Compte-rendu | Rencontre du 3 juin 2026
RGPD : pour un juste équilibre
Notre think tank présentait ses recommandations dans le cadre de la révision de la réglementation des données personnelles et de l’intelligence artificielle
Forte des travaux qu’elle a déjà menés en matière de données personnelles et de vingt auditions de dirigeants d’entreprises et d’organisations publiques, La villa numeris dévoilait sa note de position à l’issue de travaux menés sous la direction de Jeanne Bossi Malafosse, avocate.
Alors que le projet d’omnibus numérique – qui propose des avancées réelles - fait couler beaucoup d’encre, La villa numeris présentait une note de position « RGPD : réviser pour simplifier ». David Lacombled, président de La villa numeris, relève à la fois « des avancées qu’on salue et des occasions manquées » sur le chantier qu’est le projet d’omnibus numérique, à l’initiative de la Commission européenne. Ce projet représente, d’après lui, une véritable « occasion à saisir ».
Dans le bon sens
« La nouvelle définition de la donnée personnelle » est pour Jeanne Bossi Malafosse, « une mesure phare de l’omnibus numérique ». Il faut, selon ses mots, « avoir le courage d’adopter cette nouvelle définition et de mettre en place les mesures de protection adéquates ». Elle relève également que s’agissant de la possibilité de réutiliser des données à des fins de recherche scientifique, le passage du principe de non-incompatibilité à la présomption de compatibilité est « une très bonne chose » pour faciliter cette réutilisation.
Maxence Demerlé, directrice du numérique du Medef, rappelant que le Medef est « très impliqué sur l’omnibus numérique », et « très concerné par la simplification ». Prenant appui sur les rapports Draghi et Letta, elle souligne que « la complexité réglementaire est très coûteuse ». Aussi, avec « l’expérience de 10 ans du Règlement général sur la protection des données (RGPD) », elle tient à « remercier la Commission européenne d’avoir proposé des simplifications dans l’omnibus ». Effectivement, Malte Beyer-Katzenberger, chef d’équipe Politiques en matière des données de la Commission européenne explique que « l’omnibus, c’est la simplification », témoignant : « on a cherché de la flexibilité et de la souplesse ».
D’ailleurs, Hugo Ruggieri, directeur juridique et affaires publiques de la scale-up Doctrine revient sur les différents textes législatifs qui se sont succédés à l’image notamment du RGPD, puis du DSA, du DMA ou encore de l’AI Act qui « ont créé beaucoup de remous » quand on sait que « l’Europe régule pendant que la Chine et les Etats-Unis innovent ». Aussi, il met en avant « la prise de recul » du législateur européen afin de montrer combien « l’Europe est une terre d’innovation ». Aussi, Malte Beyer-Katzenberger revient sur la démarche de la Commission européenne : « on a compris des choses dans la pratique et dans la jurisprudence ». Il note l’importance d’« harmoniser ». Pour lui, « le texte doit évoluer dans le temps. Nous ajustons et assumons un rôle politique » pour « un juste équilibre entre innovation et protection ».
Vigilance
Evoquant « la base légale de l’intérêt légitime » pour l'entraînement des modèles d’IA, Jeanne Bossi-Malafosse relève le risque que « chaque Etat membre puisse continuer à exiger le consentement », ce qui annulerait le bénéfice de la mesure, chaque Etat pouvant adopter une position différente.
Au sujet de la Recherche qui se fait « dans l’intérêt de tous », Isabelle Landreau, DPO Public security d’Idemia, leader dans la biométrie, évoque la base légale de l'entraînement des données. Elle se dit « partante pour laisser un choix libre des bases légales ». Or, « on a tendance à avoir une présomption d’intrusion dans la vie privée ». Pour elle, « il faut passer à une présomption pour le bien commun ».
A propos du droit des personnes, Jeanne Bossi Malafosse note qu’avec l’omnibus numérique, « une simplification est apportée dans le cadre d’une relation claire et circonscrite entre la personne concernée et le responsable de traitement». Elle souligne qu’« un débat intéressant pourrait être lancé sur la place de l’information préalable et individuelle aujourd'hui ». Elle estime que l’omnibus numérique « doit reconnaître davantage la possibilité de bacs à sable réglementaire dans le RGPD comme c'est le cas dans le Règlement IA l. A ce sujet, Malte Beyer-Katzenberger relate des discussions en interne et indique qu’il y a « déjà la possibilité pour les autorités nationales de les proposer au niveau national » à l’image du Luxembourg.
Pour Jeanne Bossi-Malafosse, l’intégration de la directive e-privacy » est « inachevée » notamment pour les cookies, point d’attention des intervenants. Hugo Ruggieri estime que « la finalité doit être prise en compte et non le moyen technique lui-même ». D’ailleurs, Nathalie Laneret cite l’article 88b permettant de « centraliser son consentement une fois pour toutes ». Or, elle est « très étonnée de revoir cette disposition revenir au premier plan. Ce n’est pas une bonne solution ». Cela pose « une problématique de concurrence, soulignée par l’Autorité de la Concurrence ». Elle cite ainsi le Rapport du Conseil général de l’Économie » relevant là l’impact économique sur l’écosystème du e-commerce puisque « 77% des sites e-commerce utilisent des cookies ». Cela pose, de plus, potentiellement « une problématique technique de conflit de consentement, une problématique juridique sur la chaîne de valeur pour la preuve de consentement ». Il en résultera que « l’utilisateur va devoir payer pour accéder à des services et à du contenu », regrette-elle.
Isabelle Landreau rappelle que « la définition de la donnée personnelle est très importante ». Pour elle, « tout n’est pas une donnée personnelle ». Par exemple, elle estime que « tout ce qui est relié à une machine n’est pas une donnée personnelle. Pour la géolocalisation d’une voiture, on n’a pas besoin de savoir qu’elle appartient à telle personne. Nous avons mis de la personnification dans tous les objets », déplore-t-elle. Malte Beyer-Katzenberger relate « les nombreux soucis autour de la vie privée des personnes surtout quand elles sont géolocalisées. Elles ont lu Snowden ». Il note, par ailleurs, « les intérêts économiques ». Pour lui, « la contextualisation » est clé.
Nathalie Laneret déplore « le gâchis pour les entreprises européennes qui surprotègent leurs données », en utilisant ainsi leurs ressources face à des risques « inexistants ». Elle note qu’« en Europe, l’approche est beaucoup trop légaliste ». C’est, pour elle, le règne du « what if? »
Autre occasion manquée relevée par Hugo Ruggieri : les données publiques. Pour lui, une réflexion est nécessaire sur « la dualité des données ». Elles sont, d’une part, « publiques » à l’image du nom du chef d’entreprise qui est « une notion d’intérêt public » et d’autre part, il convient de prendre en compte « son caractère potentiellement personnel ». Ago Set-Aghayan, head of Data Offering d’Owkin, biotech qui opère en Europe et aux Etats-Unis évoque, quant à lui, « le volet sécuritaire » qui « mériterait d’être rajouté ». Pour lui, il faut « s’inspirer de la réglementation américaine ».
En bonne intelligence
La gouvernance a été soulignée à plusieurs reprises. Jeanne Bossi Malafosse note que « la gouvernance n’a pas été traitée. Chaque État membre conserve la possibilité de faire autrement. Cela va être compliqué », craint-elle, mettant en avant « une gouvernance plus centralisée au niveau européen ». Maxence Demerlé déplore « la contradiction politique » entre d’un côté le discours politique et le comportement de l’autre. Elle note qu’avec l’arrivée de l’IA, le besoin d’harmoniser le marché européen devient une priorité, à cet égard tout le monde se comporte comme si le RGPD était une directive », alors que c’est un règlement d'application directe. Une réelle harmonisation rendrait le marché unique, « bien plus florissant ».
Nathalie Laneret interroge face au débat ambiant : « qu’est ce qui est le plus dangereux ? Quelques acteurs qui ont accès à des données identifiables sur 360 degrés de votre vie ou bien beaucoup d’acteurs qui ont des pans de données qui ne peuvent pas être réidentifiées ? »
Pharmacien de formation, Ago Set-Aghayan explique que l’IA développée par la biotech permet notamment de détecter des pathologies. Au quotidien, il doit « jongler entre des juridictions aux Etats-Unis et en Europe ». Il interroge le caractère « raisonnable » des contraintes. Pour lui, il est clé de « libérer les acteurs de la R&D et de la science « des contraintes relatives aux données personnelles » puisqu’elles permettent notamment de « reconstituer le parcours des individus, de comprendre l’évolution d’une pathologie ». Régulation et innovation ne sont pas opposées.
:: Nos grands témoins
- Malte Beyer-Katzenberger, chef d’équipe Politiques en matière des données de la Commission européenne (Profil LinkedIn)
- Jeanne Bossi Malafosse, avocate au Barreau de Paris, Delsol Avocats (Profil LinkedIn)
- Maxence Demerlé, directrice du numérique, Medef (Profil LinkedIn)
- Isabelle Landreau, DPO, Idemia (Profil LinkedIn)
- Nathalie Laneret, directrice des Affaires publiques, Criteo (Profil LinkedIn)
- Hugo Ruggieri, directeur juridique et affaires publiques, Doctrine (Profil LinkedIn)
- Ago Set‑Aghayan, head of Data Offering, Owkin (Profil LinkedIn)