Article 55 RGPD : compétence et limites de la CNIL
Article 55 RGPD : compétence territoriale, exception au guichet unique et fonction juridictionnelle. Une méthode pour identifier le bon interlocuteur.
- Article 55 RGPD : trois règles à distinguer
- L’exception de l’article 55(2)
- Fonction juridictionnelle : une exclusion de compétence
- Une fiche utile pour le DPO
- Partir de l’opération, puis identifier les acteurs
- Vérifier le transfrontalier sans effacer la compétence locale
- Traiter les activités mixtes dans des fiches distinctes
- Séparer l’exclusion juridictionnelle et l’examen de licéité
- Préparer une réponse utilisable pendant l’analyse
- Ce qu’il faut retenir
- FAQ
La CNIL peut-elle contrôler un traitement au seul motif qu’une personne concernée habite en France ? L’article 55 RGPD pose une compétence territoriale, mais il faut aussi examiner le champ d’application du règlement, la dimension transfrontalière et les exceptions. La nationalité d’un client ou l’adresse du siège ne suffisent pas à résoudre tout le dossier.
Article 55 RGPD : trois règles à distinguer
Selon l’Art. 55(1), chaque autorité exerce les missions et pouvoirs du RGPD sur le territoire de son État membre. Pour un traitement transfrontalier, cette règle s’articule avec l’autorité chef de file de l’article 56.
Avant de déterminer l’autorité compétente, vérifier que le traitement relève bien du RGPD : les règles de l’article 3 sur son application territoriale répondent à une question distincte. Un service hors UE n’est pas soumis au règlement uniquement parce que son site est consultable depuis la France.
| Situation | Raisonnement à conduire |
|---|---|
| Traitement relevant du RGPD, sans dimension transfrontalière | Examiner la compétence territoriale de l’Art. 55(1) |
| Traitement transfrontalier | Articuler les Art. 55 et 56 avec les critères d’établissement et d’effet sur les personnes |
| Situation visée à l’Art. 55(2) | L’autorité de l’État membre concerné est compétente ; l’Art. 56 ne s’applique pas |
| Traitement d’une juridiction dans sa fonction juridictionnelle | L’Art. 55(3) exclut la compétence des autorités de contrôle pour cette opération |
L’exception de l’article 55(2)
Le texte vise les traitements effectués par des autorités publiques ou des organismes privés agissant sur les bases de l’Art. 6(1)(c) ou (e) : obligation légale, mission d’intérêt public ou exercice de l’autorité publique. Dans ces cas, l’Art. 56 est écarté. Il faut raisonner sur le traitement concerné et son fondement, pas attribuer globalement un régime à toute société ayant un client public. Source : Art. 55(2).
Exemple hypothétique : un prestataire informatique accompagne une collectivité et vend aussi un logiciel commercial à des entreprises. La présence d’une collectivité dans sa clientèle ne règle pas, à elle seule, la compétence pour toutes ses activités. Il faut identifier les rôles de chaque entité et les opérations examinées. Le choix d’une base légale ne sert pas à sélectionner l’autorité jugée la plus favorable.
Fonction juridictionnelle : une exclusion de compétence
L’Art. 55(3) protège l’indépendance de la justice en excluant le contrôle des opérations effectuées par les juridictions dans leur fonction juridictionnelle. Ce n’est pas une dispense générale de protection des données.
La CJUE a précisé la portée de cette règle dans l’arrêt C-245/20 du 24 mars 2022, points 32 à 39. La mise à disposition temporaire de pièces d’une procédure à des journalistes, pour faciliter la couverture de celle-ci, relevait de la fonction juridictionnelle. La notion dépasse donc le seul instant où le juge tranche le litige ; la Cour ne validait pas pour autant toute communication de données au fond.
Pour un traitement de gestion administrative, il faut apprécier concrètement son lien avec la fonction juridictionnelle. Les étiquettes « ressources humaines », « sécurité » ou « logiciel de tribunal » ne remplacent pas cet examen. Un prestataire ne bénéficie pas automatiquement de l’exclusion pour ses propres usages commerciaux des données.
Une fiche utile pour le DPO
Avant de répondre à un contrôle ou de préparer une notification, documenter :
- le traitement précis et les entités impliquées ;
- le champ territorial du RGPD et les établissements concernés ;
- la base légale et l’éventuelle application de l’Art. 55(2) ;
- la dimension transfrontalière et le rôle des différentes autorités ;
- les demandes reçues, leur fondement et les délais indiqués.
Cette fiche est une méthode pratique. Elle aide à organiser la coopération entre autorités, mais ne permet pas d’ignorer une demande tant que l’analyse est en cours. Toute contestation de compétence doit être portée dans la procédure appropriée ; le droit au recours demeure applicable.
Partir de l’opération, puis identifier les acteurs
Une analyse de compétence devient fragile lorsqu’elle commence par une conclusion sur le groupe entier. Décrivez d’abord l’opération : collecte, consultation, communication ou conservation de quelles données, pour quelle finalité et sous quelle responsabilité. Le nom du logiciel ou du contrat ne suffit pas à délimiter le traitement.
Rassemblez ensuite les éléments qui permettent d’identifier le responsable et les éventuels sous-traitants. Une filiale peut exploiter un service tout en recevant certaines instructions du siège ; il faut comprendre qui détermine les finalités et les moyens du traitement concerné. La qualification ne résulte pas seulement du nom de la société figurant sur une facture.
Pour préparer cette analyse, une fiche peut distinguer :
| Élément | Pièce ou explication recherchée |
|---|---|
| Opération examinée | Description des données, personnes et finalités |
| Décision | Entité qui décide effectivement du traitement |
| Établissements | Activités concernées et organisation documentée |
| Effets | États dans lesquels les personnes sont affectées par le traitement |
| Régime particulier | Motifs éventuels d’application de l’Art. 55(2) ou (3) |
Il s’agit d’une méthode proposée, pas d’un formulaire de la CNIL. Gardez les faits vérifiés distincts des informations encore demandées. Une adresse de siège confirmée n’établit pas, à elle seule, où sont prises les décisions pertinentes pour chaque traitement.
Vérifier le transfrontalier sans effacer la compétence locale
Les définitions de l’Art. 4(16) et (23) doivent être rapprochées des faits lorsque l’établissement principal et le traitement transfrontalier sont en cause. Plusieurs pays de clientèle ne constituent pas une explication suffisante : documentez les établissements, l’organisation du traitement et ses effets sur les personnes. L’analyse du champ territorial selon l’Art. 3 reste une étape distincte.
L’Art. 56(2) à (5) prévoit par ailleurs un mécanisme pour une réclamation ou une violation concernant uniquement un établissement local ou affectant sensiblement des personnes dans un seul État membre. L’autorité concernée informe l’autorité chef de file, qui décide dans les trois semaines prévues par le texte si elle traitera le cas. Ce délai organise leurs relations ; il ne devient pas un délai général accordé à l’entreprise pour différer sa réponse.
Pour le suivi du dossier, relevez donc l’autorité qui vous contacte, l’objet précis de son courrier, le rôle qu’elle indique et la procédure annoncée. L’existence alléguée d’une autorité chef de file ne permet pas de classer automatiquement comme sans objet toute sollicitation reçue d’une autre autorité.
Traiter les activités mixtes dans des fiches distinctes
Dans un cas entièrement fictif, Silène fournit une application à un organisme public et exploite, pour ses propres besoins, une liste de prospects professionnels. Une question apparaît sur des journaux d’accès de l’application. Avant de conclure sur l’autorité compétente, il faut identifier l’opération examinée, les instructions reçues et le rôle de Silène à son égard.
Le dossier de prospection ne doit pas être absorbé dans cette analyse au seul motif qu’il utilise des coordonnées également présentes dans la relation contractuelle. Sa finalité, sa base légale et la personne qui en décide doivent être examinées séparément. De même, le recours par l’organisme public à une obligation légale ou à une mission d’intérêt public ne donne pas au fournisseur une base générale pour ses usages propres.
La fiche devrait indiquer ce qui manque : description des journaux, finalités de consultation, instruction applicable ou organisation de la décision. L’exemple ne présume ni la qualification définitive de Silène ni la compétence d’une autorité déterminée. Il montre comment éviter qu’une conclusion portant sur une opération soit étendue à toutes les autres sans justification.
Séparer l’exclusion juridictionnelle et l’examen de licéité
Pour une opération réalisée dans l’environnement d’une juridiction, posez deux questions successives : quel est son lien avec l’activité juridictionnelle et quelles obligations de protection des données restent applicables ? Les documents décrivant la finalité, les destinataires et les circonstances de la communication peuvent éclairer la première question sans répondre entièrement à la seconde.
L’arrêt C-245/20 cité plus haut distingue précisément la compétence de contrôle et la licéité du traitement. Il serait donc erroné de transformer une conclusion d’incompétence de l’autorité en permission générale de diffuser des dossiers. Inversement, affirmer qu’une communication paraît illicite ne suffit pas à démontrer que la CNIL est l’organe compétent pour la contrôler.
Dans une note interne, formulez séparément la qualification retenue, son fondement et les questions de fond restant à résoudre. Si un prestataire traite ensuite les données pour une finalité propre, décrivez cette opération au lieu de lui attribuer automatiquement le régime de la communication initiale.
Préparer une réponse utilisable pendant l’analyse
Lorsqu’un courrier arrive, centralisez sa réception et attribuez chaque demande à une personne capable de fournir les faits. Préparez une chronologie, les pièces disponibles et les points discutés. Une réserve sur la compétence doit être formulée précisément, avec le traitement et les raisons concernés ; une formule générale sur le siège étranger ne remplace pas cette démonstration.
Conservez les échéances indiquées et les échanges relatifs à leur traitement. Si vous demandez une précision ou un aménagement, distinguez la demande envoyée de la réponse reçue. Ne présentez pas une hypothèse de transfert du dossier entre autorités comme une suspension déjà acquise.
Enfin, la position de l’entreprise sur la compétence ne doit pas empêcher une personne de comprendre comment exercer ses droits. L’Art. 77(1) prévoit notamment la possibilité de saisir l’autorité de l’État de résidence habituelle, du lieu de travail ou du lieu de la violation alléguée. Ce point d’entrée ne préjuge pas de toute la répartition ultérieure du dossier entre autorités.
Ce qu’il faut retenir
- La compétence territoriale et le champ d’application du RGPD sont deux questions différentes.
- L’Art. 55(2) écarte le guichet unique pour les situations qu’il vise.
- L’exclusion juridictionnelle ne supprime pas les obligations de protection des données.
- Une analyse par traitement est plus fiable qu’une conclusion fondée uniquement sur le siège ou le secteur.
FAQ
Le siège français suffit-il à exclure toute autre autorité ?
Non. Un traitement peut être transfrontalier et appeler une coopération entre autorités. Il faut examiner les Art. 55 et 56 et les définitions applicables.
La CNIL peut-elle contrôler tout traitement d’un tribunal ?
Non. Les opérations effectuées dans la fonction juridictionnelle sont exclues de sa compétence par l’Art. 55(3). La qualification dépend de l’opération et de son contexte.
Un sous-traitant d’une administration bénéficie-t-il d’une exemption générale ?
Non. Le contrat avec une administration n’exempte pas le prestataire de ses obligations et ne détermine pas automatiquement le régime de toutes ses activités.
Recevez nos analyses pratiques : inscription à la newsletter.
Thiebaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.