Le 4 juillet 2023, la Commission a adopté et présenté une proposition de règlement du Parlement européen et du Conseil établissant des règles de procédure supplémentaires relatives à l’application du règlement (UE) 2016/679, c’est-à-dire du règlement dit « RGPD »1 (ci-après « la Proposition »)2.
Cinq ans après l’entrée en vigueur du RGPD, en mai 2018, ce que l’on pourrait appeler son premier règlement de procédure (ci-après « RP-RGPD ») est le bienvenu. En effet, bien qu’il contienne déjà plusieurs dispositions procédurales, le RGPD s’est avéré d’une application souvent disparate en fonction des Etats membres, notamment de la part des autorités nationales de contrôle (ci-après « ANC ») compétentes en matière de protection des données.
C’est en tout cas ce que la Commission elle-même avait pointé du doigt dans son premier rapport d’application du RGPD en 20203. Elle constatait notamment des différences importantes entre les procédures administratives et dans l’interprétation de la manière de coopérer. Le Parlement européen s’en était fait aussi l’écho en mars 20214, conduisant le comité européen de la protection des données (CEPD) à adopter en mars 2022 des lignes directrices relatives à l’application de l’article 60 du RGPD5, puis à dresser, en octobre 2022, une liste de quatorze améliorations possibles d’ordre procédural. On retrouve dans la proposition de la Commission l’essentiel des pistes évoquées par le CEPD en vue de « permettre un fonctionnement harmonieux et efficace des mécanismes de coopération et de règlement des litiges » (voir considérant (2) de la Proposition), tels qu’aménagés de manière inédite par le RGPD6.
Il en découle quatre grands axes d’innovations procédurales.
En premier lieu, la Proposition s’intéresse à la phase en amont du traitement des réclamations transfrontalières, présentées, à juste titre, comme « une source d’information essentielle » pour déceler les violations du RGPD (voir considérant (3) de la Proposition), et ce, en harmonisant les exigences relatives à leur recevabilité. Un formulaire devra désormais être utilisé par le plaignant, avec un certain nombre d’informations requises (voir article 3 de la Proposition et annexe). La démarche n’est pas nouvelle : un formulaire-standard est déjà prévu pour introduire une plainte pour manquement au droit de l’Union européenne ou pour violation des règles d’aides d’Etat. L’avantage est un traitement utile et harmonisé de la réclamation, dans la mesure où aucune autre information ne pourra être exigée pour la considérer recevable. Par ailleurs, la Commission en profite pour encourager le recours au règlement à l’amiable, sous l’égide de l’ANC (voir article 5 de la Proposition)7.
Parallèlement, la Proposition vise à renforcer les droits du plaignant, et notamment ses droits de la défense, en reconnaissant à ce dernier un droit d’être entendu avant le rejet total ou partiel de sa réclamation, sur base d’un avis préliminaire établi par l’ANC sur lequel il pourra formuler des observations dans un délai minimum de 3 semaines (voir article 11 de la Proposition).
Les droits des responsables du traitement et des sous-traitants visés par la plainte font également l’objet d’un renforcement. Ils doivent se voir notifier par l’ANC cheffe de file ses conclusions préliminaires, pour leur permettre de faire connaître leur point de vue dans un délai donné (voir article 14 de la Proposition, qui ne prévoit pas en revanche de délai minimum)8. En outre, après cette transmission, ils pourront demander à avoir accès au dossier administratif de l’enquête (voir article 20 de la Proposition), lequel regroupe tous les documents à disposition de l’ANC cheffe de file, sans toutefois y inclure la correspondance entre ANC (voir article 19 de la Proposition) et sous réserve de la protection des informations confidentielles (voir article 21 de la Proposition).
En second lieu, la Commission entend rationaliser la coopération entre ANC. Pour rappel, en cas de litige transfrontalier, le système dit du guichet unique de l’article 56 du RGPD fait qu’une ANC est désignée comme ‘cheffe de file’ (a priori celle de l'établissement principal ou de l'établissement unique du responsable du traitement ou du sous-traitant) et doit coopérer avec les autres ANC concernées pour faciliter la formation d’un consensus en échangeant « toute information utile » (voir article 60§1 du RGPD). Le futur RP-RGPD listera désormais l’ensemble de ces informations utiles (voir article 8 de la Proposition) et imposera à l’ANC cheffe de file de rédiger, à l’attention des autres ANC concernées, un « résumé des points essentiels » du dossier (voir article 9 de la Proposition), sur lequel ces autres ANC pourront formuler des observations (sous délai de 4 semaines). Si la décision finale conduit l’ANC à rejeter totalement ou partiellement la réclamation, l’auteur de cette dernière devra se voir informé de son droit de recours juridictionnel (voir article 13 de la Proposition, en référence à l’article 78 du RGPD)9.
En troisième lieu, la Proposition vise à rationaliser également le règlement des litiges, au titre de l’article 65 du RGPD, en vertu duquel, en substance, le CEPD intervient en cas d’absence de consensus entre ANC sur un dossier, en adoptant, s’il y a lieu, une décision contraignante10. Là aussi, pour éviter les disparités, une liste des documents à transmettre au CEPD est établie11 et un délai (de 4 semaines) est assigné à ce comité pour déterminer les objections jugées pertinentes et motivées émanant des ANC concernées (voir article 22 de la Proposition). Autre obligation procédurale novatrice : le CEPD devra fournir à toutes les parties à l’enquête un exposé des motifs expliquant le raisonnement qu’il entend adopter dans sa décision, avant de l’adopter, en leur donnant la possibilité de faire connaître leur point de vue dans un délai d’une semaine (voir article 24 de la Proposition).
Enfin, en quatrième et dernier lieu, la Commission propose de fixer quelques exigences procédurales relatives à la procédure d’urgence de l’article 66§2 du RGDP, en particulier lorsqu'une ANC demande au CEPD un avis d'urgence ou une décision contraignante d'urgence après avoir elle-même adopter une mesure provisoire d’urgence sans recourir à la procédure, précitée, du consensus et afin de pouvoir en prendre une définitive, toujours sous le bénéfice de l’urgence. La Proposition précise ainsi qu’une telle demande doit parvenir au CEPD au plus tard 3 semaines avant l’expiration de la mesure provisoire concernée (voir articles 27 et 28 de la Proposition, qui précisent également le contenu de ladite demande).
---
Ce bref survol de la proposition de la Commission peut laisser penser que la réforme procédurale qu’elle sous-tend est d’ampleur limitée. Pour autant, le fait de préciser la documentation requise à certaines phases d’une enquête ou d’aménager des délais là où le RGPD était silencieux, ne doit pas être sous-estimé. Tout en participant au renforcement de l’effectivité de la protection d’un droit fondamental auquel contribue déjà le RGPD12, son futur règlement de procédure pourrait aussi inciter les ANC à traiter les dossiers dans un délai raisonnable et à ainsi participer à ce « nouvel élan pour la démocratie européenne » que la Commission a appelé de ses vœux et dans lequel elle a entendu inscrire son initiative13.
Stéphane Rodrigues,
Avocat au barreau de Bruxelles, associé du cabinet LLJ (Lallemand Legros & Joyn), maître de conférences (HDR) à l’Ecole de droit de la Sorbonne (Université Paris 1 Panthéon Sorbonne)
--------------------------------
1 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), JOUE L 119 du 4.5.2016, pp. 1 et s.
2 Communication de la Commission COM (2023) 348 final : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A52023PC0348&qid=1698576212947. Voir aussi communiqué de presse IP/23/3609 du 4 juillet 2023 : https://ec.europa.eu/commission/presscorner/detail/fr/ip_23_3609
3 Communication de la Commission au Parlement européen et au Conseil, « La protection des données: un pilier de l’autonomisation des citoyens et de l’approche de l’Union à l’égard de la transition numérique – deux années d’application du règlement général sur la protection des données » du 24 juin 2020 : COM(2020) 264 final ; document dans lequel la Commission invitait les Etats membres notamment « à mettre en place des dispositifs efficaces entre les autorités chargées de la protection des données en ce qui concerne le fonctionnement des mécanismes de coopération et de contrôle de la cohérence, y compris pour les aspects procéduraux » et à « intensifier la coopération entre les autorités chargées de la protection des données, par exemple en menant des enquêtes conjointes ».
4 Résolution du Parlement européen du 25 mars 2021 concernant le rapport d’évaluation de la Commission sur la mise en œuvre du règlement général sur la protection des données deux ans après son entrée en application (2020/2717(RSP)).
5 Lignes directrices du CEPD n°02/2022 du 14 mars 2022 : https://edpb.europa.eu/system/files/2022-10/guidelines_202202_on_the_application_of_article_60_gdpr_fr.pdf
6 Voir notamment les articles 60 et 65 du RGPD, à propos desquels on peut constater que le contentieux est encore fort discret. A lire toutefois, à propos du mécanisme de “guichet unique” et de la coopération loyale et efficace entre les autorités de contrôle : arrêt de la Cour (grande chambre) du 15 juin 2021, Facebook Ireland Ltd e.a. contre Gegevensbeschermingsautoriteit, C-645/19, EU:C:2021:483.
7 Voir aussi article 6 de la Proposition à propos de la répartition des responsabilités entre ANC en matière de traduction des réclamations.
8 A noter : une version non confidentielle de ces conclusions préliminaires sera également transmise au plaignant (voir article 15 de la Proposition).
9 A cet égard, la Cour de justice a eu l’occasion de préciser que cette voie de recours juridictionnelle pouvait être exercée de manière concurrente et indépendante de la voie de la réclamation auprès d’une ANC : v. arrêt de la Cour du 12 janvier 2023, Budapesti Elektromos Művek, C-132/21, EU:C:2023:2.
10 Pour le premier contentieux en annulation contre une décision contraignante du CEPD : v. ordonnance du Tribunal du 7 décembre 2022, WhatsApp Ireland/CEPD, T-709/21, EU:T:2022:783, qui rejette comme irrecevable le recours sur pied de l’article 263 TFUE, en ce que la requérante n’est pas directement concernée par la décision du CEPD qui ne lui est pas opposable et qui s’adresse uniquement à l’autorité nationale de contrôle concernée, en tant qu’acte préparatoire à sa décision finale ; mais ordonnance sous pourvoi (affaire C-97/23 P).
11 Même approche en cas de saisine du CEPD d’une question relative à la compétence d’une ANC (voir article 25 de la Proposition) ou en cas d’absence de saisine du CEPD ou de non-suivi de son avis (voir article 26 de la Proposition).
12 V. considérant (1) du RGPD qui se réfère à l’article 8, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne et à l'article 16, paragraphe 1, du traité sur le fonctionnement de l'Union européenne. Comme l’a rappelé la Cour dans son arrêt du 5 octobre 2023, RK, C-659/22, EU:C:2023:745, point 28.
13 Voir Section 3.6 du programme de travail de la Commission pour 2023 : « Une Union qui montre sa fermeté et son unité » - COM(2022) 548 final du 18 octobre 2022.
