Article 66 RGPD : urgence, territoire et délais

Une autorité de contrôle peut intervenir avant l’achèvement d’une procédure européenne lorsqu’une situation exceptionnelle exige de protéger les droits et libertés. L’Art. 66 encadre cette urgence : territoire, durée et justification restent déterminants. Une décision provisoire nationale ne devient pas automatiquement une interdiction dans toute l’Union.

Article 66(1) : une mesure provisoire territoriale

Dans des circonstances exceptionnelles, l’autorité concernée qui estime urgent d’intervenir peut adopter immédiatement une mesure provisoire. Celle-ci produit des effets juridiques sur son propre territoire, pour une durée déterminée ne dépassant pas trois mois. L’autorité communique sans tarder la mesure et ses motifs aux autres autorités concernées, au Comité européen de la protection des données (CEPD) et à la Commission. Source : RGPD, Art. 66(1).

Cette faculté déroge à la coopération de l’article 60 et au mécanisme de cohérence des Art. 63 à 65. Le texte ne pose pas une condition autonome selon laquelle un préjudice irréversible devrait déjà être établi. Il exige des circonstances exceptionnelles et une urgence liée à la protection des personnes.

Le plafond de trois mois concerne cette mesure provisoire. Il ne donne pas à l’entreprise un délai de trois mois pour commencer à l’exécuter : il faut lire sa date d’effet et les obligations de son dispositif.

Deux voies de demande urgente au Comité

Ces voies ne doivent pas être résumées à une simple « extension géographique » de la mesure nationale. Le Comité examine la demande dans le cadre prévu par le règlement. La nature de l’acte compte : un avis et une décision contraignante ne se confondent pas.

L’Art. 66(4) fixe, pour ces avis et décisions urgents, un délai de deux semaines et une majorité simple, par dérogation aux Art. 64(3) et 65(2). Ce délai n’est ni une durée maximale de l’ensemble du contrôle, ni une prolongation du délai accordé à l’entreprise. Source : Art. 66(2) à (4).

Réagir à une mesure : la fiche opérationnelle

L’équipe juridique, le DPO et les responsables techniques doivent disposer d’une même lecture de la décision. Une fiche pratique peut réunir :

1. L’acte reçu : auteur, fondement, date de notification et destinataire.
2. Le périmètre : traitements, catégories de données, personnes et territoire concernés.
3. Le calendrier : prise d’effet, durée, étapes d’exécution et échéances de réponse.
4. Les opérations : fonctionnalité à suspendre ou modifier, conservation des preuves et contrôle du résultat.
5. Les suites : échanges avec l’autorité, éventuelle décision définitive et voies de recours.

Exemple hypothétique : une mesure interdit une utilisation publicitaire déterminée. Suspendre cette utilisation n’implique pas nécessairement de supprimer tous les comptes clients ni toutes les pièces comptables. Il faut traduire exactement le dispositif dans les systèmes, sans poursuivre le traitement interdit sous une autre appellation.

La possibilité d’un recours doit être examinée selon l’acte reçu et les garanties de l’article 78. Il ne faut pas déduire du seul dépôt d’un recours que la mesure cesse de produire ses effets.

Lire l’acte avant de déclencher les changements

À réception, récupérez la décision complète et ses annexes, puis distinguez les motifs et le dispositif. Les motifs expliquent le raisonnement ; le dispositif précise ce qui est ordonné. Un communiqué peut orienter la veille, mais ne suffit pas pour déterminer les opérations à exécuter, leur destinataire et leur date d’effet.

Attribuez un responsable à chaque obligation relevée. Il doit savoir quelle action est attendue, sur quel périmètre et quelle pièce permettra d’en rendre compte. Une consigne comme « appliquer la décision européenne » est trop vague pour une équipe chargée des campagnes, des exports ou des accès. Recopiez la référence utile de l’acte dans la fiche de suivi et expliquez sa traduction dans le processus concerné.

Si une ambiguïté a des conséquences opérationnelles, documentez-la et préparez la clarification à demander par le canal approprié. La question doit être précise : traitement couvert, catégorie visée ou condition d’exécution. L’existence d’une question n’autorise pas à suspendre de sa propre initiative les obligations dont la portée est déjà identifiable.

Relier le territoire juridique aux traitements techniques

Le territoire d’une mesure ne se résume pas au pays d’hébergement du serveur. Pour traduire le dispositif, examinez les personnes, les offres, les entités et les opérations qu’il vise réellement. Un même système peut exécuter plusieurs traitements ; la mesure peut concerner une utilisation déterminée sans couvrir toutes les opérations réalisées dans ce système.

Préparez une cartographie courte : source des données, sélection, utilisation, transmission et copies en aval. Vérifiez quels acteurs interviennent à chaque étape et à qui une instruction doit être adressée. Si un prestataire exécute l’opération concernée pour votre compte, une modification de votre seule interface peut laisser subsister un traitement dans son environnement.

Cette analyse technique ne doit pas réduire artificiellement la mesure. Renommer une audience, déplacer une tâche ou changer de fournisseur ne suffit pas à sortir du périmètre si le traitement interdit continue. Inversement, une suppression générale de toutes les données peut créer d’autres difficultés lorsque certaines opérations restent justifiées par des obligations ou finalités distinctes. Il faut documenter les deux décisions séparément.

Tenir plusieurs échéanciers sans les mélanger

L’équipe peut suivre dans un même dossier plusieurs calendriers, à condition de préciser leur source :

Le tableau ne crée aucun délai supplémentaire. La durée maximale de trois mois et les deux semaines du Comité n’accordent pas une période de tolérance à l’organisme. Pour chaque date interne, conservez le texte qui la justifie et la personne chargée de sa surveillance. Un rappel placé dans un agenda ne remplace pas cette qualification.

À l’approche de la fin d’une mesure provisoire, recherchez les suites connues : nouvel acte, décision définitive, procédure encore en cours ou demande de l’autorité. L’expiration d’une mesure n’établit pas, par elle-même, que le traitement respecte le RGPD. La licéité du traitement et les autres obligations applicables doivent toujours être examinées avant une éventuelle reprise.

Exemple fictif : interrompre une utilisation publicitaire

Dans une hypothèse entièrement fictive, la société Liseron reçoit une mesure visant une utilisation publicitaire précisément décrite dans le dispositif. Son système contient également les informations nécessaires à la gestion des commandes. L’équipe prépare deux analyses : comment interrompre l’utilisation visée et comment traiter les données conservées pour les autres finalités.

Le responsable marketing recense les sélections et exports concernés ; l’équipe technique identifie les tâches programmées et les échanges avec les prestataires ; le juriste relie ces opérations au dispositif. La fiche ne doit pas se terminer au bouton visible dans la console : elle doit examiner les traitements déjà planifiés et les copies susceptibles d’alimenter à nouveau l’opération.

Aucun résultat d’exécution n’est supposé ici. Une vérification proposée peut suivre une sélection avec des données inventées, constater les points où son utilisation est bloquée et relever les limites de l’examen. Si un environnement n’a pas été vérifié, il reste en réserve. La démonstration d’un écran désactivé ne prouve pas à elle seule l’arrêt de toute la chaîne.

L’organisme doit ensuite rendre compte des actions effectuées et des points encore ouverts selon ce qui lui est demandé. Une instruction envoyée au prestataire, une confirmation reçue et une vérification du résultat sont trois pièces différentes. Cette distinction évite d’annoncer une exécution complète sur la seule base d’une demande interne.

Préparer les suites et les preuves d’exécution

Conservez les décisions, versions de configuration utiles, instructions et réponses dans un dossier à accès maîtrisé. Définissez une durée adaptée à ses finalités et au contexte juridique. Le besoin de démontrer une exécution ne justifie pas de copier indifféremment toutes les données des personnes concernées dans les comptes rendus.

Présentez les informations dans un ordre vérifiable : obligation, action, date, pièce et limite. Une réserve doit indiquer ce qui manque et qui la traite. Distinguez la remise en fonctionnement d’un service, la correction du traitement et la fin d’une procédure : ces événements peuvent intervenir à des moments différents.

Enfin, organisez les décisions futures. Une nouvelle mesure peut modifier le périmètre ou exiger d’autres actions ; un recours peut soulever des questions propres à l’acte reçu. Faites examiner ces éléments sans présumer d’un effet suspensif ni d’un droit automatique à reprendre. La procédure interne doit rester capable d’exécuter l’obligation applicable tout en conservant les éléments nécessaires à l’exercice des droits de l’organisme.

Ce qu’il faut retenir

• La mesure provisoire de l’Art. 66(1) a une portée territoriale et une durée maximale de trois mois.
• Les demandes des paragraphes 2 et 3 répondent à des situations distinctes.
• Le Comité statue en urgence selon le délai et la majorité de l’Art. 66(4).
• L’entreprise doit lire le dispositif, les dates et le périmètre avant de traduire la décision techniquement.

FAQ

Les trois mois sont-ils un délai de mise en conformité ?

Non. Ils plafonnent la durée de validité de la mesure provisoire prise au titre de l’Art. 66(1). Son exécution dépend du dispositif et de sa date d’effet.

Une mesure nationale s’applique-t-elle automatiquement partout en Europe ?

L’Art. 66(1) limite ses effets juridiques au territoire de l’autorité qui la prend. Les suites européennes nécessitent l’examen de leur fondement et des actes adoptés.

L’entreprise peut-elle demander elle-même une décision urgente au CEPD ?

Les demandes des Art. 66(2) et (3) sont ouvertes aux autorités de contrôle dans les conditions du texte. Les démarches d’une entreprise ou d’une personne concernée suivent leurs voies propres.

Recevez nos analyses de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.