Data Omnibus : où en sont les simplifications du RGPD, de NIS2 et de DORA pour les PME

Le 19 novembre 2025, la Commission européenne a présenté le Digital Omnibus, un ensemble de propositions destinées à simplifier la réglementation numérique de l'Union. Le paquet s'est scindé en deux dossiers. Le premier, consacré à l'intelligence artificielle, a été adopté à l'été 2026 sous la forme du règlement (UE) 2026/1744. Le second, souvent appelé Data Omnibus, touche au RGPD, à la directive ePrivacy, à la directive NIS2 et au règlement DORA. Il est toujours en négociation.

Cet article fait le point sur ce que ce volet données propose, sur ce qui a été conservé ou retiré dans les discussions, et sur ce qu'une PME a intérêt à suivre. L'objet n'est pas une liste d'actions, puisqu'il n'y en a pas encore, mais une lecture d'un dossier qui bouge et sur lequel une information erronée coûterait plus cher qu'un silence.

État du dossier au 14 septembre 2026

Le volet IA est acquis et publié. Le volet données, lui, n'est pas adopté. Les colégislateurs, Parlement et Conseil, examinent encore le texte. Une adoption est espérée fin 2026 au plus tôt, la première application de dispositions concrètes n'interviendrait pas avant fin 2027, et le déploiement complet pourrait s'étaler au-delà. Tant qu'un texte définitif n'est pas publié au Journal officiel, tout ce qui suit reste une proposition susceptible de changer. Les points signalés comme retirés du texte du Conseil peuvent revenir, et les points présents peuvent disparaître. C'est la raison pour laquelle cet article est daté : il décrit l'état du dossier à la mi-septembre 2026, pas un droit en vigueur.

Ce que vise le Data Omnibus

La Commission présente ce volet comme une mesure de simplification et de compétitivité, avec une économie annoncée pouvant atteindre 5 milliards d'euros d'ici 2029. L'idée directrice est de réduire les redondances entre textes qui se sont empilés, en particulier sur trois terrains : les analyses d'impact relatives à la protection des données, le consentement des personnes, et la notification des incidents. Ces trois terrains sont ceux qui concernent le plus directement une PME, parce qu'ils correspondent à des obligations qu'elle applique déjà au titre du RGPD, de NIS2 ou de DORA.

La liste européenne unique des AIPD

Aujourd'hui, l'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD) pour les traitements susceptibles d'engendrer un risque élevé. Chaque autorité nationale publie sa propre liste des traitements qui exigent une AIPD et, parfois, de ceux qui en sont dispensés. Une entreprise active dans plusieurs États membres doit donc composer avec des listes différentes.

La proposition confie au Comité européen de la protection des données (CEPD) la préparation d'une liste unique, à l'échelle de l'Union, des types de traitements qui requièrent une AIPD et de ceux qui n'en requièrent pas. Cette liste serait adoptée formellement par la Commission et remplacerait les listes nationales. Elle s'accompagnerait d'un modèle commun et d'une méthodologie partagée, avec un réexamen prévu au moins tous les trois ans.

Pour une PME, l'intérêt est la lisibilité. Une liste unique, un modèle commun, c'est une question en moins sur le périmètre exact de l'obligation. L'obligation d'analyse elle-même ne disparaît pas ; c'est le cadre de référence qui s'uniformise.

La refonte du consentement

C'est la partie la plus discutée, et celle sur laquelle le texte a le plus bougé. La proposition initiale déplaçait les règles de consentement aux cookies et traceurs de la directive ePrivacy vers de nouveaux articles du RGPD (un article 88 bis, un article 88 ter). Elle prévoyait plusieurs mesures destinées à alléger la fatigue du consentement : un refus en un clic aussi simple que l'acceptation, un délai pendant lequel un site ne pourrait pas redemander le consentement pour la même finalité après un refus, et la reconnaissance de signaux de préférence lisibles par machine, émis par le navigateur, le système d'exploitation ou un portefeuille numérique, que les sites devraient lire et respecter. La proposition élargissait aussi les cas de stockage d'informations sans consentement, pour des finalités techniques ou de mesure d'audience à faible risque.

Le texte examiné par le Conseil a retiré plusieurs de ces mesures phares. Le refus en un clic et le moratoire de six mois sur une nouvelle demande de consentement ont été écartés, les États membres ne parvenant pas à s'accorder. Le déplacement même des règles de cookies depuis ePrivacy vers l'article 88 bis du RGPD reste contesté. C'est le cœur de la distinction entre l'annonce et le droit : la version communiquée en novembre 2025 et la version discutée au Conseil ne portent pas les mêmes obligations sur le consentement. Une PME qui aurait anticipé un mécanisme de refus en un clic sur la foi des premières annonces se préparerait à une règle qui n'est, à ce stade, pas dans le texte de travail.

La notification d'incident consolidée

Une même violation de données peut aujourd'hui déclencher plusieurs notifications à des autorités différentes, dans des délais et des formats distincts, au titre du RGPD, de NIS2, de DORA ou d'autres textes. La proposition cherche à réduire cette charge sur trois points.

D'abord, le seuil de notification au titre de l'article 33 du RGPD serait relevé. La notification à l'autorité ne serait requise que pour les violations présentant un risque élevé pour les droits et libertés des personnes, là où le texte actuel vise tout risque non négligeable. Ensuite, le délai passerait de 72 heures à 96 heures. Enfin, un point d'entrée unique serait mis en place pour les notifications relevant du RGPD, de NIS2, de DORA et d'eIDAS, avec un modèle standardisé préparé par le CEPD, sur le principe du signalement unique qui est ensuite partagé avec les autorités concernées. Ce portail serait opérationnel dans un délai indicatif de dix-huit mois après l'entrée en vigueur.

Une nuance mérite d'être posée précisément, car elle est souvent mal rapportée. Le point d'entrée unique est un guichet de dépôt, pas un changement d'autorité compétente. Pour NIS2, les entreprises continueraient de notifier leurs incidents à leurs autorités nationales compétentes ; l'ENISA reçoit un rôle de coordination et de vue d'ensemble, pas celui de destinataire unique. Le guichet route l'information ; il ne remplace pas les autorités.

Ce qui est acquis et ce qui ne l'est pas

Le tableau suivant résume l'état du dossier à la date de cet article. Il distingue le volet déjà adopté du volet en négociation, et signale les mesures retirées du texte de travail du Conseil.

Élément	Statut à la mi-septembre 2026
Volet IA (règlement 2026/1744)	Adopté et publié
Liste européenne unique des AIPD	En négociation
Point d'entrée unique de notification	En négociation
Seuil de notification relevé au risque élevé (RGPD art. 33)	En négociation
Délai de notification porté à 96 heures	En négociation
Refus du consentement en un clic	Retiré du texte du Conseil
Moratoire de six mois après un refus	Retiré du texte du Conseil
Déplacement des règles cookies vers l'art. 88 bis	Contesté

Ce tableau vaut pour une date. Un dossier en négociation évolue, et la seule manière de le suivre est de vérifier périodiquement l'avancée réelle, sans se fier à la première communication.

Ce qu'une PME doit surveiller

À la date de publication de cet article, il n'y a rien à mettre en œuvre au titre du Data Omnibus. Les obligations du RGPD, de NIS2 et de DORA restent celles en vigueur. Anticiper sur des dispositions non adoptées, en particulier sur le consentement, ferait courir le risque de bâtir un dispositif sur une règle qui peut ne jamais entrer dans le texte final.

Trois éléments méritent une veille. D'abord l'avancée de la négociation entre le Parlement et le Conseil, et la question de savoir si les mesures sur le consentement reviennent ou restent écartées. Ensuite le périmètre définitif du point d'entrée unique de notification, qui déterminera si une PME soumise à plusieurs régimes signalera réellement une seule fois. Enfin le calendrier d'application, car même une adoption fin 2026 laisserait plusieurs années avant que les dispositions ne s'appliquent.

Rattacher la veille réglementaire à la gouvernance

Suivre un dossier législatif encore ouvert relève d'une pratique de gouvernance, pas d'un chantier de mise en conformité. Dans le NIST CSF 2.0, comprendre l'environnement de l'organisation et les exigences légales et réglementaires qui la concernent correspond à la catégorie GV.OC (contexte organisationnel). Concrètement, cela consiste à tenir un inventaire des textes applicables et des textes en préparation, à noter pour chacun son stade et sa date probable d'effet, et à réévaluer périodiquement lesquels basculent d'une veille à une obligation. Un dossier comme le Data Omnibus illustre l'intérêt de distinguer, dans cet inventaire, ce qui est adopté de ce qui est encore proposé.

L'évaluation Komplyo mesure la maturité de la fonction GOVERN, dont la catégorie GV.OC, et le registre des risques généré peut accueillir les échéances réglementaires à surveiller au même titre que les autres scénarios. Le diagnostic gratuit (23 questions, environ 5 minutes) donne un premier état de la fonction GOVERN. Pour les textes déjà en vigueur qui, eux, appellent des actions, voir nos guides NIS2 pour les PME, DORA et les sous-traitants et la notification d'incident sous RGPD, NIS2 et CRA.