Omnibus numérique UE : impact Monaco

Bruxelles réécrit des règles que vous appliquez déjà

Peu d'entreprises monégasques suivent les dossiers législatifs européens, et elles ont raison. Monaco n'est pas un État membre de l'Union européenne et les règlements européens ne s'y appliquent pas d'office.

Mais les outils qui font tourner votre entreprise, eux, ont été conçus pour les règles européennes. Votre bandeau cookies, votre plateforme de gestion du consentement, la clause de sous-traitance de votre CRM, le circuit de suppression livré par votre prestataire d'emailing : tout cela a été bâti autour du RGPD. Quand le RGPD bouge, ces produits bougent avec lui — et ils bougent sur votre site, que l'on vous ait consulté ou non.

C'est précisément ce qui se joue actuellement. Un paquet législatif appelé « omnibus numérique » chemine dans le processus européen et propose la réécriture la plus importante du cadre numérique européen depuis l'entrée en application du RGPD. L'essentiel n'est pas encore en vigueur. Mais la direction prise oriente déjà les feuilles de route des éditeurs, et cela atteint Monaco bien avant qu'un texte ne soit définitif.

Ce qu'est réellement l'omnibus numérique

Le 19 novembre 2025, la Commission européenne a présenté un paquet de simplification touchant simultanément plusieurs grands textes numériques. Il s'est depuis scindé en deux volets.

Le premier concerne l'intelligence artificielle : il modifie l'AI Act de manière ciblée, principalement sur le calendrier, la gouvernance et l'articulation des obligations applicables aux systèmes à haut risque avec la disponibilité effective des normes techniques. Ce volet a avancé nettement plus vite.

Le second porte sur les données : RGPD, règles ePrivacy et cookies, Data Act, notification des incidents dans le cadre de dispositifs comme NIS2. Ce volet reste en négociation et son contenu a déjà évolué par rapport au projet initial de la Commission. Rien n'y est acquis.

Si vous avez besoin d'une certitude sur une obligation précise et sur une date, consultez un juriste plutôt qu'un article de blog — celui-ci compris. Ce qui suit décrit une trajectoire, pas une liste de conformité.

Les changements qui arriveront jusqu'aux bureaux monégasques

Plusieurs évolutions proposées relèvent autant du commercial que du juridique.

Cookies et consentement. Le paquet élargirait les catégories d'usages dispensées de consentement — mesure d'audience agrégée, maintenance de sécurité — et pousserait vers des signaux de consentement normalisés, lisibles par machine, exprimés au niveau du navigateur plutôt que par un bandeau sur chaque site. Si cela aboutit, la couche consentement de votre site devient moins un sujet de design qu'un sujet technique. Mieux vaut savoir où vous en êtes avant que votre prestataire ne décide à votre place.

IA et données personnelles. Les propositions clarifieraient les cas où l'intérêt légitime peut fonder le développement et le test de systèmes d'IA, et créeraient une base étroite pour traiter des données sensibles aux seules fins de détecter et corriger des biais. Pour toute entreprise monégasque qui explore l'automatisation par l'IA, c'est le point du dossier à suivre : il répond à la question que tout le monde pose et à laquelle personne ne sait répondre proprement aujourd'hui.

Délai de notification des violations. La Commission a proposé de porter le délai européen de 72 à 96 heures. Lisez cette ligne attentivement : c'est exactement là que les entreprises monégasques risquent de se tromper.

Plomberie des notifications d'incidents. Un point d'entrée unique couvrant plusieurs régimes européens, selon le principe « déclarer une fois, partager à plusieurs ». Utile si vous avez des établissements dans l'UE, sans objet sinon.

Monaco n'est pas en aval de Bruxelles — sauf là où elle l'est

Le cadre monégasque, c'est la loi n° 1.565 du 3 décembre 2024, sous le contrôle de l'Autorité de Protection des Données Personnelles (APDP). C'est un régime moderne, de standard européen, mais c'est du droit monégasque. Rien dans l'omnibus numérique ne le modifie, et aucun vote européen ne change une seule de vos obligations au titre du droit monégasque.

Trois canaux, malgré tout, vous relient au dossier.

Le premier est le champ d'application. Si vous ciblez ou suivez des personnes situées dans l'UE, le RGPD peut vous être directement applicable, quel que soit votre lieu d'établissement. Nombre d'entreprises monégasques — sites e-commerce, agences, sociétés de gestion, groupes hôteliers — sont dans ce cas sans y avoir réfléchi.

Le deuxième est votre chaîne de sous-traitance. Vos prestataires sont très majoritairement européens ou américains, et conçoivent leurs produits selon les exigences européennes. Leurs réglages par défaut deviennent les vôtres.

Le troisième est la discussion de fond sur l'articulation entre cadre monégasque et cadre européen, y compris la question d'une reconnaissance d'adéquation de Monaco par l'Union. La loi 1.565 a été délibérément construite aux standards européens. Si le standard européen se déplace, cet alignement devient une cible mouvante. La suite est réellement incertaine et mérite vérification auprès d'un conseil, plutôt qu'une supposition.

Le piège de la divergence

Voici le risque concret, et il n'a rien de théorique.

Dans les mois qui viennent, une masse de contenus, d'outils et de conseils éditeurs décriront la nouvelle position européenne : 96 heures pour notifier une violation, transparence allégée dans les cas à faible risque, exemptions de consentement élargies. Quelqu'un chez vous le lira, supposera que cela s'applique et ajustera un processus en conséquence.

Cela ne s'applique pas. Vos obligations relèvent du droit monégasque, fixées par la loi 1.565 et l'APDP, selon un calendrier monégasque. Si l'UE passe à 96 heures et que vous adoptez discrètement ce délai en interne, vous n'avez rien simplifié : vous avez créé un écart entre votre pratique et ce qu'exige Monaco.

Le raisonnement vaut pour le consentement. Si une mise à jour de plateforme assouplit votre bandeau cookies parce que les règles européennes ont changé, cette évolution n'a pas été évaluée au regard du droit monégasque. Quelqu'un doit le vérifier. Concrètement, cela signifie traiter la conformité en protection des données comme une question monégasque d'abord, européenne ensuite — et non l'inverse, comme le font la plupart des équipes.

Que faire d'ici l'adoption

Trois choses, aucune coûteuse.

Connaître votre exposition : mettez par écrit, sur une page, si vous relevez uniquement du droit monégasque ou également des règles européennes, et pourquoi. La plupart des entreprises ne l'ont jamais fait et se trompent dans les deux sens.

Connaître vos réglages par défaut : listez les outils qui prennent des décisions de conformité à votre place — plateforme de consentement, analytics, CRM, emailing, hébergement — et notez qui en contrôle la configuration. Quand un éditeur pousse un changement, mieux vaut l'apprendre par votre liste que par un client.

Ne rien modifier sur la base d'une proposition. Un projet de texte n'est pas une loi, et le volet données a déjà été réécrit en négociation.

Si votre dispositif de consentement, votre configuration analytics ou vos flux de données n'ont pas été revus depuis l'entrée en vigueur de la loi 1.565, cette revue vaut la peine d'être menée maintenant — indépendamment de Bruxelles. C'est aussi le bon moment pour l'articuler avec votre stratégie digitale globale, plutôt que de traiter la conformité comme une corvée à part.

Nous accompagnons les entreprises monégasques dans la construction de sites et de dispositifs digitaux qui tiennent au regard du droit monégasque, et non d'hypothèses européennes empruntées. Pour y voir clair avant la prochaine vague de mises à jour éditeurs, contactez-nous.