Article 75 RGPD : le secrétariat du CEPD expliqué

Derrière chaque avis du Comité européen de la protection des données (CEPD), chaque décision contraignante notifiée à une autorité nationale, chaque ligne directrice traduite dans 24 langues, il y a une machine administrative discrète : le secrétariat. L’article 75 du RGPD lui consacre une disposition entière — et révèle une particularité institutionnelle que peu de praticiens connaissent : ce secrétariat n’est pas géré par le comité lui-même, mais par une autre autorité européenne. Voici ce qu’il faut comprendre.

Ce que dit l’article 75 du RGPD

L’article 75 organise le support opérationnel du comité. Son paragraphe 1 pose la règle centrale : le secrétariat du CEPD est assuré par le Contrôleur européen de la protection des données (art. 75(1)). Le comité ne dispose donc pas d’une administration autonome ; il s’appuie sur celle d’une institution voisine.

Le paragraphe 2 fixe une règle de subordination fonctionnelle : le secrétariat exécute ses tâches sous l’autorité exclusive du président du comité (art. 75(2)). Même si le personnel relève administrativement du Contrôleur européen, il travaille pour le compte du comité et reçoit ses instructions de la présidence de celui-ci.

Le paragraphe 3 prévient un conflit d’intérêts. Le personnel du Contrôleur européen qui participe aux missions du comité est soumis à une structure hiérarchique distincte de celle du personnel affecté aux missions propres du Contrôleur (art. 75(3)). Autrement dit, une muraille interne sépare les deux casquettes pour préserver l’indépendance du comité, consacrée à l’article 69.

Le paragraphe 4 ajoute un instrument de coordination : le comité et le Contrôleur européen établissent et publient un protocole d’accord (memorandum of understanding) mettant en œuvre cet article et fixant les modalités de leur coopération (art. 75(4)). Ce document existe : il a été signé le 25 mai 2018, le jour même de l’entrée en application du RGPD.

Enfin, les paragraphes 5 et 6 décrivent le travail concret du secrétariat : il fournit un soutien analytique, administratif et logistique au comité (art. 75(5)) et prend en charge, notamment, la gestion courante, la communication entre membres, la communication avec les autres institutions et le public, la traduction, la préparation et le suivi des réunions, ainsi que la préparation, la rédaction et la publication des avis, décisions et autres textes adoptés par le comité (art. 75(6)).

Une confusion d’acronymes à dissiper

Il faut ici lever une ambiguïté qui piège beaucoup de lecteurs. En français, deux institutions distinctes partagent le même sigle « CEPD » :

• le Comité européen de la protection des données (en anglais : EDPB), l’organe collégial réunissant les autorités nationales comme la CNIL ;
• le Contrôleur européen de la protection des données (en anglais : EDPS), l’autorité indépendante qui supervise les traitements menés par les institutions de l’Union.

L’article 75 met précisément ces deux entités en relation : le Contrôleur (EDPS) héberge le secrétariat du Comité (EDPB). Dans cet article, j’emploie « CEPD » pour désigner le comité, conforme à l’usage du reste de cette série, et « Contrôleur européen » pour l’autre institution. Quand un texte mentionne « le CEPD », vérifiez toujours de quelle institution il s’agit : la confusion est fréquente jusque dans la presse spécialisée.

Pourquoi le secrétariat est confié au Contrôleur européen

Le choix du législateur n’est pas un hasard. En 2018, créer de toutes pièces une administration européenne dotée de centaines d’agents, d’un budget propre et de locaux aurait pris des années. Adosser le secrétariat du comité au Contrôleur européen, déjà installé à Bruxelles et compétent en protection des données, permettait au comité d’être opérationnel dès le premier jour d’application du RGPD.

Cette mutualisation a une contrepartie : elle crée une proximité entre deux institutions qui doivent rester indépendantes l’une de l’autre. D’où la double précaution de l’article 75 — la subordination du secrétariat au seul président du comité (art. 75(2)) et la séparation hiérarchique des équipes (art. 75(3)). Le protocole d’accord de 2018 vient compléter ce dispositif en détaillant le partage des ressources, la confidentialité et la prévention des conflits d’intérêts.

Dans mon expérience de lecture des textes européens, ce montage explique aussi pourquoi les publications du comité et celles du Contrôleur ont souvent une qualité éditoriale comparable : elles sortent, pour partie, des mêmes services.

Le secrétariat, fabrique des textes que vous appliquez

Pour une entreprise, l’article 75 n’est pas qu’une curiosité institutionnelle. Le paragraphe 6(g) confie au secrétariat la rédaction et la publication des avis et décisions du comité. Or ce sont précisément ces textes — lignes directrices de l’article 70, avis de l’article 64, décisions contraignantes de l’article 65 — qui façonnent l’interprétation concrète du RGPD que les autorités nationales appliquent ensuite.

Quand la CNIL motive une sanction en s’appuyant sur des lignes directrices du comité, elle invoque un document matériellement préparé par ce secrétariat. Quand une décision de l’article 65 tranche un différend dans le cadre du mécanisme de cohérence, c’est le secrétariat qui en assure la rédaction et la notification matérielle, sous l’autorité du président.

Comprendre cette chaîne de production aide à hiérarchiser sa veille. Les textes du comité ne tombent pas du ciel : ils suivent un circuit — inscription à l’ordre du jour par le président, instruction par les groupes d’experts, rédaction par le secrétariat, adoption en plénière selon les règles de l’article 72, puis publication. Suivre ce circuit, c’est anticiper les futures attentes de conformité plusieurs mois avant qu’elles ne deviennent opposables.

C’est exactement le type de veille réglementaire structurée qu’un outil comme Legiscope permet de relier automatiquement à ses propres traitements, plutôt que de surveiller à la main les publications du comité.

Ce qu’il faut retenir

• L’article 75 RGPD confie le secrétariat du CEPD au Contrôleur européen de la protection des données (EDPS), et non au comité lui-même (art. 75(1)).
• Le secrétariat travaille sous l’autorité exclusive du président du comité (art. 75(2)) et ses équipes sont séparées hiérarchiquement de celles du Contrôleur pour préserver l’indépendance (art. 75(3)).
• Un protocole d’accord, signé le 25 mai 2018, organise cette coopération (art. 75(4)).
• Le secrétariat assure le soutien analytique, administratif et logistique et, surtout, la rédaction et la publication des avis et décisions du comité (art. 75(5) et (6)).
• Attention au piège : en français, « CEPD » désigne à la fois le Comité (EDPB) et le Contrôleur (EDPS) — deux institutions distinctes que l’article 75 met en relation.

FAQ

Qui assure le secrétariat du CEPD ?

Le Contrôleur européen de la protection des données (EDPS), en application de l’article 75(1) du RGPD. Le comité ne dispose pas d’une administration autonome : il s’appuie sur les services du Contrôleur, installés à Bruxelles. Le personnel concerné travaille toutefois sous l’autorité exclusive du président du comité (art. 75(2)).

Le secrétariat compromet-il l’indépendance du CEPD ?

Non, et l’article 75 prend deux précautions pour l’éviter. Le secrétariat agit sous l’autorité du seul président du comité (art. 75(2)) et son personnel relève d’une structure hiérarchique distincte de celle du Contrôleur européen (art. 75(3)). Un protocole d’accord publié encadre en outre cette coopération, conformément à l’article 69 sur l’indépendance du comité.

Qu’est-ce que le protocole d’accord prévu à l’article 75(4) ?

C’est un memorandum of understanding entre le comité et le Contrôleur européen, signé le 25 mai 2018 et publié. Il met en œuvre l’article 75 en fixant les modalités de coopération : partage des ressources, confidentialité, prévention des conflits d’intérêts et conditions applicables au personnel du secrétariat.

Quelles tâches concrètes le secrétariat accomplit-il ?

L’article 75(6) en dresse la liste : gestion courante du comité, communication entre les membres et avec les autres institutions et le public, traduction, préparation et suivi des réunions, et préparation, rédaction et publication des avis, des décisions réglant les litiges entre autorités et des autres textes adoptés par le comité.