Que faut-il retenir du rapport d’information sénatorial sur l’Omnibus numérique européen, publié en mai dernier ?
Le Sénat refuse que l’équilibre trouvé par le RGPD entre la protection des citoyens et le développement de l’innovation soit sacrifié dans l’urgence au prétexte de favoriser l’intelligence artificielle. Si les mesures de "vraies simplifications" (modèle unique d’analyse d’impact, centralisation et uniformisation des procédures de notification de données, etc.) sont acceptables, les modifications touchant aux définitions ou principes structurants (notions de donnée personnelle ou de recherche scientifique, principe de limitation des finalités, etc.) sont rejetées.
Pourquoi la définition de la donnée privée est-elle menacée par la Commission européenne ?
La proposition est jugée "dangereuse", car l’assouplissement de la notion de données à caractère personnel pourrait amener les organismes à considérer les données comme non personnelles par défaut, affaiblissant ainsi toute la chaîne de responsabilité et laissant circuler des données personnelles (même sensibles) sans supervision légale adéquate.
Lire aussi : Digital Omnibus : quand simplifier exige de mieux prouver
Les registres des traitements sont-ils menacés ?
Oui, plus que jamais ! Le projet Omnibus IV 2025/0130(COD) vient de faire l’objet d’un accord entre les institutions de l’UE, avec une modification de l’article 30 du RGPD : les entreprises de moins de 1 000 salariés ayant un chiffre d’affaires annuel de moins de 200 millions d’euros ou moins de 129 millions d’actifs totaux seront dispensées de la tenue du registre, sauf pour les traitements à risque élevé pour les personnes concernées.
L’étude de CEDPO, dont l’AFCDP est vice-présidente, montre pourtant que 67 % des DPO sont opposés à cette mesure. Certes, l’exemption ne s’appliquera pas aux traitements à risque élevé, mais, pour les identifier, il faut réaliser une cartographie des traitements et donc un registre. Ce n’est pas un document administratif purement formel : c’est un outil de conformité essentiel. Les informations qu’il contient sont indispensables pour respecter les autres obligations du RGPD. Or, ces obligations continueront de s’appliquer à ces entreprises prétendument dispensées de tenue du registre. Il est donc faux de laisser penser qu’elles bénéficieront d’un allègement. Les DPO vont devoir faire œuvre de pédagogie pour faire comprendre une telle absurdité au sein de leurs organismes.
