Google, Data Studio est une compétence précieuse pour tout professionnel souhaitant tirer le meilleur parti de ses données.
Or, ces traitements n’ont pas nécessairement les mêmes obligations.
Le Digital Omnibus propose une exemption de consentement pour certaines mesures anonymes et agrégées. Compter les pages consultées ou les ajouts au panier pourrait ainsi relever d’un régime différent de celui utilisé pour suivre une personne d’une visite à l’autre.
Exemple : un site marchand souhaite connaître les dix produits les plus consultés. Il n’a pas forcément besoin de conserver un identifiant individuel pour produire cette statistique.
En pratique, je recommande trois vérifications :
- Lister les événements et les données réellement collectés.
- Identifier ceux qui servent au suivi individuel ou aux plateformes publicitaires.
- Étudier la possibilité de produire certaines statistiques agrégées dans un flux séparé.
Ce raisonnement s’applique à GA4, Matomo, Piano Analytics ou à une collecte développée en interne. Le choix d’un outil ne garantit jamais, à lui seul, une exemption.
Point important : la CNIL prévoit déjà en France une exemption de consentement pour certaines solutions de mesure d’audience. Les règles actuelles restent applicables.
Deuxième chantier : vérifier votre bannière cookies
Le Conseil propose d’imposer le respect d’un refus de consentement pendant au moins quatre mois pour une même finalité, avec certaines exceptions.
Ce changement concernerait directement les plateformes de gestion du consentement (CMP).
Inutile de remplacer immédiatement votre solution. En revanche, profitez-en pour tester trois situations : un internaute refuse les cookies, revient quelques jours plus tard, puis modifie volontairement son choix.
La CMP doit gérer correctement ces situations et transmettre des informations cohérentes aux outils de tracking.
Un audit GTM et Consent Mode permet également de vérifier que les balises publicitaires ne se déclenchent pas indépendamment des choix enregistrés.
Le mandat européen conserve les règles relatives aux traceurs dans la directive ePrivacy. Il ne faut pas annoncer comme acquise une obligation généralisée de transmission du consentement par les navigateurs.
Troisième chantier : sécuriser vos projets Data et IA
Le Digital Omnibus apporte aussi des précisions sur la pseudonymisation.
Une donnée pseudonymisée reste personnelle lorsqu’un acteur dispose de moyens raisonnables de retrouver l’identité de la personne. Mais un autre destinataire, sans accès à ces moyens, peut se trouver dans une situation différente.
Pour une entreprise qui utilise BigQuery, PostgreSQL ou un entrepôt de données, l’enjeu est de savoir qui détient les identifiants, qui peut les rapprocher et qui peut accéder aux données originales.
Même logique pour les agents IA.
Le Conseil clarifie que l’intérêt légitime peut, selon les circonstances, constituer une base légale pour certains traitements de données personnelles utilisés dans le développement ou l’exploitation d’une IA. Ce n’est pas une autorisation générale : chaque traitement doit être justifié.
Un agent chargé de résumer les opportunités commerciales n’a pas besoin de recevoir toutes les données personnelles du CRM.
Je recommande de contrôler les accès, de filtrer les informations transmises aux modèles et de vérifier les modalités de conservation des données chez les fournisseurs.
Quatrième chantier : vérifier vos procédures de sécurité
Le projet propose d’allonger le délai de notification de certaines violations de données de 72 à 96 heures, tout en relevant le seuil de notification aux situations présentant un risque élevé.
Mais l’obligation de documenter les violations resterait applicable.
Pour les entreprises qui hébergent leurs applications ou automatisent leurs traitements avec des API, n8n ou des bases de données, cela ne change pas le besoin de surveiller les accès, de conserver des journaux et de savoir réagir à un incident.
Le Conseil envisage également des guichets nationaux pour faciliter les déclarations relevant de plusieurs réglementations européennes. Consilium
Un plan d’action simple pour les prochaines semaines
Plutôt que d’engager une refonte coûteuse sur la base d’un texte non adopté, je privilégierais un audit ciblé.
| Quand | Travail à réaliser | Livrable concret |
|---|---|---|
| Semaine 1 | Vérifier GTM, les événements et la CMP | Inventaire des données et des finalités |
| Semaine 2 | Examiner les flux Analytics, CRM et publicitaires | Cartographie des traitements et destinataires |
| Semaine 3 | Contrôler les accès des applications et agents IA | Liste des permissions et risques |
| Semaine 4 | Vérifier les journaux, incidents et exports cloud | Plan de corrections priorisé |
Ce calendrier est une proposition d’organisation, pas une échéance réglementaire. Une petite infrastructure peut nécessiter moins de travail ; un système regroupant plusieurs applications et fournisseurs peut en demander davantage.
Faut-il agir dès maintenant ?
Oui, sur la qualité et la maîtrise des données. Non, sur l’application anticipée de nouvelles exemptions.
Le Digital Omnibus pourrait offrir davantage de souplesse aux entreprises, notamment pour la mesure d’audience. Mais les conditions restent strictes et le texte doit encore passer les négociations européennes.
Je retiens une règle simple pour les projets que je développe : une donnée doit avoir une finalité identifiée, un destinataire connu et des conditions d’accès maîtrisées.
C’est utile aujourd’hui, indépendamment de la réforme. Et cela permettra d’adapter plus facilement les systèmes lorsque les nouvelles règles seront définitivement adoptées.
Sources : Conseil de l’Union européenne, communiqué du 21 octobre 2026, mis à jour le 22 octobre ; mandat de négociation ST 14756/26, 179 pages ; CNIL, exemptions de consentement pour la mesure d’audience.
Dev d’applications métier · Data Engineer · Automatisation IA
Clients : Logis Hôtels, Yelloh Village, BazarChic, FFF, Texdecor…
- Apps & agents IA : Node.js, Python, API, RAG, OpenAI, Mistral, Claude
- Data Engineering : BigQuery, Snowflake, PostgreSQL, ClickHouse, dbt, Airflow, Dataform, Looker, Power BI, Metabase
- Automatisation IA : n8n, Apps Script, scraping, API, LLM
- Tracking & perf Web : GA4, GTM server, Matomo, Piano, Tealium, CAPI, Core Web Vitals