Le 21 octobre 2026, les États membres ont arrêté leur position de négociation sur le volet « données » de l'Omnibus numérique. La définition de la donnée à caractère personnel n'est pas modifiée ; un article 25a nouveau reprend, pour les données pseudonymisées transmises à des tiers, la solution dégagée par la Cour de justice dans l'affaire SRB. Présentation du texte et de sa portée au regard du droit positif.
L'essentiel. Le mandat de négociation adopté par le Comité des représentants permanents (Coreper) le 21 octobre 2026 (communiqué du Conseil ; doc. 14756/26 du 22 octobre 2026) supprime l'ajout à l'article 4, 1) du RGPD que proposait la Commission européenne dans sa proposition du 19 novembre 2025 (COM(2025) 837). La définition de la donnée à caractère personnel reste donc, mot pour mot, celle de 2016. En contrepartie, le Conseil insère un article 25a « Application de la pseudonymisation et identification d'une personne physique », dont le paragraphe 2 dispose que les données pseudonymisées ne sont pas considérées comme des données à caractère personnel pour un tiers qui n'est pas en mesure d'identifier la personne concernée. Le texte codifie ainsi, en la cantonnant aux données pseudonymisées et aux tiers, l'approche « relative » dégagée par la CJUE dans les arrêts Breyer (2016), Scania (2023) et CEPD c/ CRU (4 septembre 2025, aff. C-413/23 P), que nous avions commentée ici. Les actes d'exécution de la Commission sont remplacés par un avis du Comité européen de la protection des données (CEPD) attendu dans les six mois de l'entrée en vigueur. Le Parlement européen n'a pas encore arrêté sa position et les trilogues n'ont pas commencé.
1. Où en est l'Omnibus numérique ?
L'Omnibus numérique est le septième des « paquets de simplification » présentés par la Commission depuis février 2025 à la demande du Conseil européen, avec l'objectif affiché de réduire d'au moins 25 % les coûts administratifs pesant sur les entreprises d'ici 2030 (Conseil, politique de simplification). Il se compose de deux propositions de règlement adoptées le 19 novembre 2025 : l'une sur l'intelligence artificielle, définitivement approuvée par le Conseil le 29 juin 2026 ; l'autre, dite « Omnibus numérique » au sens strict (procédure 2025/0360(COD)), qui modifie le RGPD, la directive ePrivacy, le Data Act, la directive NIS 2 et abroge le Data Governance Act, le règlement sur la libre circulation des données non personnelles et la directive Open Data.
Sur ce second texte, le calendrier est le suivant :
- 19 novembre 2025 : proposition de la Commission (COM(2025) 837).
- 10 février 2026 : avis conjoint 2/2026 du CEPD et du Contrôleur européen de la protection des données (CEPD-UE), qui invite les colégislateurs à ne pas modifier la définition de la donnée à caractère personnel et recommande la suppression de l'article 41a.
- 22 juin 2026 : projet de rapport conjoint des commissions ITRE et LIBE du Parlement européen (rapporteures Aura Salla et Marina Kaljurand) ; amendements déposés le 27 juillet 2026. Aucun vote en commission à ce jour.
- 21 octobre 2026 : adoption du mandat de négociation par le Coreper, publié le 22 octobre sous la référence 14756/26.
- À venir : vote en commission puis en séance plénière au Parlement, puis trilogues. Le Conseil européen a demandé que les omnibus en cours fassent l'objet d'un accord avant la fin de l'année 2026 ; aucune date de vote n'est à ce jour fixée au Parlement.
Le texte est en cours de négociation. Le droit applicable demeure le RGPD de 2016 tel qu'interprété par la Cour de justice.
2. Ce que proposait la Commission : réécrire l'article 4, 1)
La proposition du 19 novembre 2025 ajoutait trois phrases à la définition de la donnée à caractère personnel, à l'article 4, 1) du RGPD (traduction de travail) :
« Une information relative à une personne physique n'est pas nécessairement une donnée à caractère personnel pour toute autre personne ou entité, au seul motif qu'une autre entité peut identifier cette personne physique. Une information n'est pas personnelle pour une entité donnée lorsque cette entité ne peut identifier la personne physique à laquelle l'information se rapporte, compte tenu des moyens raisonnablement susceptibles d'être utilisés par cette entité. Une telle information ne devient pas personnelle pour cette entité au seul motif qu'un destinataire ultérieur potentiel dispose de moyens raisonnablement susceptibles d'être utilisés pour identifier la personne physique à laquelle l'information se rapporte. »
Le considérant 27 de la proposition se réclamait expressément de la jurisprudence de la Cour. Un article 41a habilitait la Commission à adopter des actes d'exécution fixant « les moyens et critères » permettant de déterminer si des données pseudonymisées cessent d'être personnelles « pour certaines entités », le CEPD n'étant que consulté, sous huit semaines.
Deux objections ont été formulées. La première, portée par le CEPD et le CEPD-UE dans leur avis conjoint 2/2026 du 10 février 2026, est que la réécriture excédait la codification d'une jurisprudence : elle visait toute information, et non les seules données pseudonymisées ; sa dernière phrase allait au-delà de l'arrêt SRB (§ 16) ; une définition « devrait dire ce que sont les données à caractère personnel, et non ce qu'elles ne sont pas » (§ 18) ; et le seuil d'identifiabilité ne pouvait être fixé par un acte d'exécution de la Commission, de sorte que l'article 41a devait être supprimé (§§ 23 à 25). La seconde, plus politique, tenait au signal envoyé par une modification du texte fondateur du RGPD dans un instrument de « simplification ».
3. Ce que retient le Conseil : définition intacte, article 25a nouveau
3.1. L'article 4, 1) n'est pas modifié
Le mandat du Conseil supprime purement et simplement le point 1, a) de l'article 3 de la proposition, c'est-à-dire l'ajout à l'article 4, 1). Le considérant 27 de la Commission est lui aussi supprimé, à l'exception de sa première phrase. Le communiqué du Conseil résume : le mandat « maintient la définition actuelle de la donnée à caractère personnel ».
3.2. Le nouvel article 25a
Le Conseil réécrit intégralement l'article 41a de la Commission et le renumérote 25a, ce qui le place dans le chapitre IV du RGPD, à la suite de l'article 25 sur la protection des données dès la conception. Sa rédaction est la suivante (traduction de travail du doc. 14756/26, p. 140-141) :
- « Les responsables du traitement et les sous-traitants peuvent appliquer la pseudonymisation afin de réduire les risques pour les personnes concernées et de se conformer à leurs obligations au titre du présent règlement, de telle manière que les données à caractère personnel ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires. L'application de la pseudonymisation est subordonnée à des mesures techniques et organisationnelles appropriées, y compris des mesures de sécurité, afin d'empêcher d'autres personnes d'identifier la personne concernée. »
- « Les données pseudonymisées ne sont pas considérées comme des données à caractère personnel pour un tiers si ce tiers n'est pas en mesure d'identifier la personne physique à laquelle les données se rapportent. »
- « Lorsqu'un tiers divulgue, transmet ou met à disposition d'une autre manière les données visées au paragraphe 2 à un autre tiers et que, au regard de l'ensemble des circonstances pertinentes, cet autre tiers possède ou peut obtenir des moyens raisonnablement susceptibles de permettre l'identification de la personne concernée, tant la transmission des données à cet autre tiers que le traitement ultérieur des données par celui-ci constituent un traitement de données à caractère personnel. »
- « Lorsqu'un sous-traitant traite des données à caractère personnel pour le compte d'un responsable du traitement, ces données sont considérées comme des données à caractère personnel pour le sous-traitant, et celui-ci reste soumis aux obligations applicables au titre du présent règlement. »
- « Pour déterminer si une personne physique est identifiable, y compris au moyen de données à caractère personnel ayant fait l'objet d'une pseudonymisation, il est tenu compte de l'ensemble des moyens raisonnablement susceptibles d'être utilisés pour identifier la personne physique directement ou indirectement. »
Les paragraphes 6 et 7 confient au CEPD le soin d'émettre, selon la procédure de l'article 64, § 2, un avis « sur l'application de la pseudonymisation et de l'anonymisation, y compris les mesures techniques et organisationnelles y afférentes », que son président doit solliciter au plus tard six mois après l'entrée en vigueur du règlement modificatif. Les actes d'exécution de la Commission disparaissent. Un nouveau point (hcb) de l'article 70, § 1, inscrit cet avis parmi les missions du Comité.
3.3. Les considérants 27a à 27c
Trois considérants nouveaux encadrent le dispositif. Le considérant 27a rappelle que la pseudonymisation n'est qu'une mesure possible au sens des articles 25 et 32, non une obligation, et encourage les codes de conduite sectoriels (art. 40). Le considérant 27b reprend presque mot pour mot le test jurisprudentiel : un tiers ne doit pas être regardé comme disposant de moyens d'identification « si la probabilité d'identification apparaît en réalité insignifiante, parce qu'elle serait impossible à réaliser ou impliquerait des efforts disproportionnés en termes de temps, de coût et de main-d'œuvre, ou en raison d'une interdiction légale » ; l'identifiabilité s'apprécie « au regard des mesures techniques et organisationnelles effectives et sur la base de facteurs objectifs, y compris les obligations légales et les interdictions légales applicables au tiers », l'état de l'art des techniques de pseudonymisation, les propriétés des données, le coût et le temps nécessaires pour obtenir les informations supplémentaires. Le considérant 27c précise enfin que « les responsables du traitement demeurent pleinement responsables de déterminer et de démontrer que les données pseudonymisées ne conduisent pas à la réidentification des personnes concernées par des personnes autres que le responsable du traitement ».
4. Mise en perspective avec la jurisprudence de la Cour de justice
La portée de l'article 25a s'apprécie au regard des trois arrêts qui ont construit l'approche relative de la donnée à caractère personnel.
Breyer (CJUE, 19 octobre 2016, aff. C-582/14). Une adresse IP dynamique est une donnée à caractère personnel pour l'éditeur d'un site qui dispose de « moyens légaux » d'obtenir du fournisseur d'accès l'identité de l'internaute. La Cour y pose le critère que le considérant 27b reprend aujourd'hui : l'identification ne relève pas des moyens raisonnablement susceptibles d'être mis en œuvre si elle « était interdite par la loi ou irréalisable en pratique, par exemple en raison du fait qu'elle impliquerait un effort démesuré en termes de temps, de coût et de main-d'œuvre, de sorte que le risque d'une identification paraît en réalité insignifiant » (pt 46). L'identifiabilité s'apprécie dès 2016 du point de vue de l'entité qui détient l'information, et non dans l'absolu.
Scania (CJUE, 9 novembre 2023, Gesamtverband Autoteile-Handel, aff. C-319/22). Le numéro d'identification d'un véhicule (VIN) n'est pas en soi une donnée personnelle, mais le devient entre les mains des opérateurs indépendants qui disposent raisonnablement des moyens de le rattacher à une personne physique, par exemple via le certificat d'immatriculation (pts 46 et 49). C'est la logique du paragraphe 3 de l'article 25a : des données « en soi impersonnelles peuvent acquérir un caractère “personnel” lorsque le responsable du traitement les met à disposition d'autres personnes disposant de moyens raisonnablement susceptibles de permettre l'identification de la personne concernée », selon la lecture qu'en donne la Cour elle-même dans l'arrêt SRB (pt 84).
CEPD-UE c/ CRU (CJUE, 4 septembre 2025, aff. C-413/23 P). Nous avons détaillé cet arrêt. Le Conseil de résolution unique (CRU) avait transmis à Deloitte des commentaires d'actionnaires de Banco Popular, pseudonymisés par un code alphanumérique dont seul le CRU détenait la table de correspondance. La Cour juge que les données pseudonymisées « ne doivent pas être considérées comme constituant, en toute hypothèse et pour toute personne, des données à caractère personnel », dans la mesure où la pseudonymisation « peut, selon les circonstances de l'espèce, effectivement empêcher des personnes autres que le responsable du traitement d'identifier la personne concernée » (pt 86). Pour Deloitte, cela suppose d'une part qu'elle ne soit pas en mesure de lever les mesures de pseudonymisation, d'autre part que ces mesures l'empêchent effectivement d'attribuer les commentaires à la personne concernée « également par le recours à d'autres moyens d'identification tels qu'un recoupement avec d'autres éléments » (pt 77). La Cour rattache ce raisonnement au critère Breyer du risque « en réalité insignifiant » (pt 82) et à l'arrêt Scania (pt 84). Mais elle ajoute deux correctifs que le texte du Conseil reprend l'un et l'autre : pour le responsable du traitement qui a procédé à la pseudonymisation, les données restent personnelles (pt 76 ; c'est le sens du paragraphe 1 de l'article 25a et du considérant 27b) ; et,aux fins de l'obligation d'information, « le caractère identifiable de la personne concernée doit être apprécié au moment de la collecte des données et du point de vue du responsable du traitement » (pt 111), de sorte que l'obligation s'appliquait « en amont du transfert des commentaires en cause et indépendamment de leur caractère personnel ou non, du point de vue de Deloitte » (pt 112). L'arrêt du Tribunal (T-557/20) est annulé et l'affaire lui est renvoyée.
Il ressort de cette comparaison que, si la définition est maintenue, l'approche relative entre dans le texte du règlement, mais dans un champ plus restreint que celui de la proposition de la Commission et que celui de la jurisprudence elle-même. L'article 25a ne vise que les données pseudonymisées, et non les données qui, sans avoir fait l'objet d'une pseudonymisation, ne permettent pas à leur détenteur d'identifier la personne (hypothèses des arrêts Breyer et Scania). Il ne bénéficie qu'aux « tiers » au sens de l'article 4, 10), c'est-à-dire ni au responsable du traitement, ni au sous-traitant, ni aux personnes placées sous leur autorité directe. Les situations qui n'entrent pas dans ce champ continueront de relever de l'interprétation jurisprudentielle de l'article 4, 1).
5. Conséquences pratiques pour les organisations
Responsable du traitement et sous-traitants. Les données pseudonymisées demeurent des données à caractère personnel entre leurs mains et restent soumises à l'ensemble du RGPD. Tel est déjà le droit positif depuis l'arrêt SRB ; le paragraphe 4 de l'article 25a exclut en outre expressément qu'un prestataire ne recevant qu'un jeu de données pseudonymisées puisse se soustraire à l'article 28.
Tiers destinataire. Un organisme de recherche, un cabinet d'audit, un partenaire commercial ou un fournisseur de modèle d'IA qui reçoit un jeu de données pseudonymisées sans la clé, sans accès aux informations supplémentaires et sans moyens raisonnables de recoupement pourra le traiter en dehors du champ du RGPD. Le texte subordonne cette solution à trois conditions cumulatives : une pseudonymisation effective, protégée par des mesures techniques et organisationnelles (§ 1) ; l'incapacité objective du tiers à identifier la personne, appréciée au regard de l'ensemble des moyens raisonnablement susceptibles d'être utilisés (§ 2 et 5), y compris les obligations et interdictions légales qui pèsent sur lui (consid. 27b) ; l'absence de transmission ultérieure à un acteur en mesure d'identifier la personne (§ 3).
Accords de partage de données. Le considérant 27b range les « interdictions légales applicables au tiers » parmi les facteurs objectifs d'appréciation. Une clause de non-réidentification, assortie d'une interdiction de recoupement et de retransmission, de mesures de sécurité et d'un droit d'audit, n'est pas une interdiction légale au sens strict, mais participe des mesures techniques et organisationnelles effectives exigées par le même considérant et par le paragraphe 1. Ces stipulations ne régissent donc plus seulement les obligations des parties : elles concourent à la qualification juridique des données transmises.
Obligation d'information. Conformément à l'arrêt SRB, sur lequel le mandat du Conseil ne revient pas, le responsable du traitement qui transmet des données pseudonymisées à un tiers doit en informer les personnes concernées au titre des articles 13 et 14, que les données présentent ou non un caractère personnel pour ce tiers. Il reste également tenu, pour la transmission elle-même, de disposer d'une base légale, de réaliser le cas échéant une analyse d'impact et d'encadrer le transfert si le tiers est établi en dehors de l'Union.
Charge de la preuve. Aux termes du considérant 27c, il appartient au responsable du traitement de « déterminer et démontrer » que la pseudonymisation empêche effectivement l'identification par le tiers. Cette démonstration suppose une analyse documentée du risque de réidentification, propre à chaque destinataire et tenant compte des informations que celui-ci détient ou peut obtenir. L'avis du CEPD attendu dans les six mois de l'entrée en vigueur en précisera les critères techniques sans en modifier la charge.
6. Points de vigilance
- Nature du texte. Le mandat du Conseil est une position de négociation. Le Parlement européen n'a pas voté en commission et l'orientation de ses rapporteures sur ce point n'est pas arrêtée. L'article 25a peut sortir des trilogues sous une forme différente, restreinte ou élargie.
- Droit applicable dans l'intervalle. Les conséquences de l'arrêt SRB peuvent être tirées dès à présent. À l'inverse, l'article 25a ne peut être invoqué avant son adoption : en cas de contrôle, c'est le raisonnement de la Cour, avec ses conditions, qui s'applique.
- Les autres volets du mandat. Le même document porte le délai de notification des violations de données à l'autorité de contrôle de 72 à 96 heures et en relève le seuil au « risque élevé » (art. 33 modifié), transfère la liste des cas de risque élevé au CEPD, maintient les règles relatives aux traceurs dans la directive ePrivacy en y ajoutant une liste fermée de finalités exemptées de consentement, et crée un régime encadré pour le traitement de données sensibles à l'occasion du développement de systèmes d'IA. Ces points feront l'objet d'analyses distinctes.
- Le renvoi à l'article 11. L'article 11 du RGPD, qui dispense déjà le responsable de conserver des informations supplémentaires aux seules fins d'identifier la personne concernée, n'est pas modifié. Son articulation avec l'article 25a - qui raisonne sur le tiers et non sur le responsable - devra être précisée par l'avis du CEPD.
FAQ - Omnibus numérique et notion de donnée à caractère personnel
Le Conseil modifie-t-il la définition de la donnée à caractère personnel du RGPD ?
Non. Le mandat de négociation adopté le 21 octobre 2026 supprime l'ajout à l'article 4, 1) que proposait la Commission. La définition reste celle du RGPD de 2016. Le Conseil insère en revanche un article 25a nouveau selon lequel les données pseudonymisées ne sont pas des données à caractère personnel pour un tiers qui n'est pas en mesure d'identifier la personne concernée.
Qu'est-ce que l'approche « relative » de la donnée à caractère personnel ?
C'est l'idée, dégagée par la Cour de justice de l'Union européenne depuis l'arrêt Breyer du 19 octobre 2016 (aff. C-582/14) et confirmée par les arrêts Scania du 9 novembre 2023 (aff. C-319/22) et CEPD-UE c/ CRU du 4 septembre 2025 (aff. C-413/23 P), que le caractère personnel d'une information s'apprécie au regard des moyens dont dispose raisonnablement l'entité qui la détient. Une même donnée peut être personnelle pour l'un et ne pas l'être pour l'autre.
Les données pseudonymisées sont-elles encore des données personnelles ?
Pour le responsable du traitement qui les a pseudonymisées et pour ses sous-traitants, toujours. Pour un tiers qui ne détient pas la clé, n'a pas accès aux informations supplémentaires et ne dispose d'aucun moyen raisonnable de recoupement, elles peuvent ne pas l'être : c'est ce que juge la CJUE dans l'arrêt SRB et ce que codifierait l'article 25a, § 2, du RGPD dans la version du Conseil.
Faut-il informer les personnes concernées d'une transmission de données pseudonymisées à un tiers ?
Oui. La CJUE a jugé dans l'affaire SRB que l'obligation d'information s'apprécie au moment de la collecte et du point de vue du responsable du traitement, pour lequel les données sont personnelles. Le mandat du Conseil ne revient pas sur ce point. Le tiers doit donc figurer parmi les destinataires mentionnés dans l'information délivrée au titre des articles 13 et 14.
Qui fixera les critères permettant de dire qu'un tiers ne peut pas identifier la personne ?
Dans la version du Conseil, le Comité européen de la protection des données, par un avis adopté selon l'article 64, § 2, du RGPD, sollicité dans les six mois de l'entrée en vigueur du règlement modificatif. La Commission proposait des actes d'exécution qu'elle aurait elle-même adoptés ; le Conseil les a supprimés.
Quand l'Omnibus numérique entrera-t-il en vigueur ?
Aucune date ne peut être avancée. Le Parlement européen n'a pas encore adopté sa position et les trilogues ne commenceront qu'ensuite ; le Conseil européen a toutefois demandé un accord sur les omnibus en cours avant la fin de l'année 2026. Dans l'intervalle, le RGPD de 2016 tel qu'interprété par la Cour de justice reste seul applicable.
