Du Digital Omnibus à la loi indienne sur la vie privée : la gouvernance mondiale des données change de vitesse de manière synchronisée, la structure des coûts de conformité de l’économie des plateformes est en train d’être réécrite

Introduction

En novembre 2025, la gouvernance mondiale des données et de la cybersécurité a progressé simultanément sur cinq axes principaux. Le 19 novembre, la Commission européenne a publié la proposition réglementaire « Digital Omnibus », visant à modifier simultanément le RGPD, la directive ePrivacy, le règlement sur les données, le règlement sur la gouvernance des données, la directive NIS2 ainsi que le règlement sur l'intelligence artificielle, avec pour objectif de simplifier les lois existantes, de libérer un espace d'innovation tout en maintenant un niveau de protection élevé. Au Royaume-Uni, les dispositions de la deuxième phase de la loi de 2025 sur les données (utilisation et accès) (DUAA) sont progressivement entrées en vigueur, les services de vérification numérique étant les premiers déployés, tandis qu'une grande partie des principales modifications en matière de protection des données devrait entrer en vigueur début janvier 2026. Le 13 novembre, l'Inde a officiellement publié les règles de 2025 sur la protection des données personnelles numériques, lançant la mise en œuvre progressive de sa première loi globale sur la vie privée numérique. À la même période, le projet de loi britannique sur la cybersécurité et la résilience (réseaux et systèmes d'information) a été présenté au Parlement ; en Chine, la loi sur la cybersécurité révisée entrera en vigueur le 1er janvier 2026, et les mesures de gestion des rapports d'incidents de cybersécurité sont entrées en vigueur le 1er novembre.

Il ne s'agit pas de simples actualités de conformité disparates. Pour toute entreprise dépendant des flux transfrontaliers de données, des corpus d'entraînement de l'IA et de la taille de la base d'utilisateurs de sa plateforme, il s'agit d'un changement complet de socle réglementaire.

Contexte : cinq axes réglementaires en un mois

Union européenne : le Digital Omnibus cherche à alléger le RGPD et le règlement sur l'IA

La Commission européenne a publié le 19 novembre un paquet de propositions Digital Omnibus, couvrant la législation sur les données, l'IA et la cybersécurité. La proposition introduit des modifications substantielles au RGPD, à la directive ePrivacy, au règlement sur les données, au règlement sur la gouvernance des données, à la directive NIS2 ainsi qu'au règlement sur l'IA, avec pour logique centrale de simplifier les procédures de conformité, de réduire la charge des entreprises et d'accélérer la mise en œuvre de l'innovation, sans abaisser les normes de protection.

Il convient de souligner que tous les détails devront encore faire l'objet d'un trilogue entre les institutions de l'UE avant de pouvoir entrer en vigueur. Cela signifie que, dans les 12 à 24 prochains mois, les règles de l'UE en matière de données et d'IA seront en cours de négociation et d'évolution permanentes, et que la feuille de route de conformité des entreprises devra prévoir une marge d'ajustement.

Royaume-Uni : la deuxième phase de la DUAA entre en œuvre, l'identité numérique ouvre la voie

La DUAA est mise en œuvre en quatre phases. Le 17 novembre, les articles 89 et 90 sont entrés en vigueur, concernant le traitement conjoint de données personnelles à des fins d'application de la loi et entre agences de renseignement. Le 19 novembre, l'ordonnance d'entrée en vigueur n° 4 de la loi de 2025 sur les données (utilisation et accès) a été prise, rendant effective à compter du 1er décembre la partie 2 de la DUAA (services de vérification numérique), à l'exception des articles 45 à 48 (partage d'informations par les organismes publics avec les fournisseurs enregistrés de services de vérification numérique).Tout est une question de rythme : les autorités de régulation prévoient que les principales modifications du DUAA en matière de protection des données entreront en vigueur de manière groupée au début de janvier 2026. Cela signifie que le Royaume-Uni suivra sa propre voie de mise à niveau réglementaire de façon indépendante, tandis que l’Union européenne poursuit ses révisions.

Inde : entrée en vigueur de la première loi sur la vie privée numérique, période de transition de 18 mois

Le 13 novembre, l’Inde a officiellement notifié les Règles de 2025 sur la protection des données personnelles numériques, afin de rendre opérationnelle la Loi de 2023 sur la protection des données personnelles numériques. Il s’agit de la première loi indienne à encadrer de manière exhaustive le traitement des données personnelles numériques ; elle est fondée sur des principes et mise en œuvre par étapes :

• Comité de protection des données (DPB) et ses procédures de fonctionnement entrent immédiatement en vigueur ;
• Gestionnaires de consentement (Consent Managers) : leurs obligations commencent 12 mois plus tard ; ces intermédiaires réglementés sont chargés d’aider les personnes à donner, gérer, réexaminer et retirer leur consentement, et doivent s’enregistrer auprès du DPB, exercer de manière indépendante et disposer de capacités de protection de la sécurité ;
• Exigences de conformité essentielles (notification du consentement, garanties de sécurité, conservation des données, données des enfants, limitations du traitement) entrent en vigueur après 18 mois, soit le 13 mai 2027.

Parmi les autres points clés figurent : des normes minimales de sécurité obligatoires, le chiffrement et le contrôle des accès ; un mécanisme de notification des violations de données en deux étapes, qui exige d’informer à la fois les personnes concernées et le DPB, et de soumettre un suivi détaillé dans les 72 heures suivant la prise de connaissance ; les grandes plateformes doivent supprimer les données des utilisateurs après trois ans d’inactivité, tandis que tous les fiduciaires de données (Data Fiduciaries) doivent conserver au moins une partie des données pendant un an ; le traitement des données des enfants nécessite le consentement parental, avec des exemptions limitées dans les domaines médical et éducatif ; le gouvernement peut désigner des « fiduciaires de données importantes » (SDF), leur imposer des obligations annuelles d’évaluation d’impact et d’audit, et restreindre certains transferts transfrontaliers de données. Le plafond des amendes pour violations graves est de 250 millions de roupies indiennes (environ 30 millions de dollars).

Le champ d’application mérite d’être noté : il couvre non seulement les données traitées en Inde, mais aussi les activités de traitement effectuées à l’étranger liées à la fourniture de biens ou de services à des personnes en Inde.

Loi britannique sur la cybersécurité : mise à niveau du mécanisme NIS

Le 12 novembre, le ministère britannique de la Science, de l’Innovation et de la Technologie a présenté au Parlement le projet de loi sur la cybersécurité et la résilience (réseaux et systèmes d’information). Le contexte est celui d’une nette augmentation des menaces de cybersécurité : au cours du dernier exercice, plus de 600 000 entreprises britanniques ont été touchées par des cyberattaques, et plusieurs incidents majeurs ont affecté l’économie nationale.

Le projet de loi met à jour et élargit le règlement de 2018 sur les réseaux et systèmes d’information, en introduisant de nouvelles obligations d’identification et de gestion des risques cyber, des obligations de déclaration obligatoire des incidents aux autorités de régulation et aux clients affectés, et en renforçant les pouvoirs d’enquête et d’exécution des autorités de régulation. Le plafond des amendes est porté à 17 millions de livres sterling ou à 4 % du chiffre d’affaires mondial. Le champ d’application couvre les organisations fournissant des services concernés au Royaume-Uni, quel que soit leur lieu d’établissement : les opérateurs de services essentiels dans l’énergie, les transports, la santé, l’eau, etc., les fournisseurs de centres de données, les fournisseurs de services numériques tels que le cloud, les places de marché en ligne et les moteurs de recherche, les fournisseurs de services gérés, ainsi que les fournisseurs critiques de ces secteurs.Il convient de noter que l'Union européenne a achevé sa propre mise à niveau NIS, formant NIS 2. Le Royaume-Uni et l'UE évoluent depuis lors séparément dans le domaine de la cybersécurité.

Chine : resserrement à double voie de la révision législative et du signalement d'incidents

En novembre, la Chine présente deux pistes parallèles. Premièrement, la loi sur la cybersécurité révisée entrera en vigueur le 1er janvier 2026, augmentant significativement les sanctions en cas d'infraction, le plafond des amendes pour les infractions liées aux infrastructures d'information critiques étant porté à 10 millions de yuans (environ 1,074 million de livres sterling), ce qui accroît les risques de conformité et d'application de la loi. Deuxièmement, les Mesures administratives relatives au signalement des incidents de cybersécurité nationale ont été mises en œuvre le 1er novembre 2025.

Application de la loi et contentieux : deux décisions porteuses de signaux

La Cour de justice de l'Union européenne (CJUE) a statué que, dans le cadre du marketing direct, la directive ePrivacy primait sur l'application du RGPD. Cela affecte directement les chaînes de technologies marketing qui reposent sur les e-mails, les SMS et le ciblage programmatique. Par ailleurs, la Financial Conduct Authority (FCA) britannique a engagé des poursuites pénales contre un employé ayant vendu des données personnelles de clients, ce qui montre que la régulation s'étend de la « sanction des institutions » à la « poursuite des individus ».

Analyse de l'économie numérique : que signifie le changement de vitesse réglementaire

Premièrement, la conformité passe d'un poste de coût à une variable d'architecture. Alors que l'UE discute de simplification, que le Royaume-Uni promeut les services de vérification numérique et que l'Inde met en place un système de gestionnaires du consentement, l'attention réglementaire est passée de « la collecte est-elle légale » à « comment les données sont gouvernées tout au long de leur cycle de vie ». Cela détermine directement les limites de conception de l'architecture des données des entreprises.

Deuxièmement, les règles de conservation et de suppression des données commencent à avoir des implications financières. L'Inde exige que les grandes plateformes suppriment les données des utilisateurs inactifs depuis trois ans, tout en obligeant les dépositaires de données à conserver au moins une partie des données pendant un an. Cette combinaison de « plafond + plancher » intègre en substance les coûts de stockage, la disponibilité des corpus d'entraînement et la capacité de rappel des utilisateurs dans le cadre réglementaire. Pour les systèmes qui s'appuient sur des données de comportement historique pour alimenter les recommandations et la publicité, il s'agit d'une contrainte structurelle.

Troisièmement, les flux transfrontaliers de données entrent dans une phase de tarification différenciée. L'Inde impose des restrictions aux transferts transfrontaliers pour les dépositaires de données importantes, l'UE révise le règlement sur les données et le règlement sur la gouvernance des données, le Royaume-Uni établit un régime indépendant, et la Chine continue de renforcer la cybersécurité et le signalement d'incidents. Le modèle de « conformité unique, réutilisation mondiale » des entreprises multinationales est en train de devenir obsolète, et il devient nécessaire de construire des chaînes de traitement des données commutables selon la juridiction.

Quatrièmement, les sanctions et la responsabilité individuelle convergent. Le projet de loi britannique porte le plafond des amendes à 4 % du chiffre d'affaires mondial, s'alignant sur l'ordre de grandeur du RGPD ; la Chine relève le plafond des amendes ; la FCA engage la responsabilité individuelle. Le risque de conformité s'étend des états financiers de l'entreprise au risque personnel des dirigeants et des postes clés.

Observation des modèles d'affaires : la conformité devient un produit

Dans cette refonte réglementaire, le signal commercial le plus notable est le suivant : les obligations réglementaires elles-mêmes génèrent de nouvelles formes de produits.La deuxième partie du DUAA britannique institutionnalise les « services de vérification numérique », ce qui signifie que la vérification d'identité passe d'une capacité interne à l'entreprise à un marché de services soumis à un régime d'autorisation réglementaire. Pour les fournisseurs de services cloud, les entreprises de technologie d'identité et les établissements de paiement, il s'agit d'une couche d'infrastructure de conformité intégrable.

Le régime indien de « gestionnaire de consentement » est plus direct : la réglementation exige explicitement la création d'un intermédiaire indépendant soumis à réglementation, chargé de donner, gérer, vérifier et retirer le consentement. Cela insère entre les individus et les responsables de traitement un nouveau rôle de marché, qui doit être enregistré et exploité de manière indépendante. Il pourrait évoluer en une infrastructure de couche de consentement couvrant des centaines de millions d'utilisateurs — sa valeur ne réside pas dans la technologie, mais dans la qualification et la position de confiance conférées par la réglementation.

Parallèlement, l'orientation à la simplification de l'Union européenne pourrait réduire la charge administrative de certaines entreprises, mais renforcera les exigences substantielles pour les scénarios à haut risque. Cela signifie que les « suites de conformité » passeront des rapports d'audit à une capacité d'ingénierie fonctionnant en continu : cartographie des données, exécution des politiques de conservation, gestion des délais de réponse aux incidents et contrôle des transferts transfrontaliers. Pour les fournisseurs de SaaS et de cloud, c'est une fenêtre d'opportunité pour passer de fournisseur d'outils à partenaire d'exploitation de la conformité.

Au niveau de la commercialisation de l'IA, l'inclusion de la loi sur l'IA dans le champ de révision du Digital Omnibus montre que l'Union européenne tente de recalibrer l'équilibre entre « promotion de l'innovation » et « classification des risques ». Pour les entreprises qui dépendent du marché de l'Union européenne pour entraîner et déployer des modèles, l'incertitude réglementaire constitue en soi un risque pour la feuille de route produit — le cycle d'itération des modèles est généralement plus court que le cycle législatif.

Analyse de la concurrence : qui en bénéficie, qui subit la pression

Les bénéficiaires se répartissent en gros en trois catégories.

Premièrement, les fournisseurs d'infrastructures de conformité : vérification d'identité, gestion du consentement, cartographie des données, signalement d'incidents et services de cybersécurité. Lorsque les exigences réglementaires passent de « principes » à des « processus vérifiables », la demande d'achat de ces capacités devient rigide.

Deuxièmement, les grandes entreprises du cloud et des plateformes dotées de capacités de conformité à grande échelle. La loi britannique sur la cybersécurité inclut les centres de données, le cloud computing, les places de marché en ligne, les moteurs de recherche et les fournisseurs de services d'hébergement dans son périmètre réglementaire : à court terme, c'est une charge ; à long terme, cela constitue une barrière à l'entrée — les concurrents de taille moyenne doivent assumer les mêmes obligations sans pouvoir les amortir.

Troisièmement, les entreprises multinationales qui ont été les premières à achever la refonte de leur architecture. Alors que leurs concurrents en sont encore à cartographier les flux de données, les entreprises déjà capables d'adapter leur stratégie de données selon la juridiction peuvent lancer plus rapidement leurs services sur de nouveaux marchés.

Les acteurs sous pression sont tout aussi clairs.

Les systèmes publicitaires et de recommandation qui dépendent de l'accumulation de données historiques font face à une contrainte directe de plafond de conservation ; les entreprises qui dépendent des transferts transfrontaliers pour un traitement centralisé des données doivent reconstruire une architecture régionale ; les fournisseurs étrangers qui n'ont pas mis en place de dispositif de conformité en Inde, dès lors qu'ils fournissent des biens ou des services à des personnes situées en Inde, peuvent relever du champ d'application.Dans une perspective de concurrence entre plateformes, la révision de l'Union européenne et la voie indépendante du Royaume-Uni avancent en parallèle, formant de fait deux systèmes de conformité qui se référencent mutuellement sans être totalement compatibles ; si l'on y ajoute les trajectoires propres de l'Inde et de la Chine, l'économie numérique mondiale passe du « dividende des règles unifiées » à une « concurrence par l'arbitrage entre règles multiples et la capacité d'adaptation ». Plus l'architecture est modulaire, plus le coût marginal de conformité est faible.

Données et impacts réglementaires : trois changements structurels

Changement 1 : le consentement passe d'un problème de conception d'interaction à un problème d'infrastructure institutionnelle. L'Inde confie cette fonction à des gestionnaires de consentement enregistrés, et son impact pourrait dépasser le territoire indien — si ce modèle est repris par d'autres marchés émergents, la couche mondiale du consentement pourrait voir émerger des standards régionaux.

Changement 2 : les délais de réponse aux incidents deviennent une contrainte stricte. L'Inde exige un suivi détaillé dans les 72 heures, le projet de loi britannique impose une notification obligatoire aux autorités de régulation et aux clients affectés, et la Chine met en œuvre des mesures de gestion du signalement des incidents de cybersécurité. Ces trois éléments convergent vers une conclusion : la gestion des incidents de sécurité doit être une capacité opérationnelle permanente, et non un document de plan d'urgence.

Changement 3 : la priorité d'application du droit est réaffirmée. La Cour de justice de l'Union européenne a jugé que, dans le cadre du marketing direct, la directive ePrivacy prime sur le RGPD, rappelant aux entreprises que l'analyse de conformité ne doit pas se focaliser uniquement sur les textes législatifs principaux : des règles spéciales propres à certains contextes peuvent avoir un effet prioritaire. Ce type de jurisprudence va remodeler la conception de la conformité des stacks martech.

Observation des tendances mondiales : la souveraineté numérique entre dans la phase de « concurrence institutionnelle »

En considérant ces cinq pistes ensemble, on peut dégager un diagnostic de long terme : la gouvernance numérique mondiale est passée d'une phase de « convergence des règles » à une phase de « concurrence institutionnelle ».

L'Union européenne, via le Digital Omnibus, tente de trouver un nouvel équilibre entre protection et innovation, tout en maintenant son rôle de faiseur de règles ; le Royaume-Uni, après le Brexit, construit de manière indépendante son régime de données et de cybersécurité, couvrant les services de vérification numérique et une version mise à niveau de NIS ; l'Inde, avec sa première loi sur la protection de la vie privée numérique, établit un cadre de gouvernance local et met en place des leviers de régulation par le biais des gestionnaires de consentement et du régime des fiduciaires de données importantes ; la Chine renforce le caractère contraignant de la cybersécurité par une double approche de révision législative et de notification des incidents.

Ce ne sont pas des événements à court terme, mais des paramètres sous-jacents de l'économie numérique pour les cinq à dix prochaines années. Ils ne déterminent pas seulement si les entreprises peuvent se conformer, mais aussi où les données sont stockées, où les modèles d'IA sont entraînés et sous quelle forme les services de plateforme sont fournis au-delà des frontières.

L'implication concrète pour les entreprises est la suivante : les budgets de gouvernance des données doivent être reclassés de « dépenses juridiques » en « investissements d'infrastructure ».

DigitalEcoNews Insight

En novembre 2025, la portée économique la plus importante de cette vague de mesures réglementaires ne réside pas dans le nombre de nouvelles obligations ajoutées, mais dans le fait que le « système d'exploitation » de la gouvernance mondiale des données est en train d'être réécrit, et qu'il l'est simultanément par plusieurs juridictions.Premièrement, l’attribut d’actif des données est en train d’être redéfini. L’Inde exige des grandes plateformes qu’elles suppriment les données des utilisateurs inactifs depuis trois ans, tout en imposant aux fiduciaires de données de les conserver au moins un an ; cette combinaison « supprimable + doit être conservé » inscrit pour la première fois la valeur temporelle des données dans des règles contraignantes. Pour les plateformes qui construisent des modèles de recommandation et de publicité à partir de données de comportement utilisateur à long terme, le stock de données accumulables ne sera plus une courbe de croissance infinie, mais une ressource limitée dont la pente est fixée par la réglementation. Cela modifiera la variable centrale de la concurrence entre plateformes : de « qui possède le plus de données historiques » vers « qui peut utiliser les données plus efficacement dans la fenêtre de conformité ».

Deuxièmement, la capacité de conformité est en train de devenir un produit, et non plus seulement un coût. Le marché britannique des services indépendants de vérification numérique, les gestionnaires de consentement enregistrés en Inde, sont autant de rôles de marché directement créés par la réglementation. La valeur commerciale de ces rôles provient de la qualification de confiance plutôt que de l’avance technologique ; une fois qu’ils atteignent une certaine échelle, ils pourraient devenir une nouvelle couche d’infrastructure dans l’économie numérique. Pour les institutions d’investissement, c’est un segment protégé par une demande institutionnelle.

Troisièmement, la coexistence de multiples juridictions signifie que l’architecture détermine la compétitivité. L’Union européenne simplifie, le Royaume-Uni construit de manière indépendante, l’Inde déploie par étapes, la Chine resserre ; le coût de compatibilité de ces quatre systèmes est en hausse. La capacité clé des entreprises à l’avenir ne sera pas de « comprendre une loi donnée », mais de « permettre à l’architecture de traitement des données de basculer selon la juridiction ». Le degré de modularité se traduira directement en avantage de coût de conformité marginal.

Jugement global : cette vague de refonte des règles ne s’achèvera pas en 2026 ; elle se poursuivra jusqu’à la fin de cette décennie. À court terme, elle relève le seuil de conformité et réduit la rentabilité marginale des activités fondées sur les données ; à moyen terme, en éliminant les acteurs dépourvus de flexibilité architecturale et de capacités d’ingénierie de conformité, elle redistribue les parts de marché de l’économie des plateformes. Ce qui mérite vraiment l’attention n’est pas l’entreprise qui est sanctionnée aujourd’hui, mais celle qui a déjà fait de la capacité de conformité un produit et une barrière à l’entrée.