Article 67 RGPD : échanges entre autorités et IMI

Les autorités européennes échangent des projets de décision, des demandes d’assistance et des éléments d’enquête. L’Art. 67 permet à la Commission de préciser les modalités électroniques de ces échanges. Il n’oblige pas une PME à ouvrir un compte dans un système européen pour répondre à la CNIL.

Article 67 RGPD : une compétence d’exécution

Le texte habilite la Commission à adopter des actes d’exécution de portée générale concernant les échanges électroniques entre autorités de contrôle et entre celles-ci et le Comité européen de la protection des données (CEPD). Il vise notamment le formulaire type de l’Art. 64. Ces actes suivent la procédure d’examen de l’Art. 93(2). Source : RGPD, Art. 67.

Il faut distinguer cette habilitation de la procédure de fond. L’Art. 67 ne crée pas à lui seul un nouveau motif de sanction, un délai universel de réponse imposé à l’entreprise ou un droit d’accès intégral aux échanges entre autorités.

À quels échanges cette organisation se rattache-t-elle ?

Les règles de coopération transfrontalière et d’assistance mutuelle restent celles de leurs articles respectifs. L’Art. 64(4) et (5) précise la transmission électronique d’informations utiles et le rôle du président du Comité ; notre guide des avis du CEPD explique cette étape.

Un point mérite une attention particulière : dans l’assistance mutuelle, l’Art. 61(3) réserve l’utilisation des informations aux fins pour lesquelles elles ont été demandées. Cela ne permet pas de conclure que toute pièce communiquée à la CNIL devient librement accessible à toutes les autorités européennes.

Le système IMI : un outil entre administrations

Le système d’information du marché intérieur, ou IMI, est un outil électronique sécurisé et multilingue destiné à faciliter les échanges entre autorités publiques et leur coopération transfrontalière. Il sert plusieurs domaines du marché intérieur. Source : présentation officielle du système IMI par le Comité de surveillance coordonnée.

Cette infrastructure ne remplace pas les canaux indiqués par l’autorité dans un contrôle. Une entreprise répond au destinataire désigné, dans le format demandé et par le canal sécurisé prévu. L’Art. 67 ne lui donne pas un accès général aux dossiers d’IMI.

Préparer des pièces utilisables sans perdre leur contexte

Pour un dossier européen, une organisation peut utiliser un bordereau commun :

• identifiant et version de chaque pièce ;
• date, période couverte et traitement concerné ;
• explication des sigles et des systèmes internes ;
• auteur de la réponse et coordonnées de suivi ;
• éléments confidentiels identifiés et justification de leur protection.

Cette méthode pratique réduit le risque de présenter des versions contradictoires à plusieurs interlocuteurs. Une capture d’écran doit, par exemple, indiquer si elle représente l’interface actuelle, un ancien parcours ou une maquette qui n’a jamais été déployée.

Pour les documents du Comité, les règles d’accès et de confidentialité doivent être analysées séparément, notamment au regard de l’article 76. Une mention « confidentiel » ne tranche pas, à elle seule, toutes les obligations de transmission ou d’accès.

Lire une demande avant de préparer la réponse

Lorsqu’un dossier implique plusieurs pays, commencez par la demande effectivement reçue. Relevez l’autorité qui l’adresse, sa référence, les opérations visées, la période et les pièces attendues. Identifiez aussi les modalités de remise et la date à respecter. La présence d’une dimension européenne n’autorise pas à remplacer ces indications par le délai d’une autre procédure.

Le délai d’un mois prévu à l’Art. 61(2), par exemple, concerne la réponse d’une autorité à la demande d’assistance d’une autre autorité. Il ne constitue pas un délai supplémentaire automatiquement accordé à l’entreprise. De même, les délais d’avis du Comité ne fixent pas le calendrier de toutes les réponses aux enquêteurs.

Si le périmètre ou le format demandé reste ambigu, identifiez précisément le point à éclaircir auprès de l’interlocuteur indiqué. Préparer cette demande de précision ne doit pas conduire à ignorer l’échéance reçue. Conservez la trace des indications données et adaptez votre organisation à la réponse obtenue. Cette méthode ne présume pas l’existence d’un droit général à prolongation.

Construire un bordereau qui reste intelligible après transmission

Une pièce est utile lorsqu’un lecteur extérieur comprend ce qu’elle démontre. Le bordereau peut donc comporter une colonne « question traitée » et une colonne « limite ». Pour un contrat, indiquez les parties, la date et le service concerné. Pour une extraction, expliquez sa période, les filtres appliqués et les champs. Pour une procédure, précisez si elle était applicable pendant les faits examinés.

Voici un exemple de structure proposé pour préparer les pièces, sans prétendre reproduire un formulaire administratif :

Les références doivent rester stables pendant le dossier. Si une pièce est corrigée, créez une version identifiée et expliquez ce qui change. Remplacer silencieusement le contenu derrière le même nom de fichier rend difficile la comparaison des réponses successives et peut laisser plusieurs interlocuteurs avec des versions différentes.

Exemple fictif : deux notices pour une même application

La société fictive Mélisse utilise une application dans deux États membres. Elle prépare une réponse portant sur la collecte d’une année antérieure. Le service marketing fournit la notice actuelle ; l’équipe technique retrouve une ancienne version, mais ne sait pas encore à quelle date elle a été déployée. Aucune procédure réelle ni entreprise existante n’est décrite dans cet exemple.

Le dossier ne doit pas choisir arbitrairement une des deux notices pour remplir la case « information des personnes ». Il peut présenter les pièces retrouvées, leur provenance et l’incertitude sur la période de déploiement. L’investigation complémentaire porte alors sur la version accessible aux utilisateurs pendant la collecte concernée.

Supposons qu’une preuve de déploiement soit ensuite retrouvée pour un seul des deux pays. La conclusion peut être précisée pour ce périmètre, tout en conservant la réserve sur l’autre. Une réponse commune au groupe reste possible, mais elle doit distinguer ce qui a été établi dans chaque situation. L’utilisation d’un outil d’échange entre autorités ne corrige pas une preuve incomplète à sa source.

Préparer les explications sans modifier les pièces originales

Une note de lecture peut expliquer les sigles, les services internes et la structure d’un document. Elle doit rester distincte de la pièce qu’elle décrit. Si vous fournissez une traduction, indiquez sa langue source, la version traduite et les limites éventuelles. Les exigences linguistiques concrètes doivent être vérifiées dans le dossier ; l’Art. 67 ne permet pas d’imposer une langue universelle aux entreprises.

L’Art. 64(5)(a) prévoit que le secrétariat du Comité fournit, si nécessaire, les traductions des informations utiles dans le mécanisme concerné. Cette disposition entre autorités ne dispense pas automatiquement l’organisation de répondre dans le format ou la langue qui lui est valablement demandé.

Une synthèse peut attirer l’attention sur un passage pertinent, mais elle ne doit pas masquer une réserve figurant dans l’annexe. Relisez l’ensemble comme le ferait une personne qui ne connaît ni votre vocabulaire ni votre organisation. Les affirmations de la réponse doivent pouvoir être rapprochées d’une pièce ou clairement présentées comme restant à documenter.

Traiter la confidentialité et la sécurité comme des questions précises

Identifiez les passages dont la confidentialité doit être examinée et expliquez le motif invoqué. Un marquage global de tous les documents ne suffit pas à déterminer leur traitement juridique. Les pouvoirs d’enquête, les garanties procédurales et les règles d’accès doivent être appréciés selon l’acte et le dossier. L’Art. 58(1) et (4) encadre notamment les pouvoirs d’information et les garanties de leur exercice.

Préparez les données nécessaires à la réponse sans transmettre des ensembles sans rapport avec la demande. Si une pièce contient des informations concernant des tiers, examinez les modalités de communication applicables avec l’interlocuteur compétent ; ne retirez pas unilatéralement une information nécessaire en supposant qu’une mention de confidentialité vous en dispense.

Pour la remise matérielle, vérifiez le destinataire, le canal prévu et l’accès aux fichiers. Conservez la liste des pièces transmises et les éléments permettant d’établir leur envoi. Un dossier inaccessible en raison d’un lien expiré n’est pas équivalent à un dossier dont le contenu a pu être examiné. Une confirmation technique ne préjuge toutefois pas de la valeur juridique des pièces.

Organiser les compléments et la clôture interne

Attribuez chaque question ouverte à une personne capable d’obtenir la réponse. Le suivi doit distinguer « information recherchée », « pièce reçue », « réponse transmise » et « point résolu selon les éléments disponibles ». Ces états sont des propositions d’organisation interne, pas des statuts officiels d’IMI.

Lorsqu’une correction est effectuée, expliquez son effet et ses limites. L’envoi d’un complément ne vaut pas, à lui seul, clôture de la procédure ni validation générale du traitement. Continuez à suivre les demandes et décisions reçues par les canaux indiqués. L’apport pratique de l’Art. 67 est de situer les échanges institutionnels ; la qualité de votre dossier dépend toujours de pièces exactes et compréhensibles.

Ce qu’il faut retenir

• L’Art. 67 habilite la Commission à encadrer les modalités d’échange électronique entre autorités.
• Les procédures et leurs délais restent régis par les articles applicables au dossier.
• IMI est un outil administratif ; l’entreprise suit le canal que lui indique l’autorité.
• Un bordereau de pièces datées et versionnées facilite une réponse cohérente.

FAQ

Dois-je transmettre mes réponses à la CNIL dans IMI ?

L’Art. 67 ne crée pas cette obligation pour les entreprises. Il faut suivre les modalités de réponse communiquées par la CNIL dans le dossier concerné.

L’article 67 fixe-t-il un délai de réponse à un contrôle ?

Non. Il porte sur les modalités électroniques d’échange entre autorités. Le délai opposable à l’entreprise doit être recherché dans la demande reçue et les textes applicables.

Les pièces peuvent-elles circuler entre autorités ?

Oui, dans le cadre des mécanismes de coopération applicables. Cette circulation est encadrée ; elle ne signifie pas que les documents deviennent publics ou utilisables sans limite.

Recevez nos analyses de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.