Article 70 RGPD : missions du CEPD et veille pratique

Une ligne directrice du Comité européen de la protection des données (CEPD) aide à interpréter le RGPD. Une décision contraignante tranche un différend dans les conditions prévues par le règlement. L’Art. 70 rassemble ces missions sans donner la même portée à tous les documents du Comité.

Article 70 RGPD : les principales fonctions

Le Comité veille à l’application cohérente du règlement, sans remplacer les autorités nationales. L’Art. 70(1) détaille ses missions des points a) à y). Source : RGPD, Art. 70.

Le point o) prévoit l’approbation de critères de certification ; le point p) vise l’approbation d’exigences d’agrément. Cela ne signifie pas que le Comité accrédite lui-même tous les organismes ou certifie chaque entreprise. Notre guide de l’article 42 sur la certification précise ces distinctions.

Interprétation, avis et décision : vérifier la portée

Les orientations de l’Art. 70(1)(e) expliquent l’application du règlement. Les obligations restent fondées sur les textes applicables ; une orientation ne crée pas à elle seule une nouvelle infraction.

Les avis de l’article 64 portent sur certains projets ou sur des questions générales. Les décisions de l’article 65 lient les autorités concernées dans les cas prévus. Le seul titre « publication du CEPD » ne permet donc pas de déterminer les conséquences pour une entreprise.

L’Art. 70(3) prévoit la publication des avis, lignes directrices, recommandations et bonnes pratiques. Le paragraphe 4 prévoit, le cas échéant, une consultation des parties intéressées, avec un délai raisonnable et une publication des résultats sous réserve de la confidentialité. Il ne rend pas toute consultation obligatoire avant chaque acte.

Transformer la veille en actions vérifiables

Pour chaque document pertinent, le DPO peut consigner :

1. Son numéro, sa version et son statut : projet ou texte adopté.
2. Le traitement concerné dans l’organisation.
3. L’écart entre la pratique réelle et l’analyse du document.
4. La mesure retenue, sa justification et la preuve de réalisation.

Exemple hypothétique : une orientation sur l’information conduit à reprendre une notice. La preuve utile comprend l’ancienne version, les passages modifiés, la nouvelle interface et la date de déploiement. Enregistrer uniquement « veille faite » ne permet pas de retrouver ce qui a changé.

Le rapport annuel de l’article 71 aide à repérer les travaux publiés. Il ne remplace pas la lecture des documents auxquels il renvoie.

Relier chaque mission à l’acteur qui décide

Le tableau des missions ne doit pas devenir une liste de validations à demander au Comité. L’Art. 70 organise son rôle dans le système européen de protection des données. Selon le sujet, il interprète le règlement, conseille une institution, émet un avis sur un projet ou adopte une décision dans le cadre d’une compétence définie. La mesure finale peut relever d’un autre acteur.

Les transferts internationaux en fournissent un exemple. L’Art. 70(1)(s) prévoit un avis du Comité sur l’évaluation de l’adéquation d’un pays tiers ou d’une organisation internationale. L’Art. 45(3) attribue à la Commission l’adoption de la décision constatant cette adéquation. Pour justifier un transfert, ne remplacez donc pas la recherche de la décision applicable et de son périmètre par la seule mention d’un avis favorable du Comité. RGPD, Art. 45.

La même attention s’applique à la certification. L’approbation de critères, l’agrément d’un organisme et la délivrance d’une certification sur un périmètre donné sont des étapes distinctes. Une entreprise qui présente un certificat doit permettre d’identifier ce qu’il couvre. La présence du nom du Comité sur un document relatif au mécanisme ne démontre pas que tous ses traitements sont certifiés.

Lire une orientation comme un raisonnement applicable à des faits

Une ligne directrice peut préciser des critères, discuter des situations et proposer des exemples. Pour l’utiliser, commencez par la question qu’elle traite, puis recherchez les passages qui correspondent à votre opération. Ne partez pas d’une phrase isolée trouvée dans un moteur de recherche : elle peut dépendre d’une hypothèse décrite quelques paragraphes plus haut.

Distinguez dans votre analyse la disposition légale, son interprétation et les mesures choisies par l’organisme. Par exemple, une obligation d’information doit être rattachée au texte qui s’applique à la collecte ; le support retenu dépend ensuite de la situation. Copier la présentation d’un exemple ne prouve pas que l’information est complète, accessible et adaptée au parcours réellement utilisé.

Si un service souhaite s’écarter d’une solution évoquée dans une orientation, demandez une justification précise. Quels faits diffèrent ? Quelle obligation reste à satisfaire ? Comment la solution proposée y répond-elle ? L’absence de valeur législative d’une ligne directrice ne dispense pas d’en examiner le raisonnement. À l’inverse, son importance interprétative ne permet pas d’attribuer à chaque illustration le caractère d’une obligation textuelle universelle.

Avis de cohérence : examiner le projet et ses suites

L’Art. 64(1) vise plusieurs types de projets, notamment les listes d’opérations nécessitant une AIPD, certains instruments contractuels ou les règles d’entreprise contraignantes. L’Art. 64(2) permet aussi de soumettre des questions d’application générale ou produisant des effets dans plusieurs États membres. Tous les avis ne se rattachent donc pas à une décision individuelle concernant une entreprise.

Lorsqu’un avis porte sur un projet, identifiez la mesure envisagée et l’autorité concernée. L’Art. 64(7) demande à cette autorité de tenir le plus grand compte de l’avis et d’indiquer si elle maintient ou modifie son projet. L’avis peut ainsi être une étape essentielle sans être lui-même la mesure nationale finalement adoptée.

Pour votre dossier, conservez la chaîne de références : projet ou question, avis pertinent et acte ultérieur lorsqu’il existe. Si vous ne retrouvez que l’avis, notez la suite à vérifier. Un extrait de veille ne doit pas donner comme définitif le contenu d’un projet susceptible d’avoir été modifié. Cette vérification est particulièrement utile avant d’invoquer une liste nationale ou un instrument approuvé pour justifier une pratique.

Décisions contraignantes : ne pas perdre le contexte du différend

Le point t) de l’Art. 70(1) renvoie aux mécanismes des Art. 64 à 66. Pour une décision relevant de l’Art. 65, recherchez la question tranchée et les autorités auxquelles elle s’adresse. L’autorité compétente adopte ensuite sa décision finale sur cette base, selon le paragraphe 6. Lire seulement l’annonce du Comité peut laisser de côté les faits retenus ou les mesures finalement imposées.

Un organisme extérieur au dossier peut en tirer un enseignement utile, mais doit expliquer la comparaison. Les similitudes de secteur ou de logiciel ne suffisent pas. Il faut rapprocher les finalités, les personnes concernées, les opérations et les obligations discutées. La note interne peut identifier un risque à examiner sans annoncer que la décision ordonne directement une mesure à tous les acteurs du marché.

Conservez aussi les limites de cette analyse : version examinée, pièces publiques disponibles et questions non résolues. Lorsque le dossier soulève une difficulté contentieuse, la veille documentaire sert à préparer l’examen juridique ; elle ne remplace pas l’étude des voies de recours et de leurs conditions.

Participer à une consultation avec une contribution exploitable

Lorsque le Comité ouvre une consultation, commencez par vérifier son objet, sa période et les modalités annoncées. Une contribution peut signaler une difficulté d’application concrète ou proposer une clarification. Elle sera plus utile si elle renvoie à un passage précis et décrit les conséquences de l’interprétation envisagée.

Une structure possible consiste à présenter le paragraphe concerné, le problème rencontré, un exemple fictif et une proposition de rédaction motivée. Évitez de transmettre des données de clients ou des pièces internes sans nécessité. L’Art. 70(4) prévoit la publication des résultats sous réserve de l’Art. 76 ; il ne faut pas présumer que toute information envoyée bénéficie du traitement confidentiel souhaité.

Au sein de l’organisation, faites valider la contribution par les personnes compétentes et conservez la version déposée. L’accusé de réception ne signifie pas que le Comité adopte la proposition. Après publication d’une nouvelle version, comparez les passages pertinents avant d’adapter vos consignes. Le fait d’avoir contribué au débat n’exonère pas de cette vérification.

Un exemple fictif de mauvaise attribution à corriger

Supposons que la société fictive Verveine reçoive d’un fournisseur un dossier présenté comme « validé par le CEPD ». Il contient un avis portant sur un mécanisme de certification, une brochure commerciale et un certificat dont l’annexe manque. Aucun fournisseur réel ni contrôle réalisé n’est décrit ici.

La réponse utile consiste à identifier chaque pièce et sa fonction. L’avis peut éclairer le mécanisme ; la brochure expose une promesse du fournisseur ; le certificat demande une vérification de son périmètre et de son statut. Verveine sollicite l’annexe et les informations nécessaires, sans présumer que l’avis certifie sa future prestation.

La décision d’achat reste ouverte tant que les éléments pertinents manquent. Cette méthode évite qu’une référence institutionnelle exacte soit utilisée pour soutenir une conclusion qu’elle ne démontre pas. Elle traduit les distinctions de l’Art. 70 en une action simple : attribuer chaque conclusion au bon document et au bon acteur.

Ce qu’il faut retenir

• L’Art. 70 rassemble les missions interprétatives, consultatives et de cohérence du Comité.
• Les règles de certification distinguent critères, exigences d’agrément et certification d’un organisme.
• La portée d’une publication dépend de sa nature et de son fondement.
• Une veille utile conserve la décision prise et sa preuve d’application.

FAQ

Le CEPD sanctionne-t-il directement les entreprises sur le fondement de l’article 70 ?

Cet article ne lui attribue pas un pouvoir général de sanction directe. Dans le mécanisme de l’Art. 65, l’autorité compétente adopte la décision finale sur la base de la décision contraignante du Comité.

Une ligne directrice équivaut-elle à un nouvel article du RGPD ?

Non. Elle apporte une interprétation destinée à favoriser une application cohérente. Il faut la relier au texte applicable et aux faits de l’organisation.

Tous les projets font-ils l’objet d’une consultation publique ?

L’Art. 70(4) prévoit une consultation le cas échéant. Les modalités et le statut du projet doivent être vérifiés pour chaque publication.

Recevez nos analyses de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.