Digital Omnibus : ce que la « simplification » du RGPD change (et ne change pas) pour la santé

Présenté par la Commission européenne le 19 novembre 2025, le paquet « Digital Omnibus » veut simplifier le droit numérique européen — RGPD, ePrivacy, AI Act et textes données. À l'été 2026, où en est-on ? Le volet reportant les obligations « haut risque » de l'AI Act a été approuvé par le Parlement le 16 juin 2026, entériné par le Conseil le 29 juin, puis publié au Journal officiel le 24 juillet sous la forme du règlement (UE) 2026/1744, en vigueur depuis le 27 juillet ; le reste du paquet poursuit son parcours législatif, avec une application envisagée à l'horizon 2027-2028. Hors ce volet AI Act, rien n'est donc encore applicable — mais tout se joue maintenant.

Les trois chantiers qui concernent la santé

Premier chantier : la définition même de la donnée personnelle, que la proposition tend vers une approche plus « subjective » (une donnée pseudonymisée pourrait ne plus être personnelle pour un acteur incapable de réidentifier). Pour la recherche en santé et les entrepôts de données, l'enjeu est immense — et l'accueil des autorités glacial : dans leur avis conjoint 2/2026 du 10 février 2026, le CEPD et le Contrôleur européen ont rejeté cette redéfinition, y voyant un risque d'affaiblissement structurel de la protection.

Deuxième chantier : la consécration de l'intérêt légitime pour l'entraînement des modèles d'IA. Attention : pour les données de santé, l'article 9 du RGPD et ses exceptions restent aujourd'hui le verrou central. La proposition touche bien à l'article 9 (exception envisagée pour la détection et la correction de biais, garde-fous pour les données sensibles résiduelles dans l'entraînement), mais rien de tout cela n'est adopté : en l'état, aucun passe-droit pour les données sensibles.

Troisième chantier : les cookies rapatriés dans le RGPD, avec refus en un clic aussi simple que l'acceptation et interdiction de re-solliciter le consentement pendant six mois après un refus. Les sites santé, souvent surchargés de bandeaux non conformes, devront s'aligner.

Ce qui ne change pas — et qu'on oublie de dire

L'essentiel du RGPD demeure : licéité, minimisation, sécurité, droits des personnes, AIPD, encadrement des sous-traitants, notification des violations. Les données de santé restent des données sensibles au régime renforcé. Le secret médical, le référentiel HDS, les méthodologies de référence de la CNIL : aucun de ces cadres n'est abrogé par l'Omnibus.

Se « préparer à la simplification » en déconstruisant sa conformité serait un contresens dangereux : les contrôles CNIL de 2026 se font sur le droit de 2026.

Notre lecture

L'Omnibus est un mouvement de fond qu'il faut suivre de près — c'est précisément le travail de veille du DPO — mais il ne justifie aucun attentisme. La bonne stratégie : maintenir le socle RGPD à jour, documenter ses choix, et intégrer les évolutions au fil de leur adoption réelle, pas de leur annonce.

Nos abonnés reçoivent une alerte ciblée à chaque étape franchie par le paquet législatif : c'est l'un des livrables de notre veille réglementaire.

Le calendrier réaliste — et ce qu'il implique

Hors volet AI Act (désormais acté par le règlement (UE) 2026/1744), le paquet suit le parcours législatif ordinaire : négociations en trilogue, adoption espérée en 2027, puis délais d'application. Autrement dit, aucune des « simplifications » RGPD n'est aujourd'hui en vigueur, et leur contenu final peut encore évoluer sensiblement — l'avis très critique du CEPD et du Contrôleur européen du 10 février 2026 pèsera dans la négociation.

Le rôle du DPO dans cette phase : suivre chaque étape (proposition, position du Parlement, position du Conseil, texte final), qualifier l'impact réel pour l'organisation à chaque jalon, et surtout empêcher les décisions prématurées — qu'il s'agisse de démanteler un dispositif de consentement au motif qu'il serait « bientôt simplifié », ou à l'inverse de surinvestir dans des exigences qui ne verront peut-être jamais le jour.

Ce que cela change concrètement pour un acteur de santé

Pour les entrepôts de données de santé et la recherche : rien à ce stade — les méthodologies de référence de la CNIL, l'article 9 et les exigences de pseudonymisation restent le cadre opérant ; la redéfinition « subjective » de la donnée personnelle, si elle survivait à la négociation, ferait l'objet d'une analyse dédiée. Pour les sites web d'établissements et de cabinets : le régime actuel des cookies continue de s'appliquer, bandeau conforme compris. Pour les projets d'IA : les évolutions déjà actées sont celles du règlement (UE) 2026/1744 — reports des annexes III (décembre 2027) et I (août 2028), report des bacs à sable à 2027, assouplissement de l'article 4 sur la littératie — et aucune ne dispense de rien côté RGPD. En synthèse : la veille s'intensifie, la conformité ne bouge pas encore.