Article 68 RGPD : composition et rôle du CEPD

Le Comité européen de la protection des données (CEPD, ou EDPB en anglais) et le Contrôleur européen de la protection des données sont deux organismes distincts. Cette distinction évite d’adresser une démarche au mauvais interlocuteur ou d’attribuer à un document une portée qu’il n’a pas.

Article 68 : nature et composition du Comité

L’Art. 68(1) institue le Comité comme organe de l’Union doté de la personnalité juridique. Son président le représente. Il réunit le chef d’une autorité de contrôle de chaque État membre et le Contrôleur européen de la protection des données, ou leurs représentants respectifs. Lorsqu’un État dispose de plusieurs autorités, un représentant commun est désigné selon son droit national. Source : RGPD, Art. 68(1) à (4).

Il s’agit d’une composition institutionnelle, pas d’un conseil de représentants d’entreprises. La présence d’un responsable national au Comité ne supprime pas les compétences des autorités de contrôle prévues par l’article 51.

Qui participe et qui vote ?

L’Art. 68(6) ne prive pas le Contrôleur européen de tout droit de vote. Dans les cas de l’Art. 65, il vote seulement sur les décisions concernant des principes et règles applicables aux institutions, organes et organismes de l’Union qui correspondent en substance à ceux du RGPD. Il faut conserver cette limitation de champ lorsqu’on décrit la règle. Source : Art. 68(5) et (6).

Le Comité et son secrétariat ont des rôles distincts

Le Comité exerce les missions de l’article 70, notamment la publication d’orientations et l’intervention dans les mécanismes de cohérence. Les pouvoirs contraignants prévus par l’article 65 résultent de cette compétence précise ; la personnalité juridique ne suffit pas, à elle seule, à conférer un pouvoir de sanction général.

L’Art. 75 prévoit un secrétariat assuré par le Contrôleur européen, qui travaille sous l’autorité exclusive du président du Comité avec une structure hiérarchique distincte pour ces tâches. Il prépare et soutient les travaux ; il ne remplace pas le collège dans l’adoption des décisions. Voir le rôle du secrétariat.

Pour le DPO : identifier l’auteur avant d’utiliser un document

Une fiche de référence peut comporter quatre champs :

1. Auteur exact : Comité, autorité nationale, Contrôleur européen ou Commission.
2. Nature : ligne directrice, avis, décision, communiqué ou projet soumis à consultation.
3. État du document : date, version et éventuel remplacement.
4. Utilisation : question traitée, périmètre et conséquences pour les traitements de l’organisation.

Cette vérification est particulièrement utile lorsqu’une recherche affiche une ancienne orientation et une version révisée. Le sigle de l’organisme et la date de publication ne suffisent pas : il faut ouvrir le document et vérifier son statut. Une position interprétative ne doit pas être présentée comme un nouvel article du règlement.

Commencer par la démarche, puis choisir le destinataire

La question « qui représente la France au Comité ? » ne répond pas à « où déposer une réclamation ? ». L’Art. 77(1) organise le droit d’introduire une réclamation auprès d’une autorité de contrôle, notamment dans l’État de résidence habituelle, du lieu de travail ou de la violation alléguée. La composition européenne du Comité ne transforme pas son secrétariat en guichet universel des plaintes individuelles. Source : RGPD, Art. 77.

De même, une demande d’exercice des droits doit être distinguée d’une demande de documentation institutionnelle. Avant d’envoyer des pièces, formulez l’objectif : obtenir une réponse de l’organisme qui traite les données, signaler une difficulté à une autorité, contester une décision ou contribuer à une consultation. Ces démarches peuvent concerner le même dossier mais ne suivent pas le même circuit.

Pour une entreprise, la coopération avec l’autorité de contrôle prévue à l’Art. 31 ne se réalise pas en adressant un message général au Comité. Identifiez l’autorité qui vous sollicite, l’objet de sa demande et les références du dossier. Une publication européenne peut aider à préparer la réponse ; elle ne remplace ni la demande reçue ni ses suites. Source : RGPD, Art. 31.

Lire la qualité dans laquelle une personne intervient

Une même personne peut être présentée comme responsable d’une autorité nationale et intervenir dans un cadre européen. Pour qualifier le document, regardez au nom de quel organisme elle s’exprime et quel acte a été adopté. Une déclaration, une intervention publique et une décision du collège n’ont pas la même fonction.

L’Art. 68(2) confie la représentation du Comité à son président. Cela ne signifie pas que toute prise de parole d’un membre engage le Comité. La note de veille doit identifier l’auteur institutionnel du texte utilisé, sans transformer une fonction mentionnée dans une biographie en preuve d’adoption collective.

La même précaution vaut pour la Commission. Sa participation aux activités du Comité ne lui donne pas une voix dans les votes. Une demande d’avis ou la réception d’un document ne doit donc pas être présentée comme une approbation commune de toutes les institutions. L’Art. 69(1)–(2) précise par ailleurs l’indépendance du Comité dans ses missions : sa composition ne crée pas une chaîne d’instructions politiques.

Exemple fictif : trois documents dans un dossier fournisseur

L’entreprise fictive Mauve reçoit d’un fournisseur trois pièces : une orientation attribuée au Comité, une réponse d’une autorité nationale dans un dossier distinct et une présentation commerciale affirmant que la solution est « approuvée au niveau européen ». Aucun fournisseur ni organisme réel n’est évalué dans cet exemple.

Le premier travail consiste à ouvrir les pièces. Pour l’orientation, il faut retrouver le texte complet, sa version et la question traitée. Pour la réponse nationale, il faut connaître le destinataire, le périmètre et les réserves. Pour la présentation, il faut demander quel acte précis soutient l’affirmation d’approbation. Le logo d’une institution reproduit sur une diapositive ne suffit pas.

Supposons que la réponse nationale concerne une configuration différente de celle achetée par Mauve et que l’orientation explique une règle générale. Ces documents peuvent être utiles à l’analyse, mais ils ne démontrent pas l’approbation de la configuration commandée. La conclusion de travail reste donc limitée : pièces identifiées, portée à examiner, affirmation commerciale non établie par les éléments disponibles.

Cette conclusion n’interdit pas de poursuivre les échanges. Elle permet de poser une demande précise au fournisseur : référence de l’acte, organisme qui l’a adopté, produit ou traitement concerné, version et conditions. La réponse attendue doit pouvoir être rapprochée de la prestation effectivement envisagée, sans convertir l’existence du Comité en garantie de conformité.

Préparer une demande institutionnelle exploitable

Lorsque la démarche nécessite de contacter un organisme, préparez une courte note de routage. Elle n’est pas un formulaire réglementaire : elle aide l’équipe à savoir ce qui doit être envoyé et à qui.

Évitez de joindre par réflexe l’intégralité d’un dossier client à une question sur la version d’une ligne directrice. Une référence documentaire suffit souvent à expliquer cette question. Si des pièces contenant des données sont nécessaires à une autre démarche, déterminez leur utilité et le canal approprié avant l’envoi.

La présence d’un accusé de réception démontre une réception selon son contenu, pas une décision au fond. Conservez séparément la demande envoyée, ses annexes et la réponse reçue. Une transmission supplémentaire ne doit pas être interprétée comme suspendant automatiquement une autre échéance : il faut examiner le régime propre de cette échéance.

Organiser la veille sans confondre les sigles

Dans les dossiers partagés, écrivez d’abord le nom complet de l’institution. Les abréviations françaises et anglaises peuvent varier selon les documents : Comité européen, EDPB, Contrôleur européen ou EDPS. Une recherche par sigle seul peut ramener des textes d’organismes distincts et des périodes différentes.

Associez ensuite le texte à une question de votre organisation. Une orientation peut conduire à revoir une procédure ; un communiqué peut seulement annoncer qu’un texte sera disponible ; une décision peut demander une analyse de son dispositif et de ses destinataires. Le classement documentaire doit conserver ces différences au lieu de ranger toutes les pièces sous « nouvelles obligations européennes ».

Enfin, prévoyez une vérification lors d’une réutilisation importante : réponse à un client, changement d’outil ou actualisation d’une procédure. La version enregistrée peut être ancienne, ou la conclusion interne avoir été formulée pour un périmètre plus étroit. Une bonne référence institutionnelle permet de retrouver le raisonnement ; elle ne dispense pas d’examiner les faits nouveaux.

Ce qu’il faut retenir

• L’Art. 68 institue le Comité et fixe sa composition.
• La Commission participe sans voter.
• La restriction de vote du Contrôleur européen vise les cas de l’Art. 65 dans les conditions du paragraphe 6.
• Auteur, nature, version et portée doivent être identifiés avant d’utiliser un document européen.

FAQ

Le Comité et le Contrôleur européen sont-ils identiques ?

Non. Le Contrôleur européen est membre du Comité et lui fournit son secrétariat selon l’Art. 75. Ces relations ne fusionnent pas les deux organismes.

La Commission peut-elle voter au Comité ?

Non. L’Art. 68(5) prévoit expressément sa participation sans droit de vote.

Chaque autorité d’un État dispose-t-elle de son propre siège ?

Lorsqu’un État a plusieurs autorités chargées du RGPD, l’Art. 68(4) prévoit un représentant commun désigné selon le droit de cet État.

Recevez nos analyses de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.