Le droit européen des données n’en finit jamais de redéfinir ses clauses. En 2026, on connaît un tournant marquant pour restructurer certains droits. Le paquet Digital Omnibus modifie deux textes fondateurs : le RGPD et l’AI Act. On estime que ces modifications sont purement techniques, mais qui présentent des effets opérationnels, loin d’être anodins.
Pour les opérateurs BPO, qui gèrent, chaque jour, des volumes massifs de données pour le compte de leurs clients, ces évolutions vont tout changer. Retrouvez, en plus de détails, une lecture claire et opérationnelle du Digital Omnibus : ce que dit la nouvelle loi, son impact sur votre organisation, et les actions à mener dès maintenant pour s’y conformer. Cela va des de la révision des bases juridiques, au calibrage des périmètres de conformité, en passant par les nouvelles contraintes documentaires à anticiper.
Digital Omnibus, c’est quoi déjà ?
Le Digital Omnibus est un règlement modificatif, mis en vigueur selon une procédure accélérée, qui permettra de rassembler plusieurs régulations existantes en un seul acte législatif. Cette nouvelle étape relative au droit numérique a, ainsi, pour objectif de faciliter le cadre réglementaire numérique, minimiser les charges administratives pour les entreprises, et clarifier des textes qui, sur certains points, se superposent sans cohérence.
Le compromis du Conseil de l’Union Européenne (UE), apparu en février 2026, a posé les bases. Le vote du Parlement européen en juin 2026 a validé ces nouveaux ajustements, avec quelques amendements sur la gouvernance de l’IA. Le texte définitif est désormais applicable dans un calendrier progressif — une information essentielle pour organiser votre roadmap de conformité.
Ce qui change au niveau du RGPD
Au niveau du Règlement Général sur la Protection des Données (RGPD), on compte trois modifications majeures :
Donné personnelle redéfinie
Il s’agit clairement de la modification la plus structurante pour les entreprises, dont les opérateurs BPO. Le Digital Omnibus vient ainsi redéfinir la donnée personnelle en intégrant un critère de probabilité raisonnable d’identification. En d’autres termes, une donnée n’est présentée comme personnelle que si une personne est susceptible d’être identifiée par des moyens raisonnablement disponibles, conformément au contexte de traitement.
Pour les agents traitant des flux de données importants, pseudonymisées ou agrégées pour leurs clients donneurs d’ordre, cela donne vie à de nouvelles opportunités. Certains jeux de données gérés précédemment comme des données personnelles peuvent probablement sortir du périmètre RGPD. Autrement, il faudra bien documenter l’analyse de risque associée d’une manière méticuleuse. Ce n’est pas un blanc-seing : c’est une responsabilité majeure sur la démonstration de conformité.
Intérêt légitime assoupli
Présenté, pendant longtemps, comme une source d’insécurité juridique, l’intérêt légitime fait désormais sujet à une clarification significative. Le Digital Omnibus vient de rajouter une liste indicative de cas d’usage. Cette liste recense les situations pour lesquelles l’intérêt légitime est présumé valide, sans l’obligation de recourir à un test de mise en balance complet à chaque fois.
Voici un aperçu des cas mentionnés :
- La sécurité des systèmes d’information
- La prévention de la fraude
- Certaines formes d’analyse statistique interne.
Pour les opérateurs BPO, comme Advancia Téléservices, qui assurent des traitements de détection d’anomalies ou de contrôle qualité, c’est une véritable opportunité. Seulement voilà, la présomption n’est pas absolue. Par conséquent, elle est susceptible d’être renversée si les droits et les libertés des personnes concernées priment manifestement.
Délai de notification des violations de données prolongé
Le RGPD exigeait jusqu’à maintenant de notifier l’autorité de contrôle dans les 72 heures suivant la découverte d’une violation. Le Digital Omnibus prolonge ce délai à 96 heures pour les infractions mineures, tout en conservant les 72 heures pour les incidents à risque élevé pour les personnes.
Ce délai supplémentaire est très apprécié par les équipes de réponse aux incidents des call center bpo, souvent très plébiscités en dehors des heures ouvrables. Il permet d’affiner la qualification avant notification, tout en diminuant le risque de déclarer une violation finalement non qualifiable comme telle. Toutefois, il reste indispensable de documenter la qualification.
Ce que le Digital Omnibus change pour l’AI Act
Le Digital Omnibus apporte également des changements au niveau du règlement européen sur l’Intelligence Artificielle (AI Act), entré en application progressive depuis 2024. Ces ajustements concernent essentiellement deux points :
Clarification des systèmes d’IA à haut risque
Dans le contexte BPO, les systèmes exploités pour le scoring automatisé de clients, le traitement des réclamations ou la prise de décision assistée dans des processus RH externalisés font désormais partie du périmètre haut risque. Les nouveaux textes du Digital Omnibus, non révolutionnaires sur le fonds, apportent de meilleures clarifications.
Nouvelles obligations de transparence
Le texte juridique comporte de nouvelles obligations de transparence renforcées pour les sous-traitants qui déploient des modèles d’IA pour le compte de leurs clients. Dans vos opérations BPO, vous recourez ainsi forcément à des outils d’IA dans vos processus. Dans ce contexte, vous devez être capable de transmettre à votre client donneur d’ordre une documentation technique, pour lui permettre de s’adapter à ses obligations réglementaires.
Quelles priorités pour les DSI et DPO des opérateurs BPO ?
Aux niveau des Directions des systèmes d’informations et des Délégués à la protection des données, la priorité est allouée à trois principaux chantiers :
- Révision du registre des traitements concernant la nouvelle définition de la donnée personnelle. Cette requalification doit être documentée et validée juridiquement avant toute décision opérationnelle.
- Audit des bases juridiques, l’intérêt légitime en particulier. Le Digital Omnibus propose une présomption, associée à une responsabilité documentaire. Les analyses de mise en balance existantes doivent être mises à jour pour s’appuyer sur le nouveau cadre.
- Actualisation des procédures de gestion des incidents. Le délai prolongé à 96 heures pour les violations de faible gravité doit être intégré dans vos runbooks et vos contrats de service.
Ce que le Digital Omnibus ne résout pas
Malgré les clarifications du Digital Omnibus, les textes ne peuvent pas tout régler . Le sujet de la cohérence d’application entre États membres reste entière. En effet, les autorités de contrôle nationales gardent une certaine marge d’interprétation, et les pratiques de la CNIL, du BfDI allemand ou de l’ICO britannique post-Brexit peuvent diverger sur des points sensibles.
Un autre point important concerne les flux transfrontaliers de données. Ceux-ci ne font pas l’objet de modifications substantielles. Les mécanismes existants (clauses contractuelles types, décisions d’adéquation) demeurent la référence.
Foire aux questions
Le Digital Omnibus s’applique-t-il immédiatement après le vote du Parlement de juin 2026 ?
Non. Le règlement propose un calendrier d’application progressif. Certaines dispositions sont alors applicables immédiatement, d’autres profitent d’une période de transition allant jusqu’à 18 mois. Il est important d’accéder au texte consolidé pour déterminer les échéances applicables à chaque disposition.
En tant qu’opérateur BPO, suis-je directement concerné par les nouvelles obligations de l’AI Act issues du Digital Omnibus ?
Oui. En tant que BPO call center, si vous utilisez des outils IA dans le cadre de vos services, vous êtes soumis aux obligations de transparence et de documentation introduites par le Digital Omnibus. Votre client reste responsable de traitement, mais vous avez des obligations propres en tant que fournisseur de systèmes d’IA.
