RGPD : DIGITAL OMNIBUS

Omnibus numérique européen : un risque pour la
protection des droits numériques des citoyens et les droits fondamentaux de l’UE

Rapport d’Information de la Commission des affaires européennes du Sénat

Rapporteurs

Catherine MORIN-DESAILLY

Karine DANIEL, Sénatrices

Eléonore Scaramozzino, Avocate, Constellation Avocats

Cette proposition fait partie du train de mesures législatives dit « omnibus VII », qui s’inscrit dans le cadre du programme de simplification de l’UE. Le train de mesures comprend deux propositions de règlement visant à simplifier le cadre législatif numérique de l’UE et la mise en œuvre des règles harmonisées concernant l’IA.

Le rapport paru le 13 mai dernier a adopté une approche très critique du DIGITAL OMNIBUS : AI, compte tenu des des risques soulevés par ces technologies notamment pour la compétitivité des entreprises européennes, mais aussi pour l’efficacité des services publics, la sécurité et le bien-être de nos sociétés.

Compte tenu que le Parlement et le Conseil de l’UE sont parvenus à un accord, le 7 mai dernier sur une proposition visant à rationaliser certaines règles concernant l’intelligence artificielle (IA).cette partie du rapport ne sera pas examinée.

VOLET IA

Résumé de la Position du Sénat sur l’IA dans le train de mesures législatives dit Omnibus VII : Commission des affaires européenne

Les rapporteurs considère que l’IA ne doit en aucun cas amoindrir la protection des droits fondamentaux, y compris le haut niveau de protection des données à caractère personnel dont les Européens jouissent actuellement. Selon elles, ces technologies doivent être au service des personnes et soumises aux valeurs, principes et droits fondamentaux de l’Union européenne. Elles déplorent que la proposition se limite à une seule simplification, sans étude d’impact et regrettent le timing contraignant, qui n’a pas permis la pleine association de toutes les parties prenantes et des Etats Membres. Les sénatrices considèrent que le DIGITAL OMNIBUS (AI) n’a pas été l’occasion:

• de clarifier du régime juridique du droit d’auteur en matière d’IA, alors que les juridictions commencent à se prononcer sur des cas d’espèce et que des solutions juridiques ont été identifiées pour veiller à la rémunération des contenus culturels utilisés par les systèmes d’IA, en particulier la proposition de loi relative à l’instauration d’une présomption d’utilisation des contenus culturels par les fournisseurs d’intelligence artificielle, adoptée par le Sénat le 8 avril 2026 ;
• d’assurer une meilleure prise en compte de l’empreinte environnementale de l’IA, notamment eu égard à l’utilisation importante qu’elle entraine en termes d’eau et de matière premières.

Elles invitent la Commission européenne à envisager d’assortir les obligations déclaratives existantes en matière de consommation énergétique d’obligations en termes d’objectifs de réduction de ces consommations, ainsi qu’à envisager de futures obligations déclaratives en matière environnementale pour l’ensemble du cycle de vie des systèmes d’IA applicable aux grands fournisseurs d’IA

Le Parlement et le Conseil de l’UE sont parvenus à un accord politique sur le texte.

Pour rappel, l’accord provisoire :

• Ajoute de nouvelle disposition au règlement sur l’IA, interdisant les pratiques en matière d’IA qui génèrent des contenus sexuels et intimes non consentis ou du matériel relatif à des abus sexuels sur enfants.
• fixe un calendrier pour l’application différée des règles relatives aux systèmes d’IA à haut risque: les nouvelles dates d’application seraient le 2 décembre 2027 pour les systèmes d’IA à haut risque autonomes et le 2 août 2028 pour les systèmes d’IA à haut risque intégrés dans des produits.
• rétablit l’obligation, pour les fournisseurs, d’enregistrer les systèmes d’IA dans la base de données de l’UE pour les systèmes à haut risque lorsqu’ils estiment que leurs systèmes ne doivent pas être considérés comme des systèmes à haut risque.
• rétablit également la norme de la stricte nécessité pour le traitement de catégories particulières de données à caractère personnel à des fins de détection et de correction des biais.
•  reporte au 2 août 2027 la date limite pour la mise en place de bacs à sable réglementaires de l’IA par les autorités nationales compétentes, et réduit le délai de grâce accordé aux fournisseurs pour mettre en œuvre des solutions de transparence pour le contenu généré par IA, qui passe de six à trois mois, la nouvelle date limite étant ainsi fixée au 2 décembre 2026. L’accord intervenu entre les colégislateurs clarifie par ailleurs les compétences du Bureau de l’IA en ce qui concerne la surveillance des systèmes d’IA fondés sur des modèles d’IA à usage général lorsque le modèle et le système sont développés par le même fournisseur, en énumérant les exceptions où les autorités nationales restent compétentes, y compris les autorités répressives, les autorités de gestion des frontières, les autorités judiciaires et les institutions financières.

VOLET CYBER : création d’un point d’entrée unique pour la déclaration des incidents ou le risque d’un point de faille unique ?

Le volet « cyber » du « règlement omnibus numérique » consiste principalement en la création d’un point d’entrée unique (dit « single entry point » ou « SEP »), pour la déclaration des incidents de cybersécurité dans l’UE. Ce point d’entrée unique serait géré par l’Agence de l’Union européenne pour la cybersécurité (ENISA).

Aujourd’hui un même incident peut nécessiter plusieurs notifications, selon des formulaires différents avec des informations différentes à fournir et dans des délais différents. Cette situation crée une lourdeur et une complexité administrative non négligeable pour les entités concernées.

La création du point d’entrée unique ne modifierait pas les destinataires finaux des signalements selon les obligations imposées

• par les directives NIS2 pour la résilience cyber,
• REC pour la résilience physique,
• le RGPD,
• le règlement eIDAS,
• mais aussi les textes sectoriels applicables pour le secteur bancaire et financier, le secteur de l’énergie, ou encore celui des transports aériens).
• La création du point d’entrée unique ne modifierait pas non plus le contenu des obligations déclaratives des incidents.

Afep indique accueillir favorablement la proposition de la Commission européenne visant à mettre en place un point d’entrée unique pour répondre aux obligations de déclaration des entreprises soumises à des obligations en matière de cybersécurité, mais que cette mesure soulève néanmoins des questions et des incertitudes quant à sa mise en oeuvre pratique.

Les rapporteures déplorent en effet l’absence de détails opérationnels quant à l’organisation concrète que pourrait prendre le point d’entrée unique, notamment en l’absence d’étude d’impact, qui là encore fait défaut.

Position des ANSSI

l’Agence nationale de la sécurité des systèmes d’information (ANSSI) considère même que – de par la concentration en un même lieu de l’ensemble des informations sur les failles de cybersécurité européennes – le point d’entrée unique pourrait se transformer en un point de faille unique (« single point of failure »), qu’il pourrait par ailleurs être très compliqué pour l’ENISA de sécuriser de manière robuste. En effet, la logique du SEP est contraire aux bonnes pratiques de la résilience cyber, fondées notamment sur l’idée de redondance. Le système de gouvernance actuel, fondé sur la possibilité pour les États membres de mettre en place des guichets régionaux ou sectoriels, participe de la création de relais locaux de confiance pour les entreprises et entités confrontées à des incidents de cybersécurité. La centralisation de la notification vers un point central distant ne va pas dans le sens du renforcement de la confiance.

Proposition des sénatrices

Pour répondre aux complexités administratives existantes, une solution alternative fondée sur l’harmonisation des obligations de notification des incidents cyber, issues de différents textes (NIS2, cyber resilience act, cybersecurity act, eIDAS, etc.) apparaît préférable.

En complément, avec la création du SEP, le renforcement des prérogatives de l’ENISA et la centralisation des déclarations d’incident apparaissent contraires aux principes de subsidiarité et de proportionnalité, eu égard aux enjeux de sécurité nationale sous-jacents en matière d’incidents cyber. En déplaçant le centre de gravité des États membres vers l’ENISA, les États membres perdent le droit de filtrage dont ils disposent aujourd’hui pour partager ou non, à l’échelon européen, des informations sur les failles de cybersécurité d’infrastructures critiques nationales.

Les rapporteures invitent donc le Gouvernement à s’opposer fermement à la proposition de la Commission européenne et à soumettre au Conseil une solution alternative fondée sur une harmonisation des exigences déclaratives figurant dans les différents textes européens.

VOLET RGPD : une revisite préoccupante du RGPD

Le rapport considère que les révisions proposées au RGPD sont trop substantielles et potentiellement dangereuses, eu égard à un texte devenu une référence mondiale en matière de protection des données
à caractère personnel, mais est favorable aux propositions d’harmonisation des cadres et documents relatifs aux analyses d’impact pour la protection des données (AIPD) et soutient la proposition d’allongement du délai de notification des incidents relatifs aux données personnelles de 72 heures à 96 heures.

Le rapport considère que ce texte est devenu un étalon-or mondial de la protection des données personnelles, d’autant plus protecteur pour les citoyens européens que sa portée est extraterritoriale.

La commission des affaires européennes du Sénat invite à la plus grande précaution dans la
modification du RGPD, elle

• Estime que la modification de la définition de donnée à caractère personnel, en allant au-delà des contours définis par la jurisprudence récente de la CJUE en matière de pseudonymisation, ouvre la porte à des dérives potentiellement graves et nuirait au droit fondamental à la protection des données personnelles des citoyens français et européens, sans pour autant apporter la clarté juridique attendue par les entreprises et responsables de traitement ;
• Juge par conséquent qu’il n’est pas opportun de modifier la définition de « données à caractère personnel » figurant dans le RGPD ;
• Considère que les dérogations supplémentaires envisagées pour le traitement de données à caractère personnel (aux fins d’entraînement de l’IA, pour la recherche scientifique, y compris à des fins commerciales, au motif d’intérêt légitime…) apparaissent de nature à fragiliser les garanties existantes pour la protection des données sensibles (notamment de santé), avec des risques induits pour les libertés fondamentales ;
• S’oppose à la modification de la définition de « recherche scientifique » dans le RGPD, pour l’élargir à toute recherche soutenant l’innovation, y compris dans un intérêt purement marchant ;
• Estime que des garanties supplémentaires sont nécessaires pour assurer le caractère véritablement « scientifique » du traitement de données à caractère personnel aux fins de recherches scientifiques, par l’ajout à la définition de notions de vérifiabilité, de transparence et d’objectifs de la recherche scientifique.

Les sénatrices sont hostiles à la possibilité pour la Commission européenne d’adopter des actes d’exécution dans plusieurs domaines relativement aux critères de définition des données pseudonymisées, aux listes et documents harmonisés relatifs aux AIPD, etc. et estime que les institutions sectorielles européennes compétentes sont mieux placées pour émettre les lignes directrices qui s’imposent, le cas échéant. Elles en demandent la suppression.

Le Gouvernement est invité à faire valoir cette position dans les négociations au Conseil.