Communiqué de presse - 27 mai 2025

Après diverses informations qui ont circulé sur un projet de révision qui s’annonçait ambitieux, la Commission européenne a diffusé le 21 mai 2025 un projet de règlement qui vise à étendre aux entreprises de taille moyenne certaines atténuations réservées aux petites structures, dont certaines dispositions clés du RGPD.

Le projet de simplification de la Commission européenne : un assouplissement mal évalué

Le projet de règlement publié par la Commission européenne le 21 mai 2025¹ se propose de modifier plusieurs règlements existant pour étendre « certaines mesures d’atténuation disponibles pour les petites et moyennes entreprises aux petites entreprises de taille intermédiaire » et apporter certaines « autres mesures de simplification ». C’est dans ce cadre que le RGPD est concerné, par un article unique qui modifie 4 dispositions du texte entré en application en 2018.

Outre l’ajout de la définition de « micro, petites et moyennes entreprises » et de la nouvelle catégorie des entreprises « mid cap » (moins de 750 employés, et CA inférieur à 150 millions d’euros), le projet prévoit d’étendre à ces dernières les précautions prévues pour les TPE/PME aux articles 40 (codes de conduite) et 42 (certification) du RGPD.

Mais surtout, le projet apporte un assouplissement de l’article 30 qui impose aux responsables de traitement de tenir un registre des traitements mis en œuvre dans leur organisme. Depuis 2018, seuls sont exemptés de cette obligation, les entités de moins de 250 employés, et seulement pour les traitements occasionnels.

L’assouplissement proposé par la Commission étend l’exemption aux organismes de moins de 750 employés, et à tous les traitements ne comportant pas « un risque élevé pour les droits et libertés des personnes concernées », en référence à l’article 35 sur les analyses d’impact relatives à la protection des données (AIPD).

Un projet accueilli avec prudence par les autorités de contrôle

Consultés en amont, le Comité européen de protection des données (CEPD/EPDB), et le Contrôleur européen de la protection des données (CEPD/EDPS) ont rendu le 8 mai 2025 un avis prudent², indiquant qu’à ce stade, ils pouvaient soutenir cette initiative de simplification ciblée, mais en demandant à la Commission « de mieux évaluer l’impact sur les organisations concernées par cette modification, afin de déterminer si le projet de proposition garantit un équilibre proportionné et équitable entre la protection des données à caractère personnel et les intérêts des organisations de moins de 500 employés. » On note que le projet qui leur avait été soumis prévoyait un seuil de 500 employés, devenu 750 dans le projet final.

¹https://single-market-economy.... des ONG et des experts

Réunis par la fédération EDRi, 107 organisations de la société civile, universitaires, entreprises, syndicats et experts œuvrant pour la protection des droits et libertés des personnes ont publié le 19 mai 2025 une lettre ouverte³ dans laquelle ils expriment leur grave préoccupation et appelle la Commission à « rejeter toute réouverture du RGPD et réaffirmer son intégrité en tant que fondement du droit numérique de l’UE ».

Les DPO et membres de l’AFCDP majoritairement défavorables

Dans le dernier Baromètre AFCDP, qui a recueilli 312 réponses de professionnels membres et non membres de l’AFCDP début mai 2025⁴, les DPD/DPO et autres professionnels de la protection des données se sont très majoritairement montrés opposés (48 %) ou très réservés (32 %) sur le projet de simplification du RGPD proposé par la Commission. Pour les membres de l’AFCDP, le projet de la Commission comporte plusieurs failles qui semblent dénoter un défaut d’analyse d’impact.

D’une part, ils s’accordent sur le fait que la tenue du registre n’est pas l’activité la plus contraignante induite par le RGPD. Si l’inventaire initial que demande la création du registre peut induire une certaine charge, sa mise à jour régulière n’est pas une contrainte majeure, et entre dans le cadre de la cartographie que toute organisation devrait réaliser pour une saine gestion de ses traitements.

D’autre part, dans les organisations qui ont désigné un Délégué à la protection des données (DPD/DPO), la tenue du registre est un prérequis essentiel pour permettre à ce dernier d’exercer son activité de conseil et de supervision. En l’absence de registre des traitements, le DPD/DPO risque de devenir aveugle et impuissant.

Enfin, et ce n’est pas la moindre des réserves, la fixation du seuil de 750 employés semble totalement déconnectée de la réalité de l’écosystème de la protection des données. Car ce n’est pas le nombre d’employés qui induit la quantité et la sensibilité éventuelle des traitements et des données impliquées. De très nombreuses entreprises de taille modeste sont en pratique à l’origine de traitements pouvant impliquer des millions de personnes.

En outre, limiter l’obligation de tenue du registre aux cas de traitements à risque élevé suppose que l’organisme soit en mesure de procéder à une AIPD de ses traitements. Comment procéder si l’on ne dispose plus d’un inventaire correct de ces traitements ?

L’AFCDP alerte sur un projet mal évalué : une réforme à revoir

L’AFCDP regrette que le projet présenté par la Commission n’ait manifestement pas fait l’objet d’une évaluation éclairée de son impact, et qu’il n’ait pas tenu compte de l’avis des professionnels chargés de la mise en œuvre du RGPD que sont les DPD/DPO.

Dans une optique de simplification, il aurait certainement été plus pertinent de revoir certaines dispositions qui constituent effectivement des charges importantes, comme les exigences de formalisation des AIPD.

Dans ce contexte, l’AFCDP appelle les co législateurs européens à revoir sérieusement la teneur du projet proposé par la Commission, qui ne devrait pas être adopté en l’état. L’AFCDP alerte sur le risque que présente ce projet qui ne peut que conduire à un affaiblissement majeur de la protection des données et des droits des personnes concernées.

² https://www.edpb.europa.eu/news/news/2025/simplification-record-keeping-obligation-edpb-and-edps-adopt-letter- eu-commission_en

³ https://edri.org/our-work/open-letter-reopening-the-gdpr-is-a-threat-to-rights-accountability-and-the-future-of-eu- digital-policy/

⁴ https://afcdp.net/media/documents/cp-barometre-afcdp-15.pdf

À propos de l’AFCDP - www.afcdp.net

L’AFCDP, créée dès 2004, regroupe plus de 6 000 professionnels de la conformité au RGPD et à la Loi Informatique & Libertés – dont les Délégués à la Protection des Données (DPD ou DPO, pour Data Protection Officer).

Si l’AFCDP est l’association représentative des DPD, elle rassemble largement. Au-delà des professionnels de la protection des données et des DPD désignés auprès de la CNIL, elle regroupe toutes les personnes intéressées par la protection des données à caractère personnel. La richesse de l’association réside – entre autres – dans la diversité des profils des adhérents : DPD, délégués à la protection des données, juristes et avocats, spécialistes des ressources humaines, informaticiens, professionnels du marketing et du e-commerce, RSSI et experts en sécurité, qualiticiens, archivistes et Record Manager, déontologues, consultants, universitaires et étudiants.

Contact Presse : Maëlle Garrido, NASKAS RP, Relations Presse, 06 12 70 77 30,