Article 64 RGPD : avis du CEPD, cas et délais

Un projet de code de conduite transnational, de clauses types ou de règles d’entreprise contraignantes peut nécessiter un avis du Comité européen de la protection des données (CEPD). L’Art. 64 organise cette étape entre autorités. Il ne soumet pas chaque contrat de sous-traitance à une autorisation européenne.

Les six catégories de l’article 64(1)

L’autorité compétente transmet au Comité son projet lorsqu’il entre dans l’une des catégories suivantes. Source : RGPD, Art. 64(1)(a) à (f).

Cette liste ne vise pas une prétendue autorisation générale des dérogations de l’Art. 49(1). Elle distingue aussi les clauses types adoptées par une autorité des clauses adoptées par la Commission. Pour choisir l’instrument adapté, voir notre guide des garanties de transfert de l’article 46.

Les projets de règles d’entreprise contraignantes suivent leur procédure d’approbation ; l’avis du Comité en est une étape, pas un substitut au dossier instruit par l’autorité.

Les avis sur une question générale

L’Art. 64(2) permet à une autorité de contrôle, au président du Comité ou à la Commission de demander l’examen d’une question d’application générale ou produisant des effets dans plusieurs États membres. Le texte cite notamment les difficultés d’assistance mutuelle et d’opérations conjointes.

Une entreprise ne dispose donc pas, sur ce fondement, d’un droit de saisine directe du Comité. Pour un projet concret, elle identifie l’autorité et le canal appropriés ; elle ne traite pas une demande d’avis comme une homologation commerciale.

Délais et suites : ce que dit réellement le texte

L’avis est adopté à la majorité simple, dans un délai de huit semaines, prolongeable de six semaines selon la complexité, sous les conditions de l’Art. 64(3). Ces durées concernent la phase européenne : elles ne promettent pas une approbation complète du projet en quatorze semaines.

Les autorités et la Commission transmettent les informations utiles, notamment les faits, le projet, sa justification et les positions des autres autorités. Le président assure leur circulation et la publication de l’avis. Source : Art. 64(3) à (5).

Pour les projets du paragraphe 1 :

1. L’autorité ne les adopte pas pendant que court le délai prévu au paragraphe 3 — Art. 64(6).
2. Elle tient le plus grand compte de l’avis et indique, sous deux semaines après réception, si elle maintient ou modifie son projet — Art. 64(7).
3. Si elle annonce, avec ses motifs, qu’elle ne suivra pas tout ou partie de l’avis, l’Art. 65(1) s’applique — Art. 64(8).

L’avis ne se confond donc pas avec une décision contraignante de l’article 65, mais l’autorité ne peut pas l’écarter comme un simple commentaire sans suite procédurale.

Préparer un dossier qui reste cohérent après l’avis

Le porteur d’un projet peut tenir un tableau de suivi : observation du Comité, passage du projet concerné, modification apportée, pièce justificative et version finale. Cette méthode évite de déployer une version antérieure à celle finalement approuvée.

Pour une certification, vérifier séparément les critères approuvés, l’organisme intervenant et la portée du certificat. Un avis sur des critères ne certifie pas toutes les entreprises qui les citent. Voir les conditions de certification de l’article 42.

Commencer par qualifier l’acte que vous consultez

Avant de reprendre un avis dans un dossier, relevez son fondement et son objet exact. Un avis sur une liste d’opérations nécessitant une AIPD n’a pas la même fonction qu’un avis sur des critères de certification. Un avis d’application générale relevant du paragraphe 2 ne suppose pas nécessairement un projet individuel à approuver ensuite.

Préparez une fiche de lecture indiquant la référence, la date, l’auteur de la saisine, la disposition concernée et les questions examinées. Distinguez la conclusion du Comité des faits ou positions qu’il rapporte. Une présentation du projet dans l’avis n’est pas, par ce seul fait, une validation de chacun de ses éléments.

Pour un projet relevant du paragraphe 1, identifiez également la décision attendue de l’autorité. Le document européen et l’acte national doivent rester reliés dans le dossier. Une équipe qui ne conserve que l’avis peut appliquer une version dépassée ou manquer une condition figurant dans la décision finale.

Construire un suivi des versions sans annoncer une approbation acquise

Dans un scénario entièrement fictif, le groupe Alchémille prépare des règles d’entreprise contraignantes. Son dossier comprend une version envoyée à l’autorité, des réponses à des questions d’instruction et un projet encore en cours d’examen. L’équipe commerciale souhaite communiquer sur le programme auprès de clients. Elle doit savoir quel document est proposé, lequel a été examiné et si une approbation a effectivement été obtenue.

Le tableau de suivi peut séparer cinq éléments : version du projet, date de transmission, observation reçue, modification proposée et statut de cette modification. Ce sont des repères de gestion, pas des étapes réglementaires supplémentaires. Ils évitent notamment de présenter un envoi comme une réception complète ou une proposition de correction comme une acceptation de l’autorité.

Dans le scénario Alchémille, une réserve sur le traitement des réclamations pourrait conduire à modifier une procédure interne. La comparaison proposée doit vérifier que cette modification apparaît dans les documents concernés, avec des responsabilités cohérentes. Aucun avis réel ni résultat d’instruction du groupe fictif n’est rapporté ici.

Séparer le calendrier institutionnel du calendrier du projet

Les huit semaines de l’Art. 64(3), leur éventuelle prolongation et les deux semaines de l’Art. 64(7) ne sont pas trois délais laissés à l’entreprise pour compléter son dossier. Ils concernent les acteurs et opérations définis par ces dispositions. Le porteur du projet doit suivre séparément les demandes qui lui sont adressées et leurs modalités propres.

Une date prévisionnelle de lancement doit donc distinguer préparation interne, instruction, phase européenne et décision pertinente de l’autorité. La durée de l’avis ne permet pas de calculer automatiquement la date d’entrée en service d’un mécanisme. Évitez de promettre à un client une approbation à une date obtenue par simple addition de huit et six semaines.

Lorsque l’autorité demande une pièce complémentaire, conservez sa demande, la version envoyée et les questions qui restent ouvertes. Ne déduisez pas d’un silence une décision favorable. L’Art. 64(3) prévoit bien un mécanisme d’approbation réputée du projet pour un membre du Comité n’ayant pas objecté dans le délai fixé ; il ne crée pas une autorisation tacite générale au profit de l’entreprise.

Transformer les observations en actions identifiables

Pour chaque observation pertinente, indiquez ce qui doit changer dans le projet et ce qui doit changer dans son fonctionnement réel. Une précision ajoutée à une procédure ne suffit pas si la personne chargée de l’exécuter ne dispose d’aucun accès aux informations nécessaires. À l’inverse, une pratique opérationnelle non documentée peut rester difficile à apprécier dans l’instruction.

Une grille proposée peut distinguer ces travaux :

Cette grille ne constitue pas une reproduction d’un formulaire du Comité. Elle organise le travail du porteur de projet. L’Art. 64(4) décrit, pour sa part, la transmission institutionnelle des informations utiles par les autorités et la Commission ; les deux circuits ne doivent pas être confondus.

Lire le désaccord sans confondre avis et décision contraignante

Lorsqu’une autorité indique qu’elle ne suivra pas tout ou partie de l’avis dans le cadre prévu à l’Art. 64(8), elle fournit les motifs pertinents et le mécanisme de l’Art. 65(1) s’applique. L’entreprise ne doit pas interpréter ce désaccord comme la disparition du contrôle de cohérence ni comme la liberté de choisir la version qui lui convient.

Dans le dossier de suivi, séparez l’observation initiale, la position de l’autorité et l’éventuelle décision contraignante. Relevez ce qui reste à trancher et les conséquences pour les documents préparés. Une note interne peut exposer les options de travail sans prétendre anticiper l’issue institutionnelle.

Pour un avis général relevant du paragraphe 2, l’utilisation pratique commence plutôt par l’identification des traitements concernés et des interprétations à réexaminer. Il ne faut pas inventer une décision individuelle d’approbation lorsque l’avis ne porte pas sur un tel projet. Une recommandation de changement interne doit expliquer son lien avec les questions effectivement traitées par le Comité.

Vérifier ce qui peut être présenté aux équipes et aux clients

Une communication doit décrire l’objet de l’acte obtenu : avis sur des critères, approbation d’un instrument ou certificat concernant un périmètre déterminé. Ces situations ne permettent pas la même affirmation. La référence au Comité ne vaut pas attestation générale de conformité de l’organisation.

Avant diffusion, rapprochez la formulation envisagée de l’acte, de sa version et des conditions applicables. Si le projet reste en instruction, présentez cet état explicitement. Conservez enfin un responsable du suivi des changements : modifier ensuite le périmètre ou les règles du dispositif peut nécessiter un nouvel examen selon son régime propre. La lecture de l’avis est le début d’un suivi documenté, pas une conclusion valable sans limite pour toutes les évolutions futures.

Ce qu’il faut retenir

• L’Art. 64(1) comporte six catégories précises de projets soumis au Comité.
• Les avis généraux du paragraphe 2 suivent une saisine institutionnelle.
• Huit semaines, éventuellement prolongées de six, ne constituent pas un délai global d’approbation du projet.
• L’écart à l’avis peut conduire au mécanisme contraignant de l’Art. 65.

FAQ

Mon contrat de sous-traitance nécessite-t-il un avis du CEPD ?

L’Art. 64(1)(d) vise notamment les clauses types qu’une autorité adopte selon l’Art. 28(8). Il ne crée pas une obligation d’envoyer chaque contrat individuel au Comité.

Un avis favorable vaut-il approbation définitive de mes BCR ?

Il faut vérifier la décision de l’autorité compétente et la version approuvée. L’avis européen ne dispense pas de cette étape ni du respect effectif des engagements.

Une autorité peut-elle ignorer l’avis sans explication ?

Non. Les Art. 64(7) et (8) organisent sa réponse, les motifs d’un éventuel désaccord et le passage à l’Art. 65(1).

Recevez nos analyses de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.