EDRi : « On a l’impression que la Commission écoute davantage ceux qui enfreignent les règles » - Interview

Digital Omnibus, intelligence artificielle, chiffrement, Bruxelles assouplit ses règles numériques au nom de la compétitivité, au risque de rogner les protections des citoyens. Itxaso Domínguez de Olazábal, de l’EDRi, détaille ses inquiétudes et les batailles qui restent à mener.

Fondée en juin 2002 à Berlin par dix ONG issues de sept pays, European Digital Rights (EDRi) est une association à but non lucratif de droit belge, dont l’équipe est basée à Bruxelles, à proximité des institutions européennes. Elle se présente comme le plus grand réseau européen de défense des droits et libertés en ligne.

Plus de 50 organisations non gouvernementales en sont aujourd’hui membres, et des dizaines d’observateurs contribuent à ses travaux, aux côtés d’experts, de juristes et d’universitaires. On y retrouve notamment noyb, dont dix ans de bataille juridique contre la DPC irlandaise ont débouché, en 2023, sur une amende de 1,2 milliard d’euros infligée à Meta pour des transferts de données vers les États-Unis.

Le rôle de l'EDRi consiste à faire entendre la société civile dans l’élaboration des politiques numériques européennes, afin qu’elles restent compatibles avec les droits fondamentaux. L’association a notamment défendu le RGPD et coordonné la campagne ReclaimYourFace contre la surveillance biométrique de masse, lancée en 2020. Elle s’est aussi mobilisée pour protéger le chiffrement dans le dossier ChatControl. Elle organise chaque année le Privacy Camp, et sa direction est assurée par Amber Sinha.

Présenté par la Commission européenne le 19 novembre 2025, le Digital Omnibus devait simplifier le cadre numérique de l’Union. Un an plus tard, le volet consacré à l’IA est déjà entré en vigueur et a repoussé les obligations « haut risque » de l’AI Act à décembre 2027 et août 2028. De leur côté, les États membres ont arrêté leur position sur la partie RGPD le 21 octobre 2026. Ils ouvrent notamment la voie à l’entraînement de modèles d’IA sur des données personnelles sans consentement préalable, au titre de l’« intérêt légitime » des entreprises, avec un droit d’opposition maintenu pour les personnes concernées.

Dans ce contexte, marqué par les pressions américaines sur la réglementation européenne et par un lobbying tech sans commune mesure avec les moyens des ONG, nous avons interrogé Itxaso Domínguez de Olazábal. Policy Advisor chez EDRi, elle travaille sur la protection des données et la vie privée, avec un accent sur la surveillance commerciale et le pistage en ligne.

EDRi parle au nom de qui exactement : des militants, des experts, ou des citoyens ordinaires ?

Itxaso Domínguez : Un peu des trois, je dirais ! EDRi rassemble plus de 50 organisations de défense des droits humains, mais aussi des chercheurs, des juristes et des activistes. Nous ne prétendons pas représenter tous les citoyens européens (en tout cas, tous les individus, et il n'y a pas que les citoyens qui voient leur droits violés!). Notre rôle, c'est de défendre leurs droits, y compris lorsque les personnes concernées n'ont ni le temps, ni les moyens, ni les connaissances nécessaires pour faire entendre leur voix à Bruxelles. Et surtout face à des entreprises qui, elles, disposent de moyens considérables.

Présenté le 19 novembre 2025, le Digital Omnibus aurait, selon noyb, été relu en cinq jours ouvrés par certains services de la Commission, pour plus de 180 pages. Vous en pensez quoi ?

I.D : Quand on modifie des textes qui protègent les droits fondamentaux de 450 millions de personnes, cinq jours pour examiner plus de 180 pages, c'est franchement inquiétant. Surtout que la Commission n'a jamais vraiment démontré que les problèmes qu'elle prétend résoudre viennent de la législation, plutôt que de son manque d'application. On appelle cela simplification, mais plusieurs propositions réduisent directement nos protections. Et on a parfois l'impression que la Commission écoute davantage ceux qui enfreignent les règles que ceux qui en subissent les conséquences.

Le Conseil veut autoriser le traitement de données sensibles résiduelles lors du développement d’IA. Que reste-t-il alors de la protection des données sensibles face au profilage ?

I.D : C'est précisément le danger. On ouvre une exception pour des données qui révèlent, par exemple, notre santé, nos opinions politiques ou notre orientation sexuelle. Et le caractère prétendument ‘résiduel' ne les rend pas moins sensibles. Le risque est de permettre aux entreprises de collecter et utiliser d'énormes quantités de données, puis de justifier la présence de données sensibles comme un dommage collatéral. Il faut rappeler que ces protections existent pour une raison, notamment pour éviter les discriminations et les abus.

Le Conseil veut consacrer l’intérêt légitime pour développer des systèmes d’IA, avec droit d’opposition à la clé. Ces garde-fous sont-ils réels, et le Parlement peut-il encore refermer cette porte ?

I.D : Le droit d'opposition existe déjà dans le RGPD. Le présenter comme une nouvelle garantie est donc assez trompeur. Et soyons réalistes : combien de personnes savent que leurs données servent à entraîner des IA, et combien vont effectivement exercer ce droit ? On transfère encore une fois la responsabilité vers les individus. Le Parlement peut encore supprimer cette disposition, ou au minimum la limiter fortement. Il devrait surtout se demander pourquoi l'industrie de l'IA aurait besoin d'un traitement privilégié par rapport aux autres secteurs.

Depuis le retour de Donald Trump, de plus en plus d’utilisateurs se tournent vers des services européens. L’Europe est-elle à la hauteur de ce moment de défiance envers les géants américains, ou le gâche-t-elle en assouplissant ses propres règles avec l’Omnibus ?

I.D : Je trouve cela assez paradoxal. L’Europe/l'UE parlent constamment de souveraineté numérique, mais elle semble prête à affaiblir justement ce qui pourrait faire sa différence : des règles qui protègent les personnes et limitent le pouvoir des grandes entreprises. Nous avons une occasion de soutenir des alternatives européennes, décentralisées, respectueuses des droits. Mais si notre stratégie consiste à copier le modèle américain en supprimant les protections, pourquoi les citoyens devraient-ils nous faire davantage confiance ?

Le DSA est pleinement applicable depuis février 2024. Les premières amendes visent X, Temu et AliExpress, mais Meta et TikTok n’en sont qu’aux conclusions préliminaires. Sanctionne-t-on d’abord les cibles les moins risquées politiquement ?

I.D : Je ne peux pas affirmer que les décisions sont motivées politiquement. Mais il serait naïf d'ignorer le contexte, notamment les pressions américaines contre la réglementation européenne. Ce qui est certain, c'est que les enquêtes concernant certaines des plateformes les plus puissantes prennent beaucoup trop de temps. La Commission vient encore de publier, le 6 novembre, des conclusions préliminaires concernant les recommandations de TikTok. C'est encourageant, mais les utilisateurs ont besoin de résultats concrets. Une loi qui reste sans conséquences pour les plus puissants perd progressivement sa crédibilité.

Le scan volontaire des messageries, tombé en avril, a été rétabli en juillet jusqu’en 2028, et le trilogue sur le règlement permanent est dans l’impasse. Avec la feuille de route de la Commission sur le chiffrement attendue d’ici fin 2026, est-ce votre bataille la plus importante, et peut-on la gagner ?

I.D : ChatControl est certainement une de nos batailles prioritaires. Le chiffrement protège tout le monde, y compris les enfants, les journalistes, les victimes de violences et les personnes qui défendent les droits humains. Affaiblir cette protection au nom de la sécurité risque de nous rendre tous moins sûrs. Mais il y a aussi des raisons d'espérer : le Parlement a réussi à exclure les communications chiffrées de la dérogation temporaire. Cela montre qu'on peut défendre la protection des enfants sans sacrifier la confidentialité de nos communications. Et oui, je pense qu'on peut gagner, mais certainement pas en baissant la garde.

L’Omnibus repousse les obligations « haut risque » de l’AI Act à fin 2027 et 2028, avant même leur application. Le texte est-il en train de se vider avant d’avoir servi ?

I.D : C'est assez inquiétant de voir une loi qu'on vient à peine d'adopter déjà faire l'objet de concessions importantes. Les nouvelles échéances sont désormais fixées à décembre 2027 et août 2028, et ce report est déjà entré en vigueur. On nous avait promis une réglementation capable de nous protéger face aux risques de l'IA. Maintenant, les entreprises obtiennent plus de temps alors que les personnes exposées à ces risques doivent attendre. Et je crains qu'on n'en reste pas là. Le risque de voir d'autres tentatives de dérégulation est bien réel: le Work Program de la Commission Européenne parle déjà (à nouveau) de simplification.

La tech dépense environ 73 millions d’euros par an en lobbying à Bruxelles, Meta seule plus de 10 millions d'euros. EDRi fédère plus de 50 organisations : quels sont concrètement vos moyens, et vos victoires de cette année ?

I.D : On joue clairement pas avec les mêmes moyens, mais pas du tout du tout ! À Bruxelles, notre équipe est relativement petite, et nous travaillons avec des organisations qui ont souvent des ressources très limitées. Mais nous avons quelque chose que les grandes entreprises ne peuvent pas acheter : une expertise indépendante et un réseau de personnes qui travaillent depuis des années sur ces questions. Parmi nos résultats cette année, je citerais notamment les garanties obtenues pour protéger le chiffrement dans le règlement temporaire sur les abus sexuels sur enfants, ou notre capacité à mobiliser des acteurs bien au-delà du mouvement des droits numériques contre la dérégulation. Cela ne signifie pas qu'on gagne toutes nos batailles, loin de là. :(

Les nouvelles règles européennes sur les plaintes transfrontalières ne s’appliqueront qu’en avril 2027, alors que la CNIL est jugée sous-dimensionnée et que la DPC irlandaise reste incontournable. La fragmentation reste-t-elle le talon d’Achille du modèle européen ?

I.D : Oui, et surtout le manque de volonté politique d'investir dans l'application des règles, ainsi que le manque de ressources pour nombreuses autorités de protection de données (la CNIL c’est vraiment une exception). Le RGPD est devenu une référence mondiale, mais huit ans après son entrée en application, certaines des plus grandes entreprises continuent à violer ses dispositions. Les nouvelles règles procédurales peuvent aider, mais elles ne remplaceront jamais des autorités suffisamment financées, indépendantes et prêtes à agir. Et il serait absurde de répondre à ces problèmes d'application en affaiblissant les droits que ces autorités sont censées protéger, n’est-ce pas?

Dans dix ans, l’Europe est-elle encore la référence en protection des données, ou aura-t-elle cédé du terrain face à la compétitivité et à la pression américaine ?

I.D : Cela dépend beaucoup des décisions qu'on prend aujourd'hui. L'UE a prouvé qu'elle pouvait fixer des standards mondiaux, mais cette position n'est absolument pas garantie. Ce qui m'inquiète particulièrement, c'est que nous commençons à accepter l'idée que protéger les droits serait un obstacle économique, alors que personne n'a vraiment démontré que sacrifier ces protections rendrait nos entreprises plus compétitives. Dans dix ans, j'aimerais qu'on puisse dire que l'Europe a eu le courage de défendre son modèle et nos droits, même sous pression. Pour le moment, j'ai quelques doutes…