Le « Digital Omnibus » de l’UE : ce que les modifications proposées au RGPD pourraient signifier pour les entreprises canadiennes

Le 19/11/2025, la Commission européenne a proposé un paquet « Digital Omnibus » visant à simplifier les règles numériques de l’UE, y compris des modifications ciblées du Règlement général sur la protection des données (RGPD). Les changements au RGPD figurent dans la proposition COM(2025) 837. Il est important d’être clair dès le départ : il s’agit d’une proposition, pas d’une loi. Elle doit encore être négociée et adoptée par le Parlement européen et le Conseil, et son contenu peut évoluer de manière significative.

Pourquoi une entreprise canadienne devrait-elle s’en préoccuper ? Parce que le RGPD s’applique à de nombreuses organisations canadiennes qui offrent des biens ou des services à des personnes dans l’UE ou qui surveillent leur comportement (RGPD, art. 3), et parce que les règles de l’UE influencent ce que les clients et partenaires européens exigent de leurs fournisseurs canadiens.

Les principales modifications proposées au RGPD

D’après les analyses de cabinets d’avocats sur la proposition, comme White & Case, les principaux éléments comprennent :

Une définition plus étroite des données à caractère personnel, relative à l’entité

Une information ne serait pas une donnée à caractère personnel pour une entité donnée si cette entité ne peut pas identifier la personne, compte tenu des moyens raisonnablement susceptibles d’être utilisés. La Commission serait également habilitée à préciser à quel moment des données pseudonymisées cessent d’être des données à caractère personnel pour certains destinataires.

Intérêt légitime pour l’IA

Les responsables du traitement pourraient se fonder sur l’intérêt légitime pour traiter des données à caractère personnel aux fins du développement et de l’exploitation de systèmes d’IA, sous réserve de garanties et d’un test de mise en balance.

Modifications relatives à la notification des violations

La notification aux autorités de contrôle ne serait requise que lorsqu’une violation est susceptible d’entraîner un risque élevé, le délai passerait de 72 à 96 heures, et un point d’entrée unique pour la déclaration des incidents serait créé.

Listes harmonisées d’AIPD

Le Comité européen de la protection des données établirait des listes à l’échelle de l’UE des traitements qui nécessitent ou non une analyse d’impact relative à la protection des données.

Demandes d’accès abusives

Les responsables du traitement disposeraient d’un fondement explicite pour refuser, ou facturer, les demandes d’accès utilisées à des fins sans lien avec la protection des données.

Le paquet aborde également les règles ePrivacy relatives aux cookies et aux équipements terminaux, que le CEPD et le SEPD ont examinées parallèlement aux modifications du RGPD (CEPD).

Réactions des régulateurs

Dans un avis conjoint annoncé le 11/02/2026, le CEPD et le Contrôleur européen de la protection des données ont indiqué soutenir la simplification, mais « exhortent vivement » les colégislateurs à ne pas adopter les modifications proposées à la définition des données à caractère personnel, qu’ils estiment réduire considérablement la portée du concept. Ils se sont également opposés à ce que la Commission décide, par acte d’exécution, du moment où des données pseudonymisées cessent d’être des données à caractère personnel (CEPD, 11/02/2026). Cette opposition rend probable que le texte final diffère de la proposition.

Ce que cela pourrait signifier pour les entreprises canadiennes

• Ne modifiez pas encore votre conformité. Tant qu’un règlement final n’est pas adopté et entré en vigueur, le RGPD actuel s’applique intégralement. Cela inclut le délai de notification des violations de 72 heures.
• Attendez-vous à un écart avec le Québec et le Canada. La Loi 25 a ses propres définitions et ses propres règles en matière d’incidents. Même si l’UE relève son seuil de notification, les entreprises québécoises doivent toujours déclarer à la CAI les incidents présentant un risque de préjudice sérieux et tenir un registre de tous les incidents (art. 3.5 et 3.8).
• Les projets d’IA pourraient bénéficier de plus de marge de manœuvre dans l’UE. Si la clarification sur l’intérêt légitime est maintenue, les partenaires de l’UE pourraient être plus enclins à partager des données pour le développement de l’IA, mais les règles canadiennes et québécoises sur le consentement, la transparence et les décisions automatisées continueront de s’appliquer de ce côté-ci.
• Surveillez vos contrats. Les clients européens imposent souvent à leurs fournisseurs canadiens des clauses de traitement des données fondées sur le RGPD. Les changements de délais de notification ou de définitions pourraient finir par se refléter dans ces accords.
• Maintenez une base solide unique. Les organisations qui opèrent dans plusieurs juridictions s’en sortent généralement mieux avec un programme unique conçu selon l’exigence applicable la plus stricte, assorti d’adaptations locales, qu’avec des programmes distincts.

Ce qu’il faut surveiller ensuite

Suivez les positions du Parlement européen et du Conseil, ainsi que toute évolution de la définition des données à caractère personnel, qui est l’élément le plus contesté. Nous mettrons à jour cette analyse si la proposition est adoptée.

KW Consulting aide les organisations canadiennes à regrouper les obligations du RGPD, de la Loi 25 et de la LPRPDE au sein d’un seul programme. Consultez nos pages RGPD, Loi 25 et LPRPDE, découvrez KW Consulting ou contactez-nous.

Sources

• Règlement général sur la protection des données (UE) 2016/679
• White & Case – RGPD en révision : principaux enseignements de la proposition de règlement Digital Omnibus
• CEPD – Digital Omnibus : le CEPD et le SEPD soutiennent la simplification tout en soulevant des préoccupations clés (11/02/2026)
• Loi sur la protection des renseignements personnels dans le secteur privé