Article 76 RGPD : la confidentialité du CEPD expliquée

Le Comité européen de la protection des données (CEPD) adopte des lignes directrices qui s’imposent en pratique à des millions d’entreprises, et des décisions contraignantes qui peuvent coûter des centaines de millions d’euros à une seule société. Une question se pose alors naturellement : peut-on savoir ce qui se dit dans ses réunions ? L’article 76 du RGPD apporte une réponse en deux temps — des débats qui peuvent être confidentiels, mais des documents en principe accessibles au public. Voici comment ce double régime fonctionne, et comment en tirer parti.

Ce que dit l’article 76 du RGPD

L’article 76 est l’une des dispositions les plus courtes du règlement. Deux paragraphes suffisent à organiser l’équilibre entre le secret des délibérations et la transparence administrative.

Le paragraphe 1 pose la règle applicable aux discussions : les débats du comité sont confidentiels lorsque le comité l’estime nécessaire, comme le prévoit son règlement intérieur (art. 76(1)). La confidentialité n’est donc pas le principe : c’est une faculté, activée au cas par cas, dont les modalités sont renvoyées au règlement intérieur que le comité adopte en application de l’article 72(2).

Le paragraphe 2 traite des documents : l’accès aux documents présentés aux membres du comité, aux experts et aux représentants de tiers est régi par le règlement (CE) n° 1049/2001 du Parlement européen et du Conseil (art. 76(2)). Ce renvoi est lourd de conséquences : le règlement 1049/2001 du 30 mai 2001 est le texte fondateur de la transparence administrative européenne, celui qui consacre un droit d’accès du public aux documents des institutions de l’Union.

Autrement dit, l’article 76 distingue soigneusement deux objets. Les débats — ce qui se dit en séance — peuvent être soustraits au public si le comité le juge nécessaire. Les documents — ce qui est écrit et soumis au comité — relèvent d’un régime de droit commun de l’accès aux documents, avec ses principes et ses exceptions.

Pourquoi des débats confidentiels ?

On pourrait s’étonner qu’un organe aussi influent que le CEPD puisse délibérer à huis clos. La logique est pourtant classique en droit institutionnel : elle est la même que celle qui protège le délibéré des juridictions.

Le comité réunit les autorités de contrôle des États membres — dont la CNIL — qui doivent pouvoir confronter librement leurs positions, parfois divergentes, avant d’arrêter une position commune. C’est particulièrement vrai dans le cadre du mécanisme de cohérence : lorsque le comité adopte un avis ou tranche un différend entre autorités par une décision contraignante, il statue sur des dossiers individuels, souvent en cours d’instruction, mettant en cause des entreprises nommément désignées. Rendre publics les échanges en temps réel exposerait les positions de négociation de chaque autorité, les éléments de l’enquête et les données des entreprises concernées.

La confidentialité des débats protège donc trois intérêts distincts : la liberté de délibération des membres, le secret des procédures répressives en cours, et les secrets d’affaires des organismes mis en cause. Elle prolonge, au niveau européen, le secret professionnel auquel les membres et agents des autorités nationales sont eux-mêmes tenus en vertu de l’article 54(2) du RGPD.

Il faut toutefois mesurer la portée exacte de l’article 76(1) : la confidentialité ne couvre que ce que le comité « juge nécessaire ». En pratique, le comité publie les ordres du jour de ses sessions plénières et des comptes rendus de réunion, et ses textes adoptés — lignes directrices, avis, décisions — sont rendus publics, le cas échéant dans une version expurgée des éléments couverts par le secret. La machine n’est pas opaque ; elle est discrète au moment où elle délibère.

L’accès aux documents : le renvoi au règlement 1049/2001

Le second paragraphe est, pour les praticiens, le plus intéressant. En soumettant les documents du comité au règlement (CE) n° 1049/2001, l’article 76(2) ouvre un véritable droit d’accès, que toute personne — citoyen, avocat, DPO, journaliste, entreprise — peut exercer sans avoir à justifier d’un intérêt particulier.

Concrètement, le régime fonctionne ainsi :

• Principe : l’accès le plus large possible aux documents. Le comité tient un registre public de documents et toute personne peut demander communication d’un document qui n’y figure pas encore.
• Exceptions : le règlement 1049/2001 prévoit, dans son article 4, des exceptions limitativement énumérées — protection de la vie privée et des données personnelles, intérêts commerciaux, procédures juridictionnelles, objectifs des activités d’inspection, d’enquête et d’audit, ou encore protection du processus décisionnel en cours.
• Voies de recours : en cas de refus, le demandeur peut présenter une demande confirmative, puis saisir le Médiateur européen ou le Tribunal de l’Union européenne.

Ce mécanisme n’a rien de théorique. Des cabinets d’avocats et des ONG l’utilisent régulièrement pour obtenir des documents préparatoires du comité — échanges entre autorités dans des procédures de l’article 65, projets de lignes directrices, notes du secrétariat. Plusieurs documents relatifs aux grandes décisions contraignantes rendues contre des plateformes ont ainsi été partiellement divulgués à la suite de demandes d’accès, éclairant la manière dont les autorités construisent leurs positions.

Dans mon expérience, c’est un réflexe que les juristes français n’ont pas encore suffisamment intégré : face à une position du CEPD dont on cherche à comprendre la genèse — par exemple pour préparer une défense devant la CNIL —, une demande d’accès aux documents fondée sur le règlement 1049/2001 peut livrer des éléments précieux que la seule lecture des textes publiés ne révèle pas.

Ce que l’article 76 change pour votre entreprise

Si votre entreprise fait l’objet d’une procédure transfrontalière impliquant le comité — typiquement une procédure de coopération de l’article 60 qui remonte au comité via le mécanisme de cohérence —, l’article 76 produit deux effets concrets.

D’une part, les échanges entre autorités vous concernant bénéficient de la confidentialité des débats : vos secrets d’affaires et les éléments du dossier ne sont pas exposés publiquement pendant l’instruction. C’est une garantie réelle, qui complète les obligations de secret professionnel pesant sur les agents des autorités.

D’autre part, la transparence joue dans les deux sens : des tiers — concurrents, journalistes, associations — peuvent demander l’accès aux documents soumis au comité, y compris ceux qui mentionnent votre entreprise. Les exceptions de l’article 4 du règlement 1049/2001 (intérêts commerciaux, enquêtes en cours) protègent l’essentiel, mais elles s’interprètent strictement et ne couvrent pas tout, ni indéfiniment. Une entreprise avisée anticipera donc, dans ses échanges avec une autorité de contrôle, que les pièces transmises sont susceptibles de remonter au comité et d’entrer un jour dans le champ d’une demande d’accès. Identifier précisément, dès l’origine, les éléments relevant du secret des affaires — et les signaler comme tels — n’est pas une coquetterie : c’est ce qui permettra à l’autorité puis au comité de motiver un refus de divulgation.

Tenir cette cartographie de ses échanges avec les autorités, au même titre que son registre des activités de traitement, fait partie de l’hygiène documentaire qu’un outil comme Legiscope aide à structurer.

Ce qu’il faut retenir

• L’article 76 RGPD organise un double régime : les débats du CEPD peuvent être confidentiels lorsque le comité le juge nécessaire (art. 76(1)), tandis que l’accès aux documents relève du règlement (CE) n° 1049/2001 sur la transparence administrative européenne (art. 76(2)).
• La confidentialité des débats n’est pas le principe mais une faculté, encadrée par le règlement intérieur du comité ; elle protège la liberté de délibération, les enquêtes en cours et les secrets d’affaires.
• Toute personne peut demander l’accès aux documents soumis au comité, sans justifier d’un intérêt ; le refus doit se fonder sur les exceptions limitatives de l’article 4 du règlement 1049/2001 et peut être contesté.
• Pour les entreprises visées par une procédure transfrontalière, l’article 76 est à double tranchant : il protège le dossier pendant l’instruction, mais expose les pièces transmises à de futures demandes d’accès — d’où l’importance d’identifier ses secrets d’affaires dès l’origine.
• Le comité publie ses ordres du jour, comptes rendus et textes adoptés : la confidentialité vise le moment de la délibération, pas le résultat.

FAQ

Les réunions du CEPD sont-elles secrètes ?

Pas par principe. L’article 76(1) du RGPD permet au comité de rendre ses débats confidentiels lorsqu’il l’estime nécessaire, selon les modalités fixées par son règlement intérieur. En pratique, les ordres du jour et des comptes rendus des sessions plénières sont publiés, et les textes adoptés — lignes directrices, avis, décisions — sont rendus publics.

Comment obtenir un document du CEPD ?

En exerçant le droit d’accès prévu par le règlement (CE) n° 1049/2001, auquel renvoie l’article 76(2). Toute personne peut adresser une demande au comité, sans justifier d’un intérêt. Le comité ne peut refuser que sur le fondement des exceptions de l’article 4 du règlement (vie privée, intérêts commerciaux, enquêtes en cours, etc.), et un refus peut être contesté devant le Médiateur européen ou le Tribunal de l’Union.

Pourquoi les débats du CEPD peuvent-ils être confidentiels ?

Parce que le comité statue notamment sur des dossiers individuels en cours d’instruction, dans le cadre du mécanisme de cohérence ou de la résolution des litiges de l’article 65. La confidentialité protège la liberté de délibération des autorités, le secret des enquêtes et les secrets d’affaires des entreprises concernées — comme le délibéré protège les juridictions.

Les documents concernant mon entreprise peuvent-ils être divulgués ?

Potentiellement, oui. Les documents soumis au comité entrent dans le champ du règlement 1049/2001 et peuvent faire l’objet de demandes d’accès par des tiers. Les exceptions protégeant les intérêts commerciaux et les enquêtes s’appliquent, mais elles sont d’interprétation stricte. Il est recommandé d’identifier et de signaler expressément les éléments couverts par le secret des affaires dans tout échange avec une autorité de contrôle.