Article 63 RGPD : comprendre la cohérence européenne

Un avis du Comité européen de la protection des données (CEPD) et une décision contraignante n’ont pas la même fonction. Pour un DPO, cette distinction détermine ce qu’il faut surveiller, intégrer dans ses procédures ou exécuter dans un dossier de contrôle.

Article 63 RGPD : une cohérence entre autorités

L’Art. 63 prévoit la coopération des autorités de contrôle et, lorsque nécessaire, de la Commission, dans le mécanisme de cohérence. Il vise une application cohérente du RGPD dans l’Union. Il ne crée ni un guichet de validation pour chaque entreprise, ni une procédure d’appel ouverte au DPO. Source : RGPD, chapitre VII, Art. 63.

Le mécanisme concerne des instruments de portée générale et des dossiers particuliers. Il faut donc éviter de réduire la cohérence à la publication de recommandations abstraites : le CEPD peut aussi trancher un désaccord entre autorités dans une affaire précise.

Identifier le document avant de modifier sa conformité

Cette lecture découle des Art. 64 à 70 du RGPD. Une consultation publique ne se confond pas avec une version finale. Une recommandation ne remplace pas le texte du règlement.

Notre guide des avis de l’article 64 détaille les projets soumis à consultation. Celui des décisions de l’article 65 explique les situations dans lesquelles le CEPD tranche un différend.

Coopération et cohérence : deux étapes à distinguer

Dans une procédure transfrontalière, les autorités cherchent d’abord à parvenir à un accord selon les règles de coopération de l’article 60. Une objection pertinente et motivée qui reste contestée peut conduire au mécanisme de l’Art. 65(1)(a). Toute coopération ne débouche donc pas sur une décision contraignante du CEPD.

L’Art. 67 porte, lui, sur les modalités électroniques d’échange d’informations. Il ne constitue pas une voie autonome de saisine offerte à une entreprise. Pour les fonctions plus larges du Comité, voir les missions prévues par l’article 70.

Une fiche de veille utilisable par le DPO

Pour chaque document européen pertinent, conserver une fiche courte :

1. Identification : numéro, date, version, type de document et source officielle.
2. Périmètre : traitements, personnes et opérations effectivement concernés.
3. Écart : pratique actuelle comparée à l’analyse du document, avec les passages utiles.
4. Action : procédure à corriger, responsable interne, preuve attendue et date de revue.

Exemple hypothétique : un groupe prépare des règles d’entreprise contraignantes. Le DPO suit l’avis européen et la décision d’approbation, puis vérifie que les entités, les flux et les engagements de la version approuvée correspondent au déploiement réel. Un avis favorable sur un autre groupe ne vaut pas approbation de son propre dispositif.

Cette fiche est une méthode d’organisation proposée ; l’Art. 63 n’impose pas un format de registre supplémentaire.

Reconstituer la chaîne entre l’acte européen et la décision utile

Pour un dossier particulier, recherchez les actes qui se répondent. Un communiqué peut annoncer une décision européenne sans reproduire l’ensemble des faits ni la décision finale de l’autorité. La fiche de veille doit permettre de passer du résumé à l’acte, puis à l’étape qui produit les effets pertinents pour l’organisation concernée.

Dans le cadre de l’Art. 65, la décision du Comité est adressée aux autorités désignées par le texte et les lie. L’Art. 65(6) prévoit ensuite l’adoption de la décision finale par l’autorité compétente, sur cette base. Ne confondez donc pas la publication européenne, la notification de la décision finale et l’échéance d’une mesure imposée à l’entreprise.

Pour un avis portant sur un projet au titre de l’Art. 64(1), identifiez le projet initial et la suite donnée par l’autorité. Celle-ci doit tenir le plus grand compte de l’avis et indiquer si elle maintient ou modifie son projet — Art. 64(7). Cela ne permet pas de qualifier tous les avis du Comité de simples commentaires facultatifs. L’Art. 64(2) couvre, de son côté, des questions générales qui ne supposent pas nécessairement un projet de décision déterminé.

Cette recherche évite deux raccourcis : considérer qu’un avis suffit à établir l’approbation finale d’un dispositif, ou présenter toute décision européenne comme une injonction immédiatement adressée à chaque entreprise du secteur. Les conclusions utiles dépendent de l’objet, du destinataire et de la procédure.

Séparer l’effet dans un dossier et l’enseignement pour votre pratique

Lorsqu’une publication concerne une autre organisation, commencez par les faits déterminants. Quels traitements, personnes, finalités et rôles ont été examinés ? La question portait-elle sur la base légale, les mesures de sécurité, l’information ou la compétence d’une autorité ? Une ressemblance de secteur n’est pas une identité de situation.

Rapprochez ensuite le raisonnement de vos propres opérations. Si votre activité diffère sur un élément décisif, expliquez cette différence. Si les informations publiques ne suffisent pas, conservez la question ouverte. Le travail du DPO consiste à préparer une analyse utilisable, sans transformer une affaire partiellement connue en validation ou en interdiction universelle.

Pour les lignes directrices, vérifiez également le statut de la version utilisée. Un projet soumis à consultation peut éclairer une réflexion en cours ; il ne doit pas être cité comme une version définitivement adoptée. Conservez la date de téléchargement et remplacez les références de travail lorsque la version finale paraît, en examinant les changements pertinents.

La qualification du document ne dispense jamais de lire le RGPD. Une formule tirée d’un résumé peut omettre une condition importante du texte. Dans votre note, reliez la conclusion au passage utile et aux dispositions concernées ; cela permet au relecteur de vérifier le raisonnement sans reconstruire toute la recherche.

Traiter un dossier transfrontalier sans attendre un arbitrage imaginaire

Une organisation active dans plusieurs États ne doit pas supposer que tout désaccord avec une autorité sera automatiquement soumis au CEPD. Les situations prévues par l’Art. 65 comprennent notamment les objections pertinentes et motivées dans la coopération, certaines divergences de compétence et les difficultés relatives aux avis de l’Art. 64. Le mécanisme ne crée pas un appel administratif général à la disposition de l’entreprise.

À réception d’une demande d’autorité, identifiez donc l’acte reçu, son auteur, son fondement, les informations attendues et l’échéance indiquée. La durée des échanges entre autorités ne constitue pas, par elle-même, une prolongation de votre délai de réponse. Si la portée d’une demande pose difficulté, faites traiter ce point dans le cadre pertinent au lieu d’attendre une éventuelle intervention européenne.

Conservez une version cohérente des faits communiqués. Un changement de périmètre doit être explicable : nouveau service, correction d’un inventaire ou précision sur le rôle d’une entité. La cohérence ne signifie pas répéter une erreur initiale pour préserver l’apparence d’un dossier stable ; elle suppose de dater et de motiver les corrections.

Ne transmettez pas davantage de données personnelles que nécessaire pour répondre. Les pièces doivent rester rattachées aux questions posées et être accessibles aux personnes chargées du dossier. Une coopération européenne plus large ne justifie pas une diffusion interne indifférenciée de toutes les informations recueillies.

Donner un destinataire à chaque conclusion de veille

Une fiche de veille ne produit d’effet pratique que si elle atteint l’équipe capable d’agir. Une question sur l’information des personnes peut mobiliser le juridique et les responsables des interfaces ; une question sur les accès demande la participation des équipes techniques ; une évolution d’un dispositif de transfert implique les responsables des flux et des contrats.

Pour chaque écart identifié, formulez le résultat attendu. « Prendre connaissance de l’avis » est une action documentaire. « Vérifier si nos destinataires et finalités correspondent au périmètre examiné » ouvre une analyse. « Modifier la notice après validation de cette analyse » constitue encore une étape distincte. Le suivi doit permettre de savoir laquelle est terminée et laquelle reste ouverte.

La date de revue interne doit être justifiée par la situation : échéance imposée, risque identifié, changement prévu ou informations attendues. L’Art. 63 n’accorde pas un délai uniforme d’adaptation à chaque nouvelle publication. Il ne suspend pas non plus les obligations qui existaient déjà avant la publication suivie.

Approfondir l’exemple des règles d’entreprise contraignantes

Dans l’exemple hypothétique du groupe préparant des BCR, rassemblez la version examinée, l’avis pertinent et la décision d’approbation lorsqu’elle existe. Identifiez les entités, les flux et les engagements couverts. Le but n’est pas de reprendre le numéro d’approbation d’un autre groupe dans votre registre, mais de comprendre ce que votre propre dispositif autorise et exige.

Imaginez maintenant, toujours à titre fictif, qu’une équipe présente un tableau où toutes les filiales portent la mention « couvertes », alors qu’une acquisition récente n’a pas été rapprochée du périmètre documenté. L’avis européen ne permet pas de résoudre seul cette incohérence. Il faut examiner les pièces applicables et les règles d’évolution du dispositif, puis conserver le statut exact de l’entité et de ses flux pendant cette vérification.

Le compte rendu distingue alors la question juridique, la pièce manquante et la décision opérationnelle à préparer. Il évite de transformer l’absence d’information en autorisation implicite. La validation doit rester attachée aux éléments effectivement vérifiés, et la personne responsable du suivi doit savoir quel événement permettra de clore la réserve.

Cette démarche illustre l’utilité concrète du mécanisme de cohérence : les actes européens contribuent à une application commune du droit, tandis que l’organisation doit toujours comprendre et documenter sa propre situation. Leur existence renforce la qualité attendue du raisonnement ; elle ne remplace pas l’examen des faits et la mise en œuvre des décisions applicables.

Ce qu’il faut retenir

• L’Art. 63 organise la cohérence de l’application du RGPD entre autorités.
• Avis, décisions contraignantes et lignes directrices ont des fonctions distinctes.
• Une procédure de coopération peut aboutir à un accord sans arbitrage du CEPD.
• La veille doit déboucher sur une analyse du périmètre et des actions documentées.

FAQ

Une entreprise peut-elle demander un avis au titre de l’article 63 ?

Cet article ne lui donne pas un droit de saisine directe. L’Art. 64(2) désigne les autorités de contrôle, le président du Comité et la Commission pour demander un avis sur une question générale ou produisant des effets dans plusieurs États membres.

Toutes les décisions européennes s’appliquent-elles à mon entreprise ?

Il faut examiner leur nature, leurs destinataires et leur objet. Une décision relative à une autre organisation peut éclairer l’analyse sans constituer une injonction individuelle adressée à votre entreprise.

La cohérence signifie-t-elle que la CNIL cesse d’intervenir ?

Non. Les autorités nationales conservent les compétences définies par le RGPD et interviennent dans les procédures européennes selon leur rôle dans le dossier.

Recevez nos analyses de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.