La Commission européenne a présenté une proposition législative, dite "Omnibus numérique", visant à modifier plusieurs aspects fondamentaux du RGPD.
Cette proposition, critiquée pour avoir été élaborée sans évaluation d'impact adéquate, est perçue comme une régression majeure pour les droits numériques des Européens. Elle ferait principalement bénéficier les grandes entreprises technologiques en créant de nouvelles failles juridiques, sans apporter de simplification pour les petites et moyennes entreprises. Le projet fait face à une opposition de la société civile et de certains groupes au Parlement européen, qui dénoncent une procédure accélérée et une absence de soutien politique pour de telles modifications.

La proposition vise à restreindre la définition des données à caractère personnel en introduisant une approche subjective. Le RGPD ne s'appliquerait plus si une entreprise déclare ne pas pouvoir ou ne pas avoir l'intention d'identifier une personne. Cette modification pourrait exclure du champ d'application du règlement des secteurs comme le courtage de données ou la publicité en ligne qui utilisent des pseudonymes, rendant l'application de la loi dépendante des intentions déclarées par l'entreprise et créant une forte incertitude juridique.

Le projet de texte propose d'autoriser certaines opérations de traitement impliquant l'accès à l'équipement terminal des utilisateurs, comme les ordinateurs ou les téléphones intelligents. Des finalités telles que les "statistiques agrégées" et la "sécurité" seraient ainsi permises par défaut. La formulation jugée trop large de ces exceptions pourrait autoriser un accès excessif aux appareils des utilisateurs, au-delà de ce qui est strictement nécessaire.

L'utilisation de données personnelles, y compris celles issues des profils de médias sociaux, pour l'entraînement de systèmes d'intelligence artificielle serait autorisée sur la base d'un mécanisme de retrait (opt-out). Ce système est considéré comme inefficace en pratique, les utilisateurs ne sachant pas quelles entreprises utilisent leurs données. La proposition créerait également une exception générale pour le "fonctionnement" des systèmes d'IA, légalisant des traitements qui seraient autrement illicites.

Le droit d'accès de la personne concernée serait considérablement limité, son exercice étant restreint aux seules "finalités de protection des données". Une telle restriction empêcherait l'utilisation de ce droit dans d'autres contextes, comme un litige en droit du travail ou pour contester une évaluation de crédit. Cette limitation est présentée comme étant en contradiction avec la jurisprudence de la Cour de Justice de l'Union européenne et l'article 8 de la Charte des droits fondamentaux.