Sept ans après son entrée en vigueur, le RGPD continue d’imposer sa marque, tout en s’inscrivant dans un environnement réglementaire européen devenu beaucoup plus dense. Depuis 2018, l’Union européenne a multiplié les textes pour encadrer l’économie numérique : la directive NIS2 renforce la cybersécurité des opérateurs jugés essentiels, le Data Act organise le partage des données issues des objets connectés, et l’AI Act, premier cadre mondial pour les intelligences artificielles à « haut risque », entre progressivement en application. Ensemble, ces textes redéfinissent les obligations des entreprises, du stockage de données à la gouvernance des algorithmes.

Mais une idée reçue circule : non, le registre des traitements n’a pas disparu. La Commission européenne a simplement proposé en 2025 d’en assouplir les conditions pour les petites structures. Ce projet de règlement « Omnibus » permettrait d’exempter davantage d’entreprises, en relevant le seuil de 250 à 750 salariés et en limitant l’obligation aux traitements présentant un « risque élevé ». Le texte est encore à l’étude, mais le principe d’accountability, lui, reste central : chaque organisation doit continuer à documenter ses traitements, ses finalités, ses durées de conservation et ses mesures de sécurité — y compris l’authentification multifacteur et le chiffrement, désormais considérés comme des standards de base. Le Data Act, entré en application le 12 septembre 2025, instaure un droit d’accès et de partage équitable des données générées par les produits connectés. Concrètement, un fabricant ou un fournisseur ne pourra plus bloquer l’accès à ces données : il devra respecter un principe “FRAND” – équitable, raisonnable et non discriminatoire. Les obligations techniques ne s’appliqueront toutefois qu’aux nouveaux produits mis sur le marché à partir de septembre 2026.

De son côté, l’AI Act, adopté en 2024, impose d’ici 2026 des obligations lourdes pour les systèmes d’IA dits « à haut risque » : gestion des risques, documentation complète, transparence et audits réguliers. Enfin, NIS2, transposée fin 2024, élargit considérablement le périmètre des entités soumises aux règles de cybersécurité, avec davantage de contrôles, de notifications d’incidents et de sanctions. À l’international, les États-Unis avancent en ordre dispersé : faute de loi fédérale, chaque État – Californie, Virginie, Colorado ou Utah – impose son propre régime. En revanche, les transferts de données entre l’Europe et les États-Unis reposent désormais sur le Data Privacy Framework, validé par Bruxelles en 2023, et toujours en vigueur malgré plusieurs recours.

Hébergé par Acast. Visitez acast.com/privacy pour plus d'informations.