Digital Omnibus : quand simplifier exige de mieux prouver

 RETROUVEZ CET ARTICLE ET PLUS ENCORE DANS NOTRE MAGAZINE : IA : les nouveaux défis de l’édition scientifique

 Découvrez Le Brief de l'IT, la newsletter thématique gratuite d'Archimag dédiée aux professionnels des data, de l'IT, de la digitalisation et de la transformation numérique !

Pour les organisations, la logique change : définitions contextuelles, outils communs et moins de prescriptions parallèles. En contrepartie, démontrer sa conformité devient plus exigeant, dans un contexte où la Cour de justice de l’Union européenne (CJUE) maintient une lecture stricte de l’effectivité des droits. Le Digital Omnibus peut être une opportunité si l’on traite la simplification non comme un allègement administratif, mais comme un véritable chantier de gouvernance.

Trois axes pour réduire la fragmentation

Le projet de Digital Omnibus s’articule autour de trois piliers pour limiter les doublons normatifs tout en renforçant les exigences de démonstration :

• le premier axe regroupe, dans un cadre arrimé au Data Act, les règles aujourd’hui dispersées sur l’accès et la réutilisation des données. Il unifie les définitions, facilite l’articulation des régimes et encadre la réutilisation de données publiques, ainsi que certains usages de données détenues par le secteur privé,
• le deuxième axe ajuste plusieurs zones du RGPD (identifiabilité, données de santé, recherche), harmonise des méthodologies et intègre partiellement des règles proches d’ePrivacy, notamment pour les terminaux et le consentement, tout en aménageant le régime des décisions automatisées et de certains traitements pertinents pour l’intelligence artificielle (IA),
• le troisième axe prépare un guichet unique européen pour la notification d’incidents relevant de plusieurs régimes (RGPD, NIS 2, DORA, CER), dans une logique de "report once". 

Dans chacun de ces axes, la mécanique est identique : réduire les chevauchements, mais renforcer les exigences de preuve. Les organisations devront disposer de registres à jour, de critères documentés, de logs exploitables, de chronologies fiables et de décisions tracées.

Lire aussi : RGPD, AI Act, Data Act : l’Europe consulte sur la simplification des règlements numériques

Axe 1 - réutilisation des données : inventaires et métadonnées deviennent indispensables

Le premier axe prévoit de regrouper au sein du Data Act les règles aujourd’hui portées par l’Open Data Directive, le Data Governance Act et la Free Flow of Non-Personal Data Regulation, appelées à être abrogées.

Cette recomposition vise un accès mieux organisé et une réutilisation encadrée des données publiques (y compris celles soumises à restrictions : confidentialité, secret des affaires, droits de tiers), ainsi que certaines données détenues par le secteur privé, tout en conservant des exigences fortes d’environnements sécurisés. 

Concrètement, la conformité ne repose plus seulement sur des clauses contractuelles, mais sur des dispositifs de gouvernance tangibles : inventaires tenus à jour, catalogues enrichis, schémas de métadonnées détaillant provenance, finalité et restrictions d’usage, règles d’accès documentées, traçabilité effective des réutilisations. Les organisations déjà structurées autour d’une classification robuste absorberont cette évolution sans surcharge majeure. Pour les autres, il faudra combler un déficit d’inventaire avant de pouvoir tirer pleinement parti de l’ouverture annoncée.

Axe 2 - ajustements RGPD et ePrivacy : plus de souplesse, plus de responsabilité probatoire

Le deuxième axe clarifie plusieurs zones qui alimentaient depuis des années les divergences d’interprétation : identifiabilité, périmètre des données de santé, traitements de recherche. Il propose des méthodologies et rapproche certaines règles proches d’ePrivacy du RGPD pour réduire les doublons, notamment sur les terminaux et le consentement, avec des mécanismes plus lisibles pour l’utilisateur. 

Le point décisif réside dans l’approche de l’identifiabilité : une information n’est qualifiée de "personnelle" qu’au regard de l’acteur qui la traite et de ses moyens raisonnablement susceptibles d’être mis en œuvre pour identifier une personne, ce qui rapproche le texte de certaines décisions récentes. Cette approche offre une réelle souplesse, mais la qualification des données devient un exercice probatoire permanent : elle doit être justifiée par des critères documentés et des revues périodiques lorsqu’un jeu de données n’est plus considéré comme personnel. 

Sur les terminaux et le consentement, le texte tend à simplifier les règles tout en demandant de prouver la cohérence entre préférences recueillies et paramètres effectifs, de versionner les interfaces de recueil, de maintenir des logs exploitables pour reconstituer précisément qui a consenti à quoi, quand et pour quelle finalité. 

La même logique s’applique à l’intelligence artificielle : constituer par cas d’usage un dossier complet, articulé avec les exigences du futur AI Act.

Axe 3 - guichet unique d’incidents : simplifier la déclaration externe exige d’unifier la gestion interne

Le troisième axe prépare un guichet unique européen destiné à centraliser la notification des incidents relevant simultanément de plusieurs régimes, afin d’éviter les déclarations multiples. Le gain attendu est réel : meilleure coordination entre régulateurs et vision consolidée des incidents majeurs au niveau européen. Mais cette simplification ne peut exister que si l’organisation a préalablement unifié sa chaîne interne de gestion d’incidents.

Cela suppose une taxonomie partagée entre équipes, une chronologie fiable et horodatée, une coordination effective entre RSSI, DPO, direction juridique et métiers, ainsi qu’une conservation probatoire des traces permettant de reconstituer rapidement les faits. Les organisations déjà dotées d’un système de management de la sécurité de l’information (ISO 27001) et d’une gestion d’incidents structurée (ISO 27035) disposent généralement de ces mécanismes. Pour les autres, le guichet unique risque de rendre visibles les incohérences internes ; sans discipline documentaire préalable, la simplification restera largement inopérante.

Lire aussi : L’Europe des données : tour d’horizon réglementaire en 2025

Trois chantiers prioritaires pour anticiper

Si le texte n’est pas encore stabilisé, la trajectoire est claire : la simplification s’accompagne d’une exigence accrue de capacité à démontrer. Trois chantiers peuvent être engagés dès maintenant, sans attendre la version finale du Digital Omnibus : 

• 1er chantier : cartographier les impacts documentaires.

Il s’agit de construire une matrice de conformité probatoire croisant obligations réglementaires, processus internes, responsables identifiés et preuves à constituer, afin de repérer les zones de vulnérabilité documentaire avant tout contrôle. Cette démarche doit mobiliser en transversal DPO, RSSI, data office, records manager et métiers concernés. 

• 2e chantier : stabiliser un socle probatoire réutilisable.

Il convient d’industrialiser la production des documents mutualisables entre régimes (RGPD, NIS 2, AI Act, DORA) en veillant à ce qu’ils soient véritablement opposables : leur qualité et leur lien avec des traces factuelles conditionnent la crédibilité lors d’un contrôle. La clé consiste à penser ces documents comme des objets de preuve vivants actualisables en continu. 

• 3e chantier : faire converger data, cybersécurité et records management.

Il est essentiel d’établir un langage commun entre DPO, RSSI, data office et gouvernance de l’information, car cette convergence conditionne l’efficacité du guichet unique et la capacité à produire un récit cohérent face à une autorité. Les champs de convergence prioritaires incluent les schémas de classification des données, les règles d’accès communes, les durées de conservation alignées, les exigences de traçabilité et la procédure unifiée de gestion d’incidents.

Que retenir ?

Si le projet de Digital Omnibus simplifie la carte réglementaire à moyen terme, il renforce simultanément l’exigence pesant sur les organisations : produire rapidement des éléments probants pertinents, cohérents entre directions, étayés par des traces fiables, lorsque l’autorité, le client ou le juge le demande.

Paul-Olivier Gibert
[Membre administrateur de l’AFCDP et fondateur de POG Consulting]