Le RGPD a passé près de huit ans comme la loi sur la vie privée la plus citée au monde, mais une négociation rapide au sein du Conseil de l'UE pourrait discrètement réécrire ce qu'il protège réellement. Selon les informations sur les discussions en cours, les diplomates du Conseil de l'UE se rapprochent d'un accord sur un Omnibus numérique qui permettrait aux identifiants de suivi publicitaire d'échapper à la loi sur la protection des données pour certains sous-traitants, offrirait aux développeurs d'IA un raccourci sans consentement pour les données d'entraînement, et éliminerait un signal automatisé du navigateur conçu pour faciliter le refus du suivi pour les utilisateurs ordinaires. Pour les 450 millions de résidents de l'UE qui comptent sur le RGPD comme leur filet de sécurité juridique contre la collecte de données, les négociations de cette semaine comptent plus que la plupart des gens ne le réalisent.

Ce que l'accord Omnibus numérique change dans le RGPD

L'Omnibus numérique a été présenté comme un ensemble de simplification, un moyen de réduire les frictions réglementaires pour les entreprises naviguant dans des règles numériques européennes qui se chevauchent. Mais la version qui progresse actuellement au Conseil va plus loin qu'un simple nettoyage administratif. Selon les informations actuelles, l'accord créerait des exceptions permettant à certains sous-traitants de données de considérer les identifiants de suivi publicitaire comme hors du champ d'application du RGPD. C'est un changement significatif : les identifiants de suivi sont l'épine dorsale de la publicité comportementale, et les traiter comme exemptés de la loi sur la protection des données supprime une couche de surveillance qui s'applique depuis l'entrée en vigueur du RGPD. Les mêmes négociations devraient également donner à l'activité d'entraînement des IA un raccourci juridique qui ne nécessite pas le consentement de l'utilisateur, un autre principe fondamental du RGPD qui est restreint plutôt que renforcé.

Les chiffres d'application montrent pourquoi cette distinction est importante. Les amendes cumulées au titre du RGPD ont déjà dépassé les 4 milliards d'euros alors que les régulateurs du monde entier ont adopté des cadres de protection de la vie privée similaires. Ce bilan d'application existe parce que les règles de consentement et de traitement du RGPD ont donné aux régulateurs des violations claires sur lesquelles agir. Assouplir ces définitions n'affecte pas seulement les affaires futures, cela change ce qui constitue une violation en premier lieu.

Qui en bénéficie : les exemptions pour l'ad-tech et l'entraînement des IA

Les deux plus grandes exceptions dans l'accord rapporté pointent toutes deux dans la même direction : une friction réduite pour les entreprises qui monétisent les données personnelles à grande échelle. Les entreprises de technologie publicitaire poussent depuis des années contre les exigences de consentement qui ralentissent l'enchère en temps réel et le suivi inter-sites. Si les identifiants de suivi sont reclassés comme exemptés pour certains sous-traitants, les entreprises d'ad-tech gagnent un chemin juridique plus clair pour collecter et partager des identifiants sans les mêmes obligations de consentement qui s'appliquent actuellement.

Les développeurs d'IA ont un gain similaire. Un raccourci sans consentement pour les données d'entraînement répond à l'une des questions non résolues les plus controversées de la régulation de l'IA : savoir si les données personnelles extraites ou sous licence pour l'entraînement de modèles nécessitent la même norme de consentement que les autres traitements. Supprimer cette exigence permettrait aux entreprises d'IA d'entraîner sur les données des résidents de l'UE avec moins d'exposition juridique, même si les débats sur la transparence de l'IA et la provenance des données se poursuivent ailleurs à Bruxelles.

Aucune de ces exemptions n'élimine complètement le RGPD. Mais elles réduisent sa portée précisément dans les deux domaines où la collecte de données personnelles s'est développée le plus rapidement ces dernières années.

Le signal de navigateur abandonné et ce qu'il signifiait pour les refus

Le détail peut-être le plus important de l'accord rapporté est le plus petit : la suppression d'un signal automatisé du navigateur destiné à permettre aux utilisateurs d'enregistrer des refus de suivi sans cliquer sur les bannières de consentement sur chaque site qu'ils visitent. Des signaux comme celui-ci visent à déplacer le fardeau de la gestion de la vie privée des utilisateurs individuels vers les paramètres par défaut du navigateur, afin qu'un seul réglage puisse communiquer la préférence d'une personne sur tout le web. Supprimer ce mécanisme du paquet Omnibus numérique signifie que les utilisateurs perdent un moyen standardisé et peu contraignant de dire non au suivi, et sont repoussés vers la gestion manuelle des fenêtres de consentement site par site, un processus que la plupart des gens traversent sans lire.

Ce que cela signifie pour vous

Si cet accord progresse comme rapporté, les résidents de l'UE ne perdront pas le RGPD du jour au lendemain, mais ils perdront certaines de ses dents pratiques précisément dans les domaines où le suivi est le plus omniprésent : la publicité et l'IA. Sans signal de refus au niveau du navigateur, la responsabilité de limiter le suivi se déplace davantage vers les individus plutôt que vers des outils automatisés. Cela rend les habitudes personnelles en matière de vie privée plus importantes, pas moins. Ajuster les paramètres de confidentialité du navigateur, limiter les cookies tiers et utiliser un VPN pour masquer votre adresse IP et votre localisation aux réseaux publicitaires ne remplaceront pas ce qu'un cadre réglementaire solide fournit, mais ils ajoutent une couche de contrôle qui ne dépend pas de la façon dont une négociation bruxelloise se termine cette semaine.

Points clés à retenir

Surveillez comment cette négociation au Conseil se résout, car le libellé final sur les exemptions d'identifiants de suivi et les raccourcis de consentement pour l'IA pourrait encore changer avant l'adoption. En attendant, n'attendez pas que la réglementation rattrape son retard : examinez les paramètres de protection contre le suivi de votre navigateur, limitez les sites qui peuvent définir des identifiants publicitaires, et envisagez un VPN comme moyen pratique de réduire l'exposition au suivi inter-sites, quelle que soit l'évolution de la portée du RGPD. Étant donné que l'application du RGPD a déjà produit des milliards d'amendes, la valeur fondamentale de la loi a été prouvée, ce qui est exactement pourquoi les décisions du Conseil de cette semaine sur l'Omnibus numérique méritent l'attention du public.