Renforcement de RGPD et ePrivacy et son impact pour vous

1. Contexte & panorama des évolutions estivales

1.1. RGPD : des simplifications ciblées en discussion

Cet été, l’Union européenne a introduit une proposition législative (Omnibus Simplification Package) visant à alléger certaines obligations du RGPD pour les petites et moyennes entreprises. Elle prévoit notamment d'étendre la dérogation à l’obligation de tenue d’un registre des activités de traitement aux organisations de moins de 750 employés, contre 250 précédemment, sauf si le traitement présente un risque élevé pour les droits individuels (profilage, données biométriques, santé, etc.) EDPBTrustArc.
Cette mesure est encore à l’état de proposition, mais son avancement est suivi de près par les professionnels du secteur.

1.2. ePrivacy : absence d’évolution majeure

Concernant la directive ePrivacy (censée régir les communications électroniques, les cookies, etc.), la Commission européenne aurait officiellement abandonné le projet de règlement ePrivacy iclg.com. Par conséquent, la directive reste en vigueur dans sa version actuelle, sans transformation en règlement. Les lignes directrices techniques—comme celles sur l’article 5(3) concernant les cookies—restent celles publiées en octobre 2024 EDPB.

1.3. Recommandations révisées de la CNIL pour les applications mobiles

Le 27 mars 2025, la CNIL a adopté des recommandations révisées à l’attention des professionnels du développement d’applications mobiles. Elles précisent l’application commune du RGPD et de la directive ePrivacy dans ce contexte : gestion des permissions, transparence des traitements, rôles et responsabilités clairement définis, checklist de conformité, etc. Digital Policy Alert.

2. Impacts concrets pour les propriétaires de sites web

2.1. Simplification administrative, mais vigilance requise

** Avantages potentiels** :

• Si la proposition évolue en loi, les sites gérés par des structures de moins de 750 personnes pourraient, dans certains cas, être exemptés de tenir un registre de traitements — à condition que les traitements ne présentent pas de risque élevé EDPBTrustArc.
• Cette mesure allègerait la charge administrative pour les petites structures.

** Attention néanmoins** :

• Le registre reste obligatoire si le traitement présente un risque élevé (profilage automatisé, données sensibles, etc.).
• Cette proposition n’est pas encore en vigueur et ne remplace pas les obligations actuelles du RGPD.

2.2. Cookies & consentement : statu quo, mais attention au contexte mobile

• L'absence d'évolution réglementaire ePrivacy maintient les règles existantes sur les cookies : obligation de consentement préalable éclairé pour certains cookies, politique claire sur l’activation/révocation iclg.comEDPB.
• Les recommandations CNIL pour les apps mobiles impliqueront une vigilance accrue sur les permissions, la transparence des usages de données, et les rôles des acteurs du traitement Digital Policy Alert.

2.3. Impératif de conformité persistante et évolutive

• Le RGPD reste le cadre légal central, avec des obligations comme la transparence vis-à-vis des droits des utilisateurs (accès, effacement, portabilité), la sécurité des données, et le principe de “privacy by design” didomi.ioWikipédia.
• Les sanctions de la CNIL peuvent atteindre des millions d’euros, avec une gradation entre avertissement, injonction, suspension, jusqu’aux sanctions financières Wikipédia.

3. Recommandations pratiques pour les propriétaires de sites

Voici quelques étapes concrètes, à suivre dès maintenant et à mener en pratique :

3.1. Auditer vos traitements de données

• Identifiez si votre site traite des données à risque élevé (profilage, biométrie, santé, etc.).
• Adaptez la tenue du registre de traitement selon l’exigence actuelle, et soyez prêt à réactiver ce registre si la dérogation n’est pas applicable.

3.2. Gérer les cookies et les consentements

• Assurez un consentement net, libre, éclairé pour les cookies soumis à consentement.
• Mettez en place une interface claire pour permettre aux utilisateurs de gérer leurs préférences à tout moment.

3.3. Anticiper la conformité pour les apps mobiles (le cas échéant)

• Appliquez les guidelines CNIL : explicitez les permissions (usage caméra, géolocalisation, etc.), évitez l’opacité dans les SDK, définissez clairement les rôles (éditeur, développeur, store) Digital Policy Alert.
• Pensez au flux de données, à l’hébergement, aux transferts internationaux, et à la documentation de conformité.

3.4. Structurer votre conformité RGPD

• Intégrez le principe de privacy by design and default dans vos processus, conception de pages, formulaires, etc. didomi.ioWikipédia.
• Mettez à jour vos politiques de confidentialité, vos workflows de droits d’utilisateur et vos contrats avec les sous-traitants ou prestataires.

3.5. Suivre l’évolution réglementaire

• Restez attentif à l’évolution de la proposition législative sur la dérogation au registre des traitements.
• Consultez les actualisations de la CNIL, du CEPD (EDPB) et des autorités européennes pour les futurs développements (ex. AI Act, Data Act, ePrivacy, etc.) EDPBTrustArcjdsupra.com.

4. Synthèse des changements et responsabilités

Conclusion

Cet été 2025 marque un tournant subtil mais significatif dans le paysage européen de la protection des données : une proposition de simplification ciblée du RGPD, une absence de réforme ePrivacy, et des recommandations mobilisées autour de la CNIL pour le mobile.

Pour les propriétaires de sites web, cela se traduit par une opportunité de simplification administrative — si vous n’effectuez pas de traitements à haut risque — tout en exigeant une rigueur accrue sur les consentements, la documentation, la transparence et la sécurité. La vigilance reste de mise, car les obligations légales fondamentales et les risques de sanctions demeurent.