Le 17 août 2026, la Commission européenne a ouvert une consultation publique sur l'application et le fonctionnement de la directive (EU) 2016/680, la Law Enforcement Directive (LED), dans l'ensemble de l'Union européenne. Les contributions sont recevables jusqu'au 28 septembre 2026, minuit heure de Bruxelles. L'acte attendu est une communication de la Commission dressant le bilan de la transposition et de l'application de la LED par les États membres huit ans après son entrée en application, avec une adoption prévue au troisième trimestre 2026.
Il ne s'agit pas d'une nouvelle obligation contraignante. Cette fenêtre d'évaluation statutaire peut toutefois fixer l'agenda d'une future réforme des règles applicables aux données personnelles dans le domaine policier et de la justice pénale, des pratiques de partage transfrontalier, et des dispositifs de conformité que les autorités compétentes et leurs sous-traitants mettent réellement en œuvre.
Que vise exactement la Commission, et qu'est-ce qui n'est pas encore sur la table ?
L'initiative porte sur les règles de l'UE qui encadrent le traitement des données à caractère personnel par les autorités de police et de justice pénale aux fins de prévention, d'enquête, de détection ou de poursuite d'infractions pénales, ainsi que des activités judiciaires connexes. La Commission demande comment ces règles ont été transposées et utilisées en pratique, et si elles garantissent encore à la fois un niveau de protection élevé et un partage des données fonctionnel à l'échelle de l'UE.
L'acte prévu est une communication, référencée Ares(2026)7936373 sur le dossier Have Your Say. Aucune directive ou réglementation modificative n'est proposée à ce stade. Les parties prenantes doivent considérer cette consultation comme la base factuelle d'un futur rapport d'évaluation, et non comme un projet de texte juridique. Un suivi en temps réel, continu et par juridiction, fait émerger ce type de consultation de la Commission dès l'ouverture du portail, avant la fermeture de la fenêtre de commentaires.
La LED reste la référence contraignante : la directive (EU) 2016/680 continue de régir les autorités compétentes et les entités qui traitent des données pour leur compte à des fins de maintien de l'ordre, en parallèle du RGPD pour les autres traitements.
Qui devrait répondre avant le 28 septembre 2026 ?
Sont prioritaires les délégués à la protection des données et les responsables de gouvernance au sein des autorités de police, de parquet et de juridictions pénales, ainsi que les sous-traitants privés et les fournisseurs technologiques qui conçoivent, hébergent ou exploitent pour ces autorités des systèmes de gestion d'affaires, de biométrie, d'analyse ou d'échange transfrontalier.
Les autorités de contrôle des États membres dotées d'une compétence LED, les plateformes d'échange de données de la justice pénale et les parties prenantes de l'UE aux dossiers justice et affaires intérieures ont également un intérêt direct : la communication enregisttera le degré d'harmonisation, ou au contraire de fragmentation, des pratiques nationales après huit ans. Les acteurs commerciaux qui relèvent uniquement du RGPD pour leurs activités commerciales sortent du périmètre central de la LED, mais les fournisseurs qui vendent à des autorités compétentes doivent surveiller si l'évaluation signale des lacunes susceptibles de se transformer ultérieurement en propositions législatives.
Que doivent faire les équipes de conformité avant l'échéance ?
Cartographier chaque activité de traitement qui s'appuie sur la transposition nationale de la LED, y compris les co-responsables, les sous-traitants et les transferts ou échanges transfrontaliers avec d'autres autorités d'États membres. Documenter les écarts entre la pratique nationale et les attentes de la directive en matière de limitation des finalités, de qualité des données, de conservation, de journalisation et de droits des personnes, adaptés au contexte du maintien de l'ordre.
Déposer sur le portail de la Commission, avant le 28 septembre 2026, des contributions concrètes et étayées : frictions opérationnelles dans le partage transfrontalier, transposition inégale, ou lacunes de protection qui créent un risque juridique pour les autorités et leurs prestataires. Aligner les dossiers de synthèse internes afin que les équipes vie privée, juridique et produit partagent une même lecture de l'exposition LED avant la communication prévue au T3 2026.
| Jalon | Date / fenêtre | Ce que cela implique pour les praticiens |
|---|---|---|
| Ouverture de la consultation | 17 août 2026 | Début de la fenêtre de contributions sur l'initiative Have Your Say 18372 |
| Clôture des contributions | 28 septembre 2026 (minuit, heure de Bruxelles) | Dernier jour pour déposer des éléments pouvant orienter le rapport d'évaluation |
| Adoption par la Commission (prévue) | Troisième trimestre 2026 | Communication sur l'application de la LED ; surveiller les signaux de réforme ultérieurs |
Comment cela s'articule-t-il avec le RGPD et le volet Digital Omnibus ?
La LED est le régime spécialisé pour les données à caractère personnel dans le domaine pénal ; le RGPD couvre les autres traitements. Les responsables de traitement qui portent les deux casquettes (par exemple, un ministère qui exploite des traitements administratifs sous le RGPD et des systèmes opérationnels sous la LED) doivent maintenir les deux régimes distincts dans leurs politiques, leurs analyses d'impact (DPIA) et leurs contrats avec les prestataires.
Cette évaluation est distincte du volet données du Digital Omnibus, qui cible la simplification du RGPD, d'ePrivacy, de NIS2, de DORA et de la Data Act. Ne pas noyer les commentaires sur la LED dans les narratifs Omnibus sur les cookies ou la charge RGPD : la Commission a ouvert un dossier séparé pour la protection des données dans le maintien de l'ordre, et les contributions sur l'initiative 18372 doivent rester centrées sur la transposition de la LED, le partage opérationnel et les résultats en matière de protection.
Profitez de cette veille en temps réel
Prochaines étapes : confirmer si votre organisation traite des données sous les règles nationales de transposition de la LED ou en tant que sous-traitant d'une autorité compétente ; inscrire l'échéance du 28 septembre 2026 au calendrier ; et sensibiliser le conseil juridique et les responsables produit sur les lacunes que vous souhaitez voir consignées dans la communication. Obsidian conserve l'évaluation de la LED et tout signal de réforme ultérieur sur un même fil de surveillance, afin que les équipes agissent à la date du portail plutôt qu'au rythme des reprises secondaires.
