Chronologie de la vie privée et de la cybersécurité numérique dans l'UE : obligations en 2026

La réglementation numérique européenne n'avance pas comme une unique chronologie de la vie privée. Le RGPD protège les données personnelles ; la Loi sur les marchés numériques (DMA) impose des obligations spécifiques aux plateformes désignées comme gardiennes, et le Règlement sur la cyberrésilience (CRA) fixe des exigences de cybersécurité pour les produits à éléments numériques. Ce sont des cadres distincts, avec des sujets obligés et des calendriers différents.

La différence importe pour décider quoi faire maintenant. Une entreprise traitant des informations identifiables doit revoir la base juridique, la transparence, la sécurité et les droits exigés par le RGPD. Un fabricant d'appareils connectés doit également tenir compte du calendrier du CRA. Et une entreprise utilisatrice d'une grande plateforme n'est pas automatiquement soumise aux obligations de la DMA correspondant aux gardiennes désignées.

Dans cet article, « en vigueur » ne signifie pas que tous les devoirs d'un règlement s'appliquent déjà. Le CRA, par exemple, est en vigueur comme norme, mais a des dates d'application échelonnées : la notification de certains incidents est déjà exigible, tandis que la plupart des exigences pour les produits s'appliquent en 2027. Les propositions législatives, de leur côté, ne doivent pas être traitées comme droit applicable jusqu'à leur adoption et entrée en effets.

Le Règlement général sur la protection des données, Règlement (UE) 2016/679, a été adopté le 27 avril 2016 et a commencé à s'appliquer le 25 mai 2018. Il établit des règles pour le traitement des données personnelles et cherche à protéger les droits des personnes, tout en permettant la circulation de ces données au sein de l'Union. Son noyau reste la référence pour évaluer un traitement, même lorsque de nouvelles technologies sont utilisées.

Le RGPD n'interdit pas de collecter des données par défaut ni ne transforme le consentement en unique base juridique possible. Il exige que chaque traitement ait une base valide, une finalité définie et des garanties adéquates ; il reconnaît également des droits comme l'accès, la rectification et la suppression, soumis aux conditions du règlement. Pour les organisations, le point de départ pratique est de documenter quelles données sont utilisées, pour quoi, avec qui elles sont partagées et pendant combien de temps.

La décennie écoulée depuis son adoption ne doit pas être confondue avec une nouvelle entrée en vigueur en 2026. Les publications commémoratives de cette année rappellent la trajectoire du règlement, mais elles ne remplacent pas son texte ni n'altèrent seules ses obligations. On ne peut pas non plus inférer qu'une technologie respecte le RGPD simplement parce qu'elle est utilisée dans des secteurs réglementés : la conformité dépend des données, des finalités, de la base juridique et de l'exécution concrète.

La DMA, Règlement (UE) 2022/1925, est entrée en vigueur le 1er novembre 2022 et les obligations pour les gardiennes désignées ont commencé à s'appliquer en mars 2024. Son objectif central est que certains marchés numériques soient plus contestables et équitables. Ce n'est pas une seconde loi générale de la vie privée : elle réglemente les pratiques de plateformes remplissant les critères de désignation et ne remplace pas le RGPD.

Pour les entreprises utilisatrices et les consommateurs, la DMA peut changer les conditions d'accès à certains services et les pratiques des plateformes désignées. Mais il n'est pas correct de transférer directement ses devoirs à n'importe quelle application, boutique en ligne ou fournisseur de services numériques. La question opérationnelle est de savoir si l'organisation est soumise à une obligation propre du règlement ou interagit avec une plateforme qui l'est.

La chronologie a ainsi deux jalons clairs : entrée en vigueur en 2022 et début de la conformité par les gardiennes désignées en 2024. Le nombre d'entreprises désignées peut changer avec de nouvelles décisions de la Commission, il convient donc de consulter des sources officielles actualisées avant d'affirmer un nombre. Pour une évaluation de la vie privée, la DMA n'élimine pas non plus la nécessité de déterminer séparément s'il y a traitement de données personnelles soumis au RGPD.

Le Règlement sur la cyberrésilience, Règlement (UE) 2024/2847, établit des exigences de cybersécurité pour les produits à éléments numériques et assigne des obligations aux fabricants, importateurs et distributeurs, selon leur rôle. La Commission le décrit comme un cadre couvrant la conception, le développement, la maintenance et la gestion des vulnérabilités. Il affecte le produit et son cycle de vie, pas n'importe quelle opération de traitement de données pour le seul fait d'utiliser un logiciel.

Le premier jalon opérationnel est arrivé : depuis le 11 septembre 2026, les obligations de l'article 14 sur la notification des vulnérabilités activement exploitées et des incidents graves affectant la sécurité du produit s'appliquent. Selon la synthèse consultée, les avis ont des délais différenciés — 24 heures pour une alerte initiale sur vulnérabilité exploitée et 72 heures pour la notification d'un incident grave — et doivent être canalisés via les mécanismes prévus, y compris le point unique de notification. Ce n'est pas une obligation générale de notifier toute violation de données à l'ANSSI : le cas doit s'inscrire dans le CRA et ses critères.

La plupart des autres exigences du règlement, y compris les exigences essentielles de cybersécurité pour les produits, s'appliqueront à partir du 11 décembre 2027. Par conséquent, en octobre 2026, il convient de séparer la préparation de la conformité exigible : revoir l'inventaire des produits et fonctions, assigner des responsables pour les vulnérabilités et incidents et définir des processus de support et de mise à jour, sans présenter tous les devoirs futurs comme pleinement applicables.

Le tableau résume des dates générales, il ne remplace pas une analyse de portée. Le produit, le rôle de l'entreprise dans la chaîne d'approvisionnement, les exclusions applicables et le type d'incident déterminent quel devoir concret correspond. En particulier, les obligations du CRA ne doivent pas être confondues avec celles du RGPD sur les violations de données personnelles : un incident peut activer l'un, les deux ou aucun, selon ses circonstances et les critères respectifs.

Le Comité européen de protection des données (CEPD ou EDPB) a publié le 13 octobre 2026 une déclaration sur les défis de protection des données associés aux lunettes intelligentes. La publication disponible sur son site web atteste l'existence de la déclaration, mais le matériel de recherche ne permet pas de reconstruire avec précision chaque recommandation de son texte. Par conséquent, il ne convient pas de la décrire comme un guide exhaustif ni d'y attribuer des exigences spécifiques sans consulter le document complet.

Une déclaration ou orientation du CEPD n'équivaut pas à une nouvelle loi autonome. Son utilité consiste à aider à interpréter les normes de protection des données existantes dans des situations concrètes ; le RGPD reste la base juridique. Dans des lunettes avec caméra, micro ou fonctions d'analyse, une organisation devrait évaluer quelles informations peuvent être captées, qui peut être enregistré, quel est le but et quelles mesures d'information, de minimisation, de sécurité et de conservation sont adéquates.

Pour une entreprise évaluant ces dispositifs au travail, la décision ne devrait pas se limiter à demander si l'équipement a une lumière indicatrice ou une fonction d'enregistrement. Il faut déterminer le contexte, la nécessité et la proportionnalité de l'utilisation, ainsi que les responsabilités entre l'organisation et le fournisseur. L'évaluation doit se centrer sur le traitement réel, y compris l'éventuel envoi vers des services cloud, et pas seulement sur l'étiquette commerciale de « dispositif intelligent ».

En octobre 2026, la date seule ne permet pas de savoir quelle norme oblige une organisation. Le critère pratique est d'identifier le rôle joué et l'objet réglementé : traitement de données personnelles sous le RGPD, prestation de services par une plateforme désignée sous la DMA, ou mise sur le marché et maintenance de produits numériques sous le CRA.

Une révision initiale peut être organisée en ces étapes :

1. Cartographier les traitements de données personnelles et vérifier les finalités, bases juridiques, informations offertes, délais de conservation et procédures pour traiter les droits conformément au RGPD.
2. Vérifier le rôle face à la DMA : distinguer entre être une gardienne désignée, un fournisseur interagissant avec une ou une entreprise utilisatrice de ses services.
3. Inventorier les produits à éléments numériques et déterminer si l'organisation est fabricant, importateur ou distributeur aux fins du CRA.
4. Activer le processus de l'article 14, si le produit et l'incident entrent dans son champ, y compris détection, escalade et notification dans les délais applicables depuis septembre 2026.
5. Préparer l'application générale de 2027 : revoir la conception, la gestion des vulnérabilités, les mises à jour et la documentation pertinente pour les produits concernés.
6. Évaluer séparément les dispositifs de capture — comme les lunettes intelligentes — en tenant compte du contexte d'utilisation et des données de tiers pouvant être collectées.

Cette liste est un point de départ, pas une conclusion juridique pour tous les secteurs. Un même fournisseur peut avoir des obligations sous plusieurs cadres, mais chacune dépend de faits concrets. Par exemple, le fabricant d'un dispositif peut avoir des devoirs du CRA et, s'il détermine également les finalités et moyens d'un traitement de données personnelles, des responsabilités sous le RGPD. La coexistence de normes exige une analyse par activité, pas une étiquette globale de « conformité numérique ».

La chronologie la plus solide pour 2026 est celle des dates fixées dans les règlements eux-mêmes : le RGPD s'applique depuis 2018 ; les obligations de la DMA pour les gardiennes désignées depuis 2024 ; et les notifications de l'article 14 du CRA depuis le 11 septembre 2026, avec l'application générale de la plupart des obligations prévue pour le 11 décembre 2027. Ces dates ne sont pas interchangeables et doivent être liées à la portée de chaque norme.

En revanche, on ne peut pas présenter une réforme proposée du Règlement sur l'intelligence artificielle comme une obligation déjà existante. La couverture juridique fournie décrit des propositions de modification en 2026, mais ne prouve pas qu'elles aient été approuvées ni entrées en vigueur. De plus, la Loi sur l'IA n'est pas une norme de vie privée : elle peut interagir avec le RGPD lorsqu'un système d'IA traite des données personnelles, mais chaque règlement conserve son propre objet et ses exigences.

La déclaration du CEPD sur les lunettes intelligentes apparaît bien comme une publication d'octobre 2026, bien que la source primaire incluse dans la recherche ne permette que de confirmer son annonce et sa date, pas de détailler son contenu intégral. C'est une limitation de portée, pas une raison d'inventer des recommandations. Pour les décisions de conformité, la règle sûre est de vérifier le texte officiel en vigueur et les décisions des autorités compétentes avant de fixer des obligations concrètes.