CEPD : ce que le Comité européen change pour vous

Derrière beaucoup de recommandations nationales sur la protection des données se trouve un texte adopté à l'échelle européenne. Le CEPD, Comité européen de la protection des données, réunit les autorités nationales pour que le RGPD soit appliqué de la même manière dans toute l'Union. Voici ce qu'il produit, comment il intervient et ce que vous pouvez en tirer.

Qu'est-ce que le Comité européen de la protection des données ?

C'est un organe de l'Union européenne doté de la personnalité juridique, institué par l'article 68 du RGPD. Il se compose du chef d'une autorité de contrôle de chaque État membre, pour la France la CNIL, et du Contrôleur européen de la protection des données. Sa raison d'être : garantir une application cohérente du règlement dans l'ensemble de l'Union.

Le Comité accomplit ses missions en toute indépendance (article 69). Il élit en son sein, à la majorité simple, un président et deux vice-présidents pour un mandat de cinq ans renouvelable une fois (article 73), et son secrétariat est assuré par le Contrôleur européen (article 75). Le texte de ces articles est consultable dans la version du RGPD publiée par la CNIL (chapitre VII).

Comité ou Contrôleur européen : comment ne pas les confondre ?

En français, les deux institutions portent le même sigle, CEPD, mais elles n'ont ni le même rôle ni le même public. Le Comité (EDPB en anglais) veille à l'application uniforme du RGPD par les autorités nationales. Le Contrôleur (EDPS en anglais) surveille les traitements réalisés par les institutions, organes et organismes de l'Union, en application du règlement (UE) 2018/1725.

Pour une entreprise privée, c'est donc le Comité qui compte, à travers ses lignes directrices et ses décisions. Le Contrôleur n'intervient qu'indirectement, comme membre du Comité et responsable de son secrétariat.

Quels textes le Comité adopte-t-il ?

Le Comité produit trois familles de textes : des lignes directrices qui interprètent le RGPD, des avis rendus dans des cas prévus par le règlement, et des décisions contraignantes qui tranchent les désaccords entre autorités. Ces décisions lient les autorités ; les entreprises en ressentent les effets via la décision finale de leur autorité.

• Lignes directrices (article 70). Elles précisent l'interprétation du règlement sur un sujet donné. Le 28 mars 2023, le Comité a par exemple adopté des lignes directrices sur le droit d'accès, et mis à jour celles sur l'autorité chef de file et la notification des violations, comme l'a relayé la CNIL.
• Avis (article 64). Une autorité nationale doit le solliciter avant d'adopter certaines mesures : la liste des traitements soumis à une AIPD, l'approbation d'un code de conduite, des clauses types de protection des données ou des règles d'entreprise contraignantes. Le Comité rend aussi à la Commission des avis sur le niveau de protection offert par un pays tiers.
• Décisions contraignantes (article 65). Elles règlent un différend entre autorités et sont adoptées à la majorité des deux tiers des membres, dans un délai d'un mois prolongeable d'un mois selon la complexité du dossier.

Ces documents sont publiés sur le site du Comité européen de la protection des données, souvent d'abord en anglais. Certaines lignes directrices passent par une consultation publique, ouverte aux observations des organisations.

Comment fonctionnent le guichet unique et le mécanisme de cohérence ?

Le guichet unique s'applique aux traitements transfrontaliers : votre entreprise dialogue avec une seule autorité, dite chef de file, celle du pays de votre établissement principal. Le mécanisme de cohérence prend le relais lorsque les autorités concernées ne s'accordent pas : le Comité tranche alors par une décision contraignante.

Selon la présentation du guichet unique par la CNIL, un traitement est transfrontalier lorsque l'organisme est établi dans plusieurs États membres, ou lorsqu'il est établi dans un seul mais affecte sensiblement des personnes dans d'autres.

1. 1Identifier — L'autorité chef de file est celle du pays de l'établissement principal.
2. 2Proposer — Elle soumet un projet de décision aux autres autorités concernées.
3. 3Objecter — Une autorité concernée peut formuler une objection pertinente et motivée ; l'autorité chef de file recherche alors un consensus.
4. 4Trancher — Si le désaccord persiste, le Comité adopte une décision contraignante (article 65).
5. 5Décider — L'autorité chef de file adopte sa décision finale sur cette base, au plus tard un mois après la notification de la décision du Comité.

Ce mécanisme a déjà servi dans des dossiers majeurs. La décision contraignante 1/2023, adoptée sur saisine de l'autorité irlandaise, portait sur les transferts de données de Meta Platforms Ireland pour son service Facebook : la lecture commune des autorités, et non celle d'un seul pays, a orienté la décision finale.

Qu'est-ce que cela change pour votre entreprise ?

Le CEPD ne vous contrôle pas et ne vous sanctionne pas directement : ce rôle revient à votre autorité nationale. En revanche, ses textes fixent la grille de lecture que la CNIL et ses homologues appliquent, ce qui en fait une référence de travail pour toute démarche de conformité.

Pour une PME qui n'opère qu'en France, l'effet est surtout interprétatif : les lignes directrices éclairent le consentement, l'intérêt légitime ou les transferts hors de l'Union. Pour une entreprise présente dans plusieurs États membres, l'enjeu devient procédural : l'autorité chef de file détermine votre interlocuteur et la juridiction compétente pour contester ses décisions.

Un responsable de traitement qui documente ses choix en citant les lignes directrices du CEPD dispose d'un appui utile en cas de contrôle : il montre qu'il a retenu l'interprétation partagée par les autorités européennes plutôt qu'une lecture isolée du règlement.

À retenir

• Le CEPD désigne ici le Comité européen de la protection des données, institué par les articles 68 à 76 du RGPD.
• Il ne faut pas le confondre avec le Contrôleur européen, qui surveille les institutions de l'Union.
• Ses lignes directrices expriment l'interprétation commune du RGPD retenue par les autorités nationales, sans être un texte de loi.
• Ses décisions contraignantes tranchent les désaccords entre autorités dans les dossiers transfrontaliers.
• Ses textes servent de référence pour documenter vos choix de conformité.