DIGITAL OMNIBUS : Levier de clarification ou faux nez bureaucratique ?

Les cinq dernières années ont vu un foisonnement de réglementations numériques UE (RGPD, DATA ACT, DMA, DSA, AI ACT, etc.), des chefs d’oeuvre normatifs sans doute, mais à l’origine d’un chaos certain pour les PME avec des obligations redondantes, des couts élevés et des définitions ambiguës. Le rapport Draghi ne manquait pas de rappeler que cette fragmentation réglementaire entravait la compétitivité européenne et l’innovation.

Le Digital Omnibus, proposé par la Commission européenne le 19 novembre, vise précisément à simplifier ce paysage en apportant des amendements techniques aux fins de consolider certains textes, clarifier les définitions clés et réduire les chevauchements.

Si sur le papier, cette initiative est à saluer, ne serait-ce que pour stimuler la compétitivité, structurer la réponse normative tout en maintenant les protections essentielles en terme de droits fondamentaux, elle ne manque pas de susciter des critiques acerbes sur la crainte d’une dérégulation déguisée au profit des monopoles technologiques.

L’objectif est donc louable. Il s’inscrit dans une volonté, face à la pression concurrentielle mondiale (Etats-Unis, Chine) et à l’influence des lobbys, de répondre à des plaintes récurrentes notamment sur la fatigue du consentement et des doublons réglementaires, tout en anticipant les besoins de l’IA et de la cybersécurité.

Mais à vouloir automatiser la conformité et réduire les frictions afin de stimuler la compétitivité, et rationaliser le cadre européen de protection des données, dans le sillage d'une politique de « Better regulation » menée par la Commission européenne… Ne va-t-on pas vers une conformité d’apparence, déconnectée de la réalité des contextes, et vers une évacuation du rôle critique des autorités de contrôle et du juge ?

En effet, cette rationalisation ne doit pas déconnecter la conformité de la réalité des contextes. Comme le rappelle le psychologue Kannmann dans son ouvrage « Le Bruit », toute décision, quelle soit humaine ou algorithmique, comporte une variabilité intrinsèque. Sous couvert de fluidifier les processus, d’alléger la charge règlementaire, le risque est de voir la simplification devenir un faux nez bureaucratique qui ne compense en rien le retard européen en matière de R&D technologique.  Chercher à la supprimer totalement reviendrait à sacrifier la contextualisation et la proportionnalité des traitements.

La vraie question n’est pas comment simplifier, mais pourquoi continuons-nous à normer là où il faudrait investir ?

La simplification sans ambition, c’est de l’abdication. La norme à elle seule, n’a jamais réussi à faire émerger des champions européens. De surcroit, à opposer systématiquement régulation et innovation, c’est peut-être faire le jeu d’autres acteurs dont l’avance technologique n’est plus rattrapable, en renonçant au passage à nos valeurs, et un texte qu’il suffit peut-être de remettre à l’endroit. Le RGPD reste en effet avant tout un droit d’interprétation, pas un droit à la conformité automatique, dont seuls quelques acteurs pourront bénéficier in fine.

Derrière toutes ces promesses de simplification, plusieurs propositions méritent une attention particulière :

I. Donnée personnelle : une définition restreinte par une approche subjective

Notion centrale du RGPD, la « donnée à caractère personnel » se comprend désormais sous le prisme d'une approche subjective. Jusqu’à présent définie comme  « toute information se rapportant à une personne physique identifiée ou identifiable », l’UE entend désormais apprécier la notion selon les moyens dont dispose le responsable de traitement pour l'identifier. Plus précisément, les informations relatives à une personne physique ne constituent pas nécessairement des données personnelles pour une autre lorsque celle-ci ne peut identifier la personne physique à laquelle les informations se rapportent, compte tenu des moyens raisonnablement susceptibles d'être utilisés. Une nouvelle lecture qui devrait par conséquent faciliter le traitement de certaines données, à condition d’introduire des grilles d’appréciation et lignes directrices suffisamment éclairées.

II. Incident cyber : vers un guichet unique de déclarations

La proposition de réforme prévoit de simplifier la notification des incidents de cybersécurité en créant un guichet unique européen, centralisant les déclarations aux autorités nationales et renforçant la coordination transfrontalière. La notification des violations de données personnelles ne serait ainsi plus limitée à 72 heures après la découverte de l'incident, mais portée à 96 heures, offrant ainsi un délai plus réaliste pour l’analyse et la transmission des informations.

III. IA et données personnelles : présomption d’opt-in sous couvert d'intérêt légitime

Point incontournable du texte, l’article 3 (15) ajoute au RGPD un article 88(c), lequel permet le recours à la base légale de l’intérêt légitime lorsque le traitement des données à caractère personnel est nécessaire aux fins des intérêts du responsable du traitement dans le cadre du développement et de l'exploitation d'un système ou d'un modèle d’IA, sauf lorsque les intérêts, droits et libertés fondamentaux des personnes concernées prévalent sur ses propres intérêts, en particulier lorsque la personne concernée est un enfant. 

Tout traitement de ce type est soumis à des mesures organisationnelles et techniques appropriées et à des garanties pour les droits et libertés de la personne concernée, de manière à garantir la minimisation des données lors de la phase de sélection des sources et du test d’un système d’IA, à protéger, à garantir une transparence accrue pour les personnes concernées et à fournir aux personnes un moyen clair de s'opposer au traitement de leurs données à caractère personnel. Un recours facilité à l’intérêt légitime donc, avec une présomption d’opt-in généralisée et des mécanismes d’opt-out à garantir.

De surcroit, l’article 9 du RGPD est modifié afin de permettre le traitement de données sensibles dans le cadre du développement et de l'exploitation d'un système d’IA, à condition de mettre en place les mesures organisationnelles et techniques appropriées.

IV. Cookies : une gestion simplifiée du consentement

Si l'utilisateur devait jusqu’ici exprimer ses choix en matière de cookies pour chaque site internet qu’il consulte, l’octroi (ou non) de son consentement pourrait désormais être donné une seule fois, de manière centralisée via son navigateur web. Initialement encadré par deux textes distincts, la directive e-Privacy et le RGPD, le traitement de données personnelles dans le cadre du recours au cookies et autres traceurs devrait dorénavant se limiter au Règlement. Parmi les modifications proposées, l’ajout de certains cas dans lesquels il ne devrait pas être nécessaire d'obtenir le consentement de l'utilisateur, et où le traitement ultérieur devrait être considéré comme licite, en particulier lorsqu'il présente un faible risque pour les droits et libertés des personnes concernées ou lorsque la mise en place de ces technologies est nécessaire à la fourniture d’un service demandé par la personne concernée. Si cette proposition venait à être maintenue, l’avenir des bannières de consentement serait dès lors plus qu’incertain.

 Quel calendrier ?

Présentés le 19 novembre dernier par la Commission européenne, le paquet Digital Omnibus doit désormais être examiné et approuvé par le Parlement européen et le Conseil.

 Une formidable opportunité d’adapter sa conformité multi-règlementaire

La directive OMNIBUS n’est pas seulement un enjeu de conformité. C’est aussi un levier stratégique incontournable pour renforcer votre compétitivité, dans un environnement numérique de plus en plus automatisé. Le cabinet ALTIJ, vous accompagne afin de repenser et adapter votre conformité dans un environnement règlementaire en constante mutation : 

• adaptation de votre registre des traitements, revue des bases légales,
• refonte de votre documentation de conformité,
• réalisation d’analyses d’impact adaptées,
• déploiement conforme de l’IA au sein de votre entité…

La simplification doit :

• Structurer le jugement
• Renforcer l’argumentation juridique et 
• Maintenir le juge et les autorités de contrôle au cœur du dispositif.