DONNEES PERSONNELLES – Proposition par la Commission européenne de nouvelles règles pour renforcer l’application du RGPD dans les situations transfrontalières  

Le nouveau règlement établissant des règles de procédure supplémentaires relatives à l’application du règlement (UE) 2016/679 proposé par la Commission européenne le 4 juillet 2023 (« Règlement ») a pour objectif de rationaliser la coopération entre les autorités chargées de la protection des données (« APD ») dans le cadre de l’application du règlement général sur la protection des données (« RGPD ») dans des situations transfrontalières^[1].  

Le Règlement établit des règles de procédure pour le traitement des réclamations et la conduite des enquêtes, tant sur les cas fondés sur des réclamations que sur les cas examinés d’office, menées par les autorités de contrôle dans le cadre de l’application transfrontalière du RGPD.

Le Règlement comprendra des règles de procédure concrètes parmi lesquelles figure, l’obligation pour l’autorité de protection des données cheffe de file d’envoyer un « résumé des points essentiels » à ses homologues. Ce résumé devra comprendre les principaux éléments visés par l’enquête ainsi que son avis sur le dossier. 

Ce Règlement permettra de : 

• Limiter les désaccords et de faciliter le consensus entre les autorités dès les premières étapes du processus ; 
• Clarifier les informations que les particuliers doivent fournir lorsqu’ils introduisent une réclamation et garantir qu’ils seront dûment associés au processus ; 
• Préciser les droits procéduraux des entreprises lorsqu’une APD enquête sur une violation possible du RGPD ; 
• Résoudre plus rapidement les affaires (voies de recours plus rapides pour les particuliers, sécurité juridique pour les entreprises). 

Le Règlement prévoit des règles afin d’harmoniser les règles de procédure en matière de situations transfrontalières dans les domaines suivants : 

• Droits des auteurs de réclamations :  
  • Harmonisation des exigences relatives à la recevabilité d’une réclamation transfrontalière, en supprimant les différences entre les règles suivies par les différentes APD ; 
  • Droits communs donnés aux auteurs de réclamation leur assurant qu’ils seront entendus dans le cas où leurs réclamations sont rejetées totalement ou partiellement ; 
  • Dans le cas où la réclamation fait l’objet d’une enquête, la proposition régit la manière de les associer à l’enquête. 

• Droits des parties faisant l’objet d’une enquête (responsable du traitement et sous-traitants): 
  • Droit d’être entendu à des étapes clés de la procédure ; 
  • Clarification du dossier administratif ainsi que le droit des parties d’accéder à ce dernier. 

• Rationaliser la coopération et le règlement des litiges : 
  • Les APD pourront donner leur avis à un stade précoce des enquêtes et utiliser tous les outils de coopération prévus par le RGPD (ex : enquêtes conjointes, assistance mutuelle); 
  • Renforcement de l’influence des APD sur les dossiers transfrontaliers (formation rapide d’un consensus durant l’enquête et réduction des désaccords ultérieurs) ; 
  • Règles détaillées pour faciliter la clôture rapide de la procédure de règlement des litiges du RGPD et fixer des délais communs pour la coopération et le règlement des litiges transfrontaliers. 

[1] La notion de « traitement transfrontalier » est définie à l’article 4 (23°) du RGPD et vise :

a. un traitement de données à caractère personnel qui a lieu dans l’Union dans le cadre des activités d’établissements dans plusieurs Etats membres d’un responsable du traitement ou d’un sous-traitant lorsque le responsable du traitement ou le sous-traitant est établi dans plusieurs Etats membres ;

b. un traitement de données à caractère personnel qui a lieu dans l’Union dans le cadre des activités d’un établissement unique d’un responsable du traitement ou d’un sous-traitant, mais qui affecte sensiblement ou est susceptible d’affecter sensiblement des personnes concernées dans plusieurs Etats membres.