Article 50 du RGPD : coopération internationale

L’article 50 du RGPD organise la coopération internationale de la Commission européenne et des autorités de contrôle. Il ne fournit pas à une entreprise une nouvelle autorisation d’exporter des données. Pour un DPO, l’enjeu consiste à distinguer coopération des régulateurs, mécanisme de transfert et obligations de réponse à une demande.

Les quatre axes de l’article 50

Le texte demande à la Commission et aux autorités de prendre des mesures appropriées dans leurs relations avec les pays tiers et les organisations internationales. Il prévoit quatre axes :

Source : RGPD, art. 50(a) à (d).

Il serait inexact de présenter l’article comme un simple souhait sans portée juridique : il figure dans un règlement obligatoire. En revanche, il ne fixe pas, pour une PME, un dossier périodique à déposer ou un délai uniforme de réponse à toute autorité étrangère. Les obligations concrètes dépendent des règles de compétence, des pouvoirs exercés et de la demande reçue.

Ne pas confondre coopération internationale et coopération européenne

À l’intérieur du dispositif européen, les art. 60 à 62 organisent notamment la coopération entre autorités, l’assistance mutuelle et les opérations conjointes. L’art. 61(2) prévoit par exemple un délai maximal d’un mois pour certaines réponses entre autorités. Il ne s’agit pas d’un délai général de réponse des entreprises, et il ne faut pas le transposer à tout échange avec un pays tiers. RGPD, art. 60 à 62.

La fiche de l’article 61 sur l’assistance mutuelle présente cette organisation. L’art. 50 traite, quant à lui, de la dimension extérieure de la coopération. Le CEPD dispose également de missions de promotion des échanges internationaux, notamment aux art. 70(1)(u) à (w), sans que cela fasse de lui une autorité unique remplaçant toutes les autorités nationales.

Un exemple documenté : la CNIL et l’autorité californienne

Le 25 juin 2024, la CNIL et la California Privacy Protection Agency ont signé une déclaration de coopération. La présentation officielle mentionne des recherches communes sur les nouvelles technologies, des échanges de pratiques et d’expériences, y compris en matière d’enquêtes, ainsi que des ateliers. CNIL, déclaration de coopération avec la CPPA.

Cet exemple montre ce qu’un partenariat peut organiser. Il ne permet pas d’affirmer que les deux autorités appliquent le même droit, disposent des mêmes pouvoirs ou rendent automatiquement des décisions communes. Il ne constitue pas non plus une décision d’adéquation autorisant les transferts commerciaux.

La stratégie internationale 2025–2028 de la CNIL mentionne aussi ses travaux au Conseil de l’Europe, à l’OCDE, dans l’Assemblée mondiale de la vie privée et dans d’autres enceintes. Elle distingue ses objectifs de coopération, de contribution aux standards et de consolidation de sa doctrine sur les transferts. CNIL, stratégie européenne et internationale 2025–2028.

L’article 50 n’est pas un mécanisme de transfert

Pour une entreprise, un transfert vers un pays tiers reste soumis au chapitre V et aux autres dispositions du règlement. Il faut vérifier l’adéquation applicable, des garanties appropriées ou, lorsque leurs conditions sont réunies, une dérogation. La participation d’une autorité étrangère à un réseau international ne remplace pas cette analyse. RGPD, art. 44 à 49.

Une décision d’adéquation au titre de l’article 45 doit être vérifiée dans son périmètre exact : pays, territoire, secteur, organisation ou destinataires couverts. Une déclaration de coopération et une recommandation internationale ont une fonction différente. Aucun de ces intitulés ne suffit à qualifier automatiquement un transfert.

Pour la même raison, ne déduisez pas d’un partenariat entre régulateurs que votre contrat avec un prestataire est conforme. La qualification des rôles, les instructions, les mesures de sécurité et les éventuels transferts ultérieurs restent à examiner. Le guide de l’article 44 donne la trame de cette vérification.

Que faire lorsqu’une demande vient d’une autorité étrangère ?

L’art. 48 encadre la reconnaissance ou l’exécution de décisions étrangères exigeant la transmission de données. Il vise notamment l’existence d’un accord international, sans préjudice des autres motifs de transfert du chapitre V. Ce texte ne se confond pas avec l’art. 50. RGPD, art. 48.

À réception d’une demande, faites vérifier :

1. L’identité du demandeur et l’authenticité du document.
2. Son fondement, la compétence invoquée et la portée exacte de la demande.
3. Les données nécessaires, les personnes concernées et les possibilités de limiter le périmètre.
4. Les règles applicables à la transmission, aux droits et à la confidentialité.
5. Les délais, recours ou possibilités de clarification pertinents.

Cette méthode évite aussi bien une communication excessive qu’un refus automatique fondé sur une mauvaise lecture du RGPD. La fiche de l’article 48 explique l’articulation avec les injonctions étrangères.

Quelle veille mettre en place ?

Pour chaque évolution qui concerne vos flux, classez le document : texte obligatoire, décision, projet, lignes directrices ou déclaration de coopération. Relevez ensuite l’autorité émettrice, le périmètre et la date pertinente. Une nouvelle coopération peut justifier de suivre un thème d’enquête ; elle ne prouve ni une modification des contrats exigée immédiatement ni une future sanction.

L’art. 50(c) ouvre aussi une place aux parties prenantes dans les travaux de coopération. Une organisation professionnelle peut contribuer lorsqu’une consultation pertinente est ouverte, selon ses modalités. Cette participation n’offre pas de garantie sur l’orientation finale des autorités.

Ce qu’il faut retenir

• L’article 50 concerne l’action internationale de la Commission et des autorités de contrôle.
• Les mécanismes européens des art. 60 à 62 ont leurs propres règles.
• Un partenariat international ne vaut ni adéquation ni autorisation de transfert.
• Une demande étrangère doit être examinée selon son fondement et les règles applicables.
• La veille doit distinguer les actes contraignants des projets et déclarations de coopération.

FAQ

Un accord entre autorités autorise-t-il tous les transferts vers le pays concerné ?

Non. Il faut identifier le mécanisme du chapitre V effectivement applicable au transfert et respecter les autres obligations du RGPD.

L’article 50 prévoit-il un délai de réponse pour une entreprise ?

Il ne fixe pas de délai général de ce type. Le calendrier dépend de la procédure et de la demande concrète reçue.

Une enquête coordonnée signifie-t-elle une sanction unique ?

Pas nécessairement. La coopération peut faciliter les échanges sans unifier les compétences, les droits applicables et les décisions des autorités concernées.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.