Article 65 RGPD : la décision contraignante du CEPD

Lorsque la DPC irlandaise a notifié à WhatsApp une amende de 50 millions d’euros en décembre 2020, personne — sauf une poignée de spécialistes — n’avait entendu parler de l’article 65 du RGPD. Sept mois plus tard, l’amende avait été multipliée par 4,5 pour atteindre 225 millions d’euros. Entre les deux, une décision contraignante du Comité européen de la protection des données : la première Art. 65 jamais adoptée. Depuis, sept décisions Art. 65 ont reconfiguré le paysage de l’enforcement européen : Instagram à 405 puis 390 millions, Meta à 1,2 milliard pour les transferts EU-US, TikTok à 345 millions. Toutes partagent la même mécanique : un projet de décision de l’autorité chef de file, des objections « pertinentes et motivées » des autorités concernées, un désaccord persistant, et l’arbitrage final du CEPD. Comprendre l’article 65, c’est comprendre où se décident, en pratique, les sanctions records du RGPD — et pourquoi une stratégie de défense limitée à la seule autorité chef de file est devenue insuffisante.

Ce que dit l’article 65 du RGPD

L’article 65 est intitulé « Règlement des litiges par le comité ». Il prolonge le mécanisme de cohérence ouvert par l’article 63 et l’avis du CEPD prévu par l’article 64 : là où ces dispositions organisent la consultation et l’avis non contraignant, l’article 65 organise la décision contraignante qui s’impose à l’autorité chef de file. Le texte appartient à la section 2 du chapitre VII (« Cohérence »), juste après les articles 60 (coopération chef de file / autorités concernées), 63 (mécanisme de cohérence) et 64 (avis du CEPD), et juste avant l’article 66 (procédure d’urgence).

La distinction est essentielle : un avis Art. 64 est consultatif, l’autorité de contrôle « tient le plus grand compte » mais n’est pas juridiquement liée ; une décision Art. 65 est contraignante au sens littéral du terme — l’autorité chef de file ne peut s’en écarter, doit la transcrire dans sa décision finale nationale, et ne dispose plus que d’un pouvoir d’exécution. La Cour de justice de l’Union européenne (CJUE) a confirmé ce caractère liant dans son arrêt C-768/21 TR du 14 novembre 2024 : les éléments de droit fixés par une décision Art. 65 lient la juridiction nationale saisie d’un recours contre la décision finale, sauf à actionner un renvoi préjudiciel. Le centre de gravité du contentieux s’est ainsi déplacé du juge national vers Luxembourg.

Article 65(1)(a) : l’objection pertinente et motivée non suivie

L’article 65(1)(a) ouvre le mécanisme dans le cas le plus fréquent en pratique : « lorsque, dans un cas visé à l’article 60, paragraphe 4, une autorité de contrôle concernée a formulé une objection pertinente et motivée à un projet de décision de l’autorité chef de file et que l’autorité chef de file n’a pas donné suite à cette objection ou a rejeté ladite objection au motif qu’elle n’est pas pertinente ou motivée ».

Le déclencheur est donc double : une objection régulière au sens de l’article 4(24) — telle qu’éclairée par les Lignes directrices CEPD 09/2020 du 8 octobre 2020 sur la notion d’objection pertinente et motivée — et un refus ou un non-suivi par l’autorité chef de file. La pratique post-2020 montre que la qualité formelle de l’objection est devenue un terrain de bataille en soi : sur les sept décisions Art. 65 adoptées, plusieurs commencent par une analyse de recevabilité distinguant objection par objection. Toute objection jugée non « pertinente et motivée » est écartée sans examen au fond — d’où l’importance, côté défense, de vérifier la solidité de chaque objection avant de la combattre.

Les Lignes directrices 09/2020 imposent trois critères cumulatifs à l’objection : elle doit identifier précisément la disposition violée (Art. 5, 6, 12-22, 32, 44-49…), démontrer en quoi le projet de décision méconnaît le RGPD ou aboutit à des risques significatifs pour les droits, et le faire de manière argumentée et étayée. Une simple divergence d’appréciation sur le montant de l’amende — sans démonstration d’erreur de droit — est en principe insuffisante. La pratique du CEPD nuance toutefois cette doctrine : dans la décision contraignante 1/2021 WhatsApp du 28 juillet 2021, le CEPD a admis des objections sur le montant en retenant que la sous-évaluation systématique du chiffre d’affaires du groupe affectait l’effet dissuasif au sens de l’article 83(1).

Article 65(1)(b) : le désaccord sur l’établissement principal

L’article 65(1)(b) ouvre une seconde voie de saisine, beaucoup moins fréquente : « lorsque les avis divergent quant à l’autorité de contrôle concernée qui est compétente pour l’établissement principal ». La question est celle de la qualification au sens de l’article 56 et de l’article 4(16) : où se trouve l’établissement principal du responsable de traitement, et donc quelle DPA est compétente comme chef de file ?

Le mécanisme est ici procédurale : une autorité revendique la qualité de chef de file que conteste une autre. Le CEPD tranche le conflit positif ou négatif de compétence. En pratique, cette branche est restée largement théorique — les principales DPA européennes ont accepté la cartographie « IE pour Meta/Microsoft/LinkedIn/TikTok/X, LU pour Amazon, NL pour Booking/Uber » sans contestation formelle. La menace de cette procédure reste cependant un levier diplomatique entre régulateurs nationaux.

Article 65(1)© : la non-consultation du CEPD

L’article 65(1)© couvre l’hypothèse où « une autorité de contrôle compétente n’a pas demandé l’avis du comité dans les cas visés à l’article 64, paragraphe 1, ou n’a pas suivi l’avis du comité émis en vertu de l’article 64 ». C’est la branche la plus rare en pratique mais la plus disciplinaire dans sa logique : le CEPD se saisit lui-même pour corriger un manquement procédural d’une autorité nationale.

Ce sont les cas listés à l’article 64(1) qui obligent à consulter le CEPD : adoption d’une liste de traitements nécessitant une AIPD au sens de l’article 35, code de conduite Art. 40, critères d’agrément d’un organisme de certification Art. 42-43, clauses contractuelles types Art. 46(2)(d), règles d’entreprise contraignantes Art. 47, autorisation de transferts Art. 49(1). Une autorité qui s’affranchirait de cette consultation s’exposerait à une saisine d’office du CEPD au titre de l’article 65(1)©.

Article 65(2) : la procédure et les délais

L’article 65(2) fixe le cadre procédural : « La décision visée au paragraphe 1 est adoptée à la majorité des deux tiers des membres du comité dans un délai d’un mois suivant la transmission de l’objet de l’affaire. Ce délai peut être prolongé d’un mois supplémentaire en fonction de la complexité de l’affaire. La décision visée au paragraphe 1 est motivée et adressée à l’autorité de contrôle chef de file et à toutes les autorités de contrôle concernées et est contraignante à leur égard. »

Quatre règles structurent ce paragraphe. Première règle, la majorité des deux tiers : le CEPD comprend une trentaine de membres (les 27 DPA nationales, l’EDPS, plus les EFTA observateurs), et toute décision Art. 65 doit recueillir au moins les deux tiers de ces voix. Cette exigence — supérieure à la majorité simple des avis Art. 64 — explique en partie la durée des négociations préalables au vote. Deuxième règle, le délai d’un mois prolongeable d’un mois : en pratique, les décisions Art. 65 sont rarement adoptées en un mois — le CEPD prolonge presque systématiquement, la décision 1/2023 Meta US transfers ayant été adoptée en plus de trois mois cumulés via prorogations successives. Troisième règle, le caractère motivé : le CEPD doit exposer ses raisons, ce qui distingue l’Art. 65 d’une décision sommaire et ouvre la matière au contrôle juridictionnel. Quatrième règle, le caractère contraignant : pas de marge nationale, pas de transposition à géométrie variable.

Article 65(3) : l’absence de décision à temps

L’article 65(3) prévoit que « lorsque le comité n’est pas en mesure d’adopter une décision dans les délais visés au paragraphe 2, il adopte sa décision à la majorité simple de ses membres dans un délai de deux semaines suivant l’expiration du second mois ». La règle est procédurale et n’a, en pratique, presque jamais été déclenchée : le CEPD privilégie systématiquement la majorité qualifiée, quitte à prolonger les négociations en commission. La logique sous-jacente reste de garantir qu’un blocage politique n’empêche pas l’adoption d’une décision finale.

Article 65(4) : la suspension de la décision nationale

L’article 65(4) précise qu’« Une décision visée au paragraphe 1 ne peut pas être adoptée si les autorités de contrôle concernées ne se sont pas prononcées sur l’objet de l’affaire ou ne se sont pas exprimées sur les conclusions ». Cette disposition consacre un principe procédural fondamental : la décision contraignante ne peut être adoptée que sur un dossier où chaque autorité concernée a eu l’opportunité de faire valoir sa position. Le CEPD organise pour cela un cycle d’échanges écrits et de groupes d’experts (Expert Subgroups) au sein desquels les dossiers Art. 65 sont préparés avant le vote en plénière.

Article 65(5) et (6) : la transcription nationale

L’article 65(5) impose à l’autorité chef de file ou à l’autorité auprès de laquelle la réclamation a été introduite d’adopter sa décision finale sur la base de la décision contraignante, « sans retard injustifié et au plus tard un mois après que le comité a notifié sa décision ». L’article 65(6) précise que la décision nationale finale joint en annexe la décision Art. 65 et la mentionne expressément.

La pratique des sanctions récentes confirme rigoureusement ce schéma : les décisions DPC contre Meta, WhatsApp, TikTok, Instagram, LinkedIn citent toutes en pré-ambule la décision contraignante CEPD qui les a réformées, reproduisent ses dispositifs, et reprennent ses motivations. Cette mécanique de « décision dans la décision » a une conséquence procédurale lourde : l’entreprise sanctionnée doit attaquer simultanément la décision nationale (devant le juge national) et, autant que possible, la décision Art. 65 sous-jacente (devant le Tribunal de l’Union européenne au titre de l’article 263 TFUE). À défaut, la marge de manœuvre devant le juge national est réduite à peau de chagrin par l’effet liant confirmé par la CJUE C-768/21 TR du 14 novembre 2024.

La jurisprudence Art. 65 : sept décisions structurantes

Sept décisions contraignantes Art. 65 ont été adoptées depuis l’entrée en vigueur du RGPD, toutes contre des géants du numérique :

• 1/2021 WhatsApp Ireland du 28 juillet 2021 — Transparence Art. 12-14, sanction relevée de 50M€ à 225M€ ;
• 1/2022 Meta Instagram du 28 juillet 2022 — Données des mineurs, sanction de 405M€ (notifiée DPC septembre 2022) ;
• 2/2022 Meta Facebook du 5 décembre 2022 — Base légale du contournement contractuel pour ciblage publicitaire, sanction de 210M€ (notifiée janvier 2023) ;
• 3/2022 Meta Instagram du 5 décembre 2022 — Même problématique sur Instagram, sanction de 180M€ ;
• 4/2022 Meta Facebook du 19 décembre 2022 — Données de localisation et conditions d’opposition, sanction de 5,5M€ pour WhatsApp ;
• 1/2023 Meta Ireland du 13 avril 2023 — Transferts EU-US sous Decision Privacy Shield invalidée, sanction record de 1,2 milliard d’euros et suspension des transferts (notifiée DPC mai 2023) ;
• 2/2023 TikTok Technology du 2 août 2023 — Données des mineurs sur paramètres par défaut, sanction de 345M€ (notifiée DPC septembre 2023).

Toutes ces décisions partagent un point commun structurel : l’autorité chef de file (DPC irlandaise dans 100 % des cas) avait proposé un montant et des constatations plus mesurés que ce qu’ont retenu les autres DPA, le désaccord s’est cristallisé en objections pertinentes et motivées Art. 60(4), le CEPD a tranché à la hausse via Art. 65, et la DPC a transcrit la décision finale en démultipliant la sanction. L’amende moyenne post-Art. 65 est de 374M€ ; la médiane est de 345M€. À titre de comparaison, l’amende moyenne RGPD prononcée en France par la CNIL en 2024 a été de 5,3 millions d’euros — soit un facteur 70 entre le contentieux strictement national et le contentieux Art. 65.

Le règlement procédural COM(2023) 348

Conscient des difficultés opérationnelles du mécanisme Art. 60/65 — durée des procédures, accès au dossier, audition des parties — la Commission européenne a présenté le 4 juillet 2023 une proposition de règlement sur les règles de procédure pour l’application transfrontalière du RGPD : COM(2023) 348 final. Le texte vise à harmoniser les délais maximaux d’instruction, garantir l’accès au dossier aux entreprises faisant l’objet d’une procédure, formaliser leur droit d’audition, encadrer la confidentialité, et préciser la procédure d’objection sous Art. 60(4). Le compromis politique a été trouvé fin 2024 et l’adoption finale est intervenue début 2025. Pour les opérateurs concernés par les procédures Art. 65, cette régulation procédurale change progressivement l’équilibre : les droits de la défense, jusqu’ici largement gouvernés par le droit national de l’autorité chef de file, sont désormais ancrés dans un texte européen directement applicable. La conséquence pratique est une augmentation prévisible des contentieux devant le Tribunal de l’UE contre les décisions Art. 65, dont la base contentieuse devient plus solide.

Articulation avec les recours juridictionnels

La décision Art. 65 du CEPD est un acte de l’Union européenne susceptible de recours devant le Tribunal de l’UE au titre de l’article 263 TFUE, dans un délai de deux mois à compter de sa notification ou de sa publication. Plusieurs recours sont actuellement pendants, dont celui de Meta contre la décision contraignante 1/2023 sur les transferts EU-US (affaire T-577/23). La CJUE elle-même a précisé dans C-768/21 TR du 14 novembre 2024 que la juridiction nationale saisie d’un recours contre la décision finale d’une DPA fondée sur une décision Art. 65 est liée par les éléments de droit fixés par cette décision contraignante — sauf à saisir la Cour par renvoi préjudiciel au titre de l’article 267 TFUE.

Pour l’entreprise visée, la conséquence stratégique est nette : la défense devant le juge national au titre de l’article 78 (recours juridictionnel contre l’autorité de contrôle) doit être combinée avec un recours au Tribunal contre la décision Art. 65, sous peine de voir la marge de remise en cause se restreindre. La question de la recevabilité de ce recours par les entreprises non destinataires directes (la décision Art. 65 étant formellement adressée aux autorités) reste discutée — Meta, première à avoir attaqué une décision Art. 65 sur le fond devant le Tribunal, a été admise comme partie ayant un intérêt à agir suffisamment caractérisé.

Plan opérationnel : se défendre dans une procédure Art. 65

Pour une entreprise française dont l’établissement principal est en Irlande, au Luxembourg ou aux Pays-Bas — autrement dit la quasi-totalité des opérateurs du numérique multi-EU — la défense contre une procédure Art. 65 se structure autour de six chantiers.

1. Cartographie de l’établissement principal. Confirmer la robustesse juridique du choix d’établissement principal au sens de l’article 56 et de l’article 4(16). Une remise en cause par une DPA concernée déclencherait la voie Art. 65(1)(b) et changerait l’autorité chef de file en cours de procédure.

2. Documentation accountability renforcée. Plus qu’une procédure nationale, une procédure Art. 65 confronte les positions de plusieurs régulateurs. La documentation Art. 30, Art. 28, Art. 32, Art. 35 doit être instantanément accessible et harmonisée — toute incohérence sera exploitée par les DPA contestataires.

3. Anticipation des objections Art. 60(4). Identifier en amont les DPA susceptibles de formuler des objections (les plus actives historiquement : autorité allemande, néerlandaise, française, danoise, italienne), cartographier leurs doctrines publiques (avis CNIL, lignes directrices BfDI, orientations AP), et préparer des éléments de preuve qui répondent en amont à ces lectures plus strictes que celle de la DPC.

4. Audition devant le CEPD. Préparer des dossiers techniques en anglais utilisables par le CEPD avant le vote Art. 65. La procédure n’organise pas formellement un droit d’audition de l’entreprise par le CEPD (la décision se fonde sur le dossier transmis par l’autorité chef de file), mais des contributions écrites peuvent être versées via la DPC. Le règlement COM(2023) 348 a renforcé ce volet.

5. Stratégie contentieuse à deux étages. Combiner un recours national au titre de l’article 78 (devant le Conseil d’État pour les décisions CNIL, devant la High Court pour les décisions DPC, etc.) et un recours direct au Tribunal de l’UE contre la décision Art. 65 sous-jacente au titre de l’article 263 TFUE. La coordination des deux voies est délicate (délais distincts, fors différents) mais nécessaire compte tenu de l’effet liant confirmé par CJUE C-768/21 TR.

6. Préparation des voies civiles parallèles. Toute décision Art. 65 nourrit potentiellement des actions civiles Art. 82 et des actions de groupe Art. 80 dans plusieurs États membres. La constitution d’une provision pour litiges, la coordination des défenses civiles et la mobilisation de l’assurance cyber doivent être anticipées dès la notification du projet de décision.

Ce qu’il faut retenir

• L’article 65 RGPD organise la décision contraignante du Comité européen de la protection des données lorsque l’autorité chef de file et les autorités concernées ne s’accordent pas dans le cadre de la procédure Art. 60.
• Trois cas d’ouverture existent : objection pertinente et motivée non suivie (Art. 65(1)(a)), désaccord sur l’établissement principal (Art. 65(1)(b)), non-consultation du CEPD (Art. 65(1)©).
• La décision est adoptée à la majorité des deux tiers dans un délai d’un mois prolongeable d’un mois, motivée et contraignante pour l’autorité chef de file qui doit l’intégrer dans sa décision finale dans le mois suivant.
• Sept décisions Art. 65 ont structuré le paysage de l’enforcement européen : WhatsApp 225M€, Instagram 405M€ et 180M€, Meta 1,2Md€, TikTok 345M€ — soit une amende moyenne de 374M€.
• La décision Art. 65 est attaquable devant le Tribunal de l’UE au titre de l’article 263 TFUE, et son effet liant a été confirmé par CJUE C-768/21 TR du 14 novembre 2024.

FAQ

Quelle différence entre une décision contraignante Art. 65 et un avis Art. 64 du CEPD ?

L’avis Art. 64 est consultatif : l’autorité de contrôle « tient le plus grand compte » mais peut s’en écarter en motivant. La décision Art. 65 est contraignante au sens littéral : l’autorité chef de file doit la reproduire dans sa décision finale, sans pouvoir s’en écarter. Les voies de recours diffèrent également — seule la décision Art. 65 est attaquable directement devant le Tribunal de l’UE au titre de l’article 263 TFUE.

Une entreprise peut-elle être entendue par le CEPD avant l’adoption d’une décision Art. 65 ?

Pas directement par le CEPD au sens d’un droit d’audition formel. La décision est préparée sur la base du dossier transmis par l’autorité chef de file, qui doit elle-même avoir respecté les droits de la défense au niveau national. Le règlement procédural COM(2023) 348 final adopté début 2025 renforce ces garanties, notamment l’accès au dossier et le droit d’observation écrite avant la finalisation du projet de décision.

Comment une entreprise française peut-elle attaquer une décision contraignante Art. 65 ?

Deux voies parallèles : un recours devant le juge national contre la décision finale de l’autorité de contrôle (article 78 — Conseil d’État pour la CNIL, High Court pour la DPC, etc.) et un recours en annulation devant le Tribunal de l’UE contre la décision Art. 65 elle-même au titre de l’article 263 TFUE, dans un délai de deux mois. La combinaison des deux est devenue indispensable depuis la CJUE C-768/21 TR de novembre 2024 qui a confirmé l’effet liant des éléments de droit fixés par la décision contraignante.

Quels sont les délais d’une procédure Art. 65 du début à la fin ?

En pratique, six à douze mois entre la transmission du dossier au CEPD et la décision finale notifiée par l’autorité chef de file. Le délai légal du CEPD est d’un mois prolongeable d’un mois (Art. 65(2)), mais les prorogations sont systématiques pour les dossiers complexes. La décision 1/2023 Meta US transfers a pris environ trois mois ; les décisions Meta Instagram et TikTok ont pris quatre à cinq mois. À cela s’ajoute le délai d’un mois de transcription nationale prévu par l’article 65(5).

Les sanctions Art. 65 sont-elles systématiquement plus lourdes que les sanctions nationales ?

Statistiquement oui : l’amende moyenne sur les sept décisions Art. 65 adoptées est de 374 millions d’euros, contre 5,3 millions pour la CNIL en moyenne en 2024. La logique procédurale l’explique : une décision Art. 65 n’est saisie qu’après objection pertinente et motivée d’au moins une DPA concernée jugeant le projet de l’autorité chef de file trop clément. Le mécanisme tire systématiquement les sanctions vers le haut. Cela renforce l’enjeu d’anticipation pour les opérateurs établis dans des États membres traditionnellement perçus comme plus accommodants.

---

Ce billet fait partie de notre série commentaire article par article du RGPD : article 56 (autorité chef de file), article 58 (pouvoirs de la CNIL), article 60 (coopération chef de file / concernées), article 77 (réclamation), article 78 (recours contre l’autorité), article 79 (recours contre le responsable), article 82 (indemnisation), article 83 (sanctions administratives). Pour une vue d’ensemble du dispositif répressif européen, voir notre analyse sanctions CNIL 2026 et transferts hors UE.

Recevez chaque semaine notre analyse de la conformité RGPD, des décisions CNIL et de l’enforcement européen. S’abonner à la newsletter.