Les données personnelles au cœur des débats réglementaires
Les données personnelles occupent une place centrale dans les récentes évolutions réglementaires de l’Union européenne. Plusieurs textes, adoptés ou proposés en 2025, modifient le cadre du Règlement général sur la protection des données (RGPD) et introduisent de nouvelles règles sur le partage et l’utilisation des données.
Les faits établis
Le règlement (UE) 2025/2518, publié au Journal officiel de l’Union européenne le 12 décembre 2025, établit un code de procédure européen pour les traitements transfrontaliers de données personnelles. Ce texte, adopté le 26 novembre 2025, vise à harmoniser les procédures entre les autorités de protection des données (APD) dans les cas de traitements transfrontaliers relevant du RGPD. Il définit des règles uniformes pour les enquêtes, fixe des délais et renforce la coopération entre ces autorités, selon les informations rapportées par Vigier Avocats.
Parallèlement, le règlement sur les données, dit Data Act, est entré en application le 12 septembre 2025. Ce règlement encadre l’accès, le partage et l’utilisation des données générées par les objets connectés et les services associés. Il permet aux utilisateurs d’accéder aux données produites par ces objets et facilite leur partage avec d’autres acteurs, tout en interdisant les clauses contractuelles abusives, comme l’explique la CNIL.
Le Data Act distingue les données non personnelles, issues de l’utilisation de produits connectés, des données personnelles régies par le RGPD. En cas de contradiction entre les deux textes, le RGPD prévaut lorsque des données personnelles sont concernées, précise la CNIL.
Le 19 novembre 2025, la Commission européenne a présenté une proposition de règlement dite « Digital Omnibus ». Ce projet vise à harmoniser et simplifier le cadre numérique européen, avec des modifications au RGPD. Parmi celles-ci figurent des ajustements à la définition des données personnelles, qui ne le seraient plus pour les entités incapables de réidentifier la personne concernée par des moyens raisonnables. Le périmètre des données de santé se réduit aux informations révélant directement l’état de santé, et des dérogations sont introduites pour le traitement de catégories particulières de données dans le cadre de systèmes d’IA, d’après les détails publiés par CMS Law et Silicon.fr.
Les 2 et 3 décembre 2025, le Comité européen de la protection des données (CEPD) a tenu une réunion au cours de laquelle il a discuté des modifications proposées au RGPD et à la directive ePrivacy. Le CEPD a également adopté des lignes directrices sur la création de comptes utilisateurs en ligne et des bonnes pratiques sur son fonctionnement interne, selon un communiqué de la CNIL.
Réactions et déclarations officielles
La Commission européenne souligne que le règlement sur les données, applicable depuis le 12 septembre 2025, responsabilise les utilisateurs en leur donnant un contrôle accru sur les données générées par leurs appareils connectés, tels que les voitures ou les machines industrielles. Elle met en avant la création d’une économie européenne des données équitable et innovante, comme indiqué sur le site de la stratégie numérique européenne.
La CNIL précise que la mise en œuvre du Data Act s’articule avec le RGPD et note que des obligations supplémentaires entreront en vigueur à des dates précises : conception des objets connectés pour un accès direct aux données en septembre 2026, changement gratuit de fournisseur cloud en janvier 2027, et application rétroactive de l’interdiction des clauses abusives en septembre 2027. La Commission a par ailleurs proposé, le 19 novembre 2025, des modifications au Data Act pour mieux articuler les législations européennes, rapporte la CNIL.
Concernant le règlement (UE) 2025/2518, les autorités de protection des données européennes, les entreprises traitant des données transfrontalières et les citoyens sont directement concernés, comme le mentionne Vigier Avocats.
Contexte factuel
Le RGPD est en application depuis le 25 mai 2018. Il repose sur un système décentralisé où une autorité chef de file gère les traitements transfrontaliers, avec la participation d’autres autorités concernées et le règlement des désaccords par le CEPD via l’article 65. Le règlement (UE) 2025/2518 répond à des difficultés pratiques observées, telles que des lenteurs et des divergences d’interprétation entre APD.
Le Data Act, voté en janvier 2024 et entré en vigueur le 11 janvier 2024, complète ce cadre en régulant principalement les données non personnelles des objets connectés. Il introduit la notion de « in-scope data », données relatives à l’utilisation de ces produits, et ouvre un marché commun des données après consentement des utilisateurs, selon Team France Export.
L’AI Act, pour sa part, voit une première salve de dispositions applicables depuis février 2025, excluant certains systèmes et usages de son champ, comme le note Silicon.fr.
Situation actuelle
Au 27 décembre 2025, le règlement (UE) 2025/2518 est publié et en cours d’application pour harmoniser les procédures RGPD transfrontalières. Le Data Act est majoritairement applicable depuis le 12 septembre 2025, avec des échéances futures précises pour les fabricants, fournisseurs et contrats cloud.
La proposition Digital Omnibus du 19 novembre 2025 est en discussion, incluant des révisions du RGPD et une évolution du droit de réutilisation des données du secteur public. Le CEPD continue ses travaux sur la réforme du RGPD suite à sa réunion de décembre 2025.
En France, un arrêté du 31 octobre 2025 modifie les durées de conservation des données personnelles dans certains traitements, limitant à deux ans la durée pour les données et informations enregistrées, publié au Journal officiel via Légifrance.
