Article 69 RGPD : l'indépendance du CEPD décryptée

Lorsqu’une ligne directrice du Comité européen de la protection des données (CEPD) finit par s’imposer à toute l’Europe — et donc à votre entreprise —, on s’interroge rarement sur ce qui lui donne autant de poids. La réponse ne tient pas seulement à ses missions, mais à une garantie discrète, presque invisible, posée par l’article 69 du RGPD : l’indépendance. Deux paragraphes, quelques lignes, et pourtant l’une des dispositions les plus structurantes du chapitre VII. C’est elle qui transforme la doctrine du CEPD en référence incontournable plutôt qu’en simple position négociée. Voici ce qu’il faut comprendre — et pourquoi cette indépendance vous concerne directement.

Ce que dit l’article 69 du RGPD

L’article 69 est court, mais chacun de ses deux paragraphes porte une exigence forte.

L’article 69(1) pose le principe : « Le comité exerce ses missions et ses pouvoirs visés aux articles 70 et 71 en toute indépendance. » Autrement dit, lorsqu’il produit ses lignes directrices, rend ses avis, adopte ses décisions contraignantes ou rédige son rapport annuel, le CEPD n’agit sous l’autorité de personne. L’expression « en toute indépendance » n’est pas un ornement rédactionnel : c’est la même formule que celle utilisée à l’article 52 pour les autorités de contrôle nationales comme la CNIL. Le législateur européen a voulu hisser le comité au même rang d’indépendance que les autorités qui le composent.

L’article 69(2) en tire la conséquence pratique : « Sans préjudice des demandes de la Commission visées à l’article 70, paragraphe 1, point b), et paragraphe 2, le comité ne sollicite ni n’accepte d’instructions de quiconque dans l’exercice de ses missions ou de ses pouvoirs. » Le comité ne reçoit donc d’ordres ni d’un État membre, ni d’une institution de l’Union, ni d’un acteur économique. La seule réserve concerne les demandes de la Commission de produire un avis sur un sujet donné — mais une demande n’est pas une instruction : la Commission peut saisir le comité d’une question, elle ne peut pas lui dicter sa réponse.

Pourquoi l’indépendance est la clé de voûte du chapitre VII

L’article 69 ne se comprend qu’en le replaçant dans son architecture. L’article 68 institue le CEPD comme organe de l’Union doté de la personnalité juridique ; l’article 70 énumère ses missions ; l’article 69, glissé entre les deux, en garantit la qualité d’exercice. Sans lui, les missions de l’article 70 resteraient des compétences techniques exposées aux pressions ; avec lui, elles deviennent une autorité morale et juridique.

C’est précisément cette indépendance qui explique le paradoxe que me soumettent si souvent les juristes d’entreprise : pourquoi une ligne directrice formellement non contraignante s’impose-t-elle en pratique ? Parce qu’elle émane d’un organe qui réunit, en toute indépendance, l’ensemble des autorités de contrôle européennes. Une position du CEPD n’est pas l’opinion d’une institution politique négociant des intérêts ; c’est le point de convergence indépendant des vingt-sept régulateurs qui appliqueront ensuite cette position lors de leurs contrôles. Ignorer une telle position, c’est s’exposer à l’interprétation que retiendra la CNIL le jour d’un contrôle.

L’indépendance fonctionne aussi en miroir de celle des autorités nationales. Le CEPD est composé des présidents de chaque autorité de contrôle, eux-mêmes indépendants au titre de l’article 52. L’article 69 prolonge donc au niveau européen une garantie qui irrigue tout le système : ni la CNIL au niveau national, ni le comité au niveau de l’Union ne peuvent recevoir d’instructions. C’est cette chaîne d’indépendance ininterrompue qui donne sa crédibilité au mécanisme de cohérence.

Indépendance et pouvoir de décision : le lien avec les articles 64 et 65

L’indépendance prend toute sa portée lorsqu’on la relie au pouvoir le plus tranchant du comité. Au titre de l’article 65, le CEPD adopte des décisions contraignantes qui s’imposent aux autorités nationales, notamment en cas de désaccord entre elles sur un dossier transfrontalier. Ces décisions ont fondé certaines des sanctions les plus lourdes du RGPD, notifiées ensuite par les autorités chef de file.

Or une décision impérative n’a de légitimité que si son auteur est libre de toute instruction. C’est l’article 69 qui assure cette légitimité : lorsque le comité arbitre entre deux autorités, ou impose une lecture à un régulateur récalcitrant, il le fait sans recevoir d’ordre d’aucune partie. De la même façon, les avis de l’article 64 — qui orientent les projets de décision des autorités, les codes de conduite transnationaux ou les certifications — tirent leur autorité de cette même garantie d’indépendance. Retirez l’article 69, et c’est tout l’édifice du mécanisme de cohérence qui perd sa force contraignante.

Les garanties concrètes qui rendent cette indépendance effective

Une indépendance proclamée ne vaut que si elle est outillée. Le RGPD ne se contente pas de l’affirmer à l’article 69 : il l’organise matériellement dans le reste du chapitre VII.

Le premier verrou est la composition. Le comité réunit les responsables des autorités de contrôle de chaque État membre ainsi que le Contrôleur européen de la protection des données. Ces membres sont eux-mêmes indépendants au titre de l’article 52 : l’indépendance du comité n’est donc pas plaquée sur un organe vulnérable, elle agrège des indépendances déjà garanties au niveau national.

Le second verrou est le secrétariat. Le RGPD prévoit que le secrétariat du comité est assuré par le Contrôleur européen de la protection des données, et surtout qu’il agit sur les seules instructions du président du comité. Ce détail technique est essentiel : il évite que l’administration qui prépare les dossiers ne devienne un canal d’influence détourné. Celui qui rédige les projets de lignes directrices ne répond qu’au président, lui-même élu par les membres indépendants. La boucle est fermée.

Le troisième verrou est la transparence. Parce qu’il agit sans instructions, le comité doit rendre des comptes autrement que par la voie hiérarchique : par la publicité de ses travaux. C’est tout le sens de l’obligation de publier ses lignes directrices, avis et décisions, et de tenir un registre public des décisions du mécanisme de cohérence. L’indépendance a pour contrepartie naturelle la transparence — une exigence dont l’entreprise est, au fond, la première bénéficiaire, puisqu’elle lui donne accès à la doctrine applicable.

Ce que l’indépendance du CEPD change concrètement pour vous

On pourrait croire l’article 69 purement institutionnel, sans portée opérationnelle. C’est une erreur. Dans mon expérience de conseil, comprendre cette indépendance change la manière d’aborder la veille et la défense en conformité. Trois enseignements pratiques.

Premier enseignement — la doctrine du CEPD est stable et prévisible. Parce qu’il est indépendant, le comité ne change pas de position au gré des alternances politiques ou des pressions sectorielles. Une ligne directrice publiée engage durablement la lecture des autorités. Vous pouvez donc bâtir une conformité de moyen terme sur ces textes sans craindre un revirement opportuniste — ce qui n’est pas le cas d’une réglementation négociée.

Deuxième enseignement — invoquer une position du CEPD est un argument de défense solide. Lors d’un contrôle ou d’un contentieux, démontrer que votre traitement est conforme à une ligne directrice du comité est un atout sérieux. À l’inverse, une autorité nationale ne peut pas facilement vous reprocher d’avoir suivi la doctrine indépendante de l’organe qui la coiffe. L’indépendance du CEPD travaille alors en votre faveur.

Troisième enseignement — ne confondez pas indépendance et imperméabilité. Le comité est indépendant, mais il consulte. L’article 70(4) l’oblige à recueillir l’avis des parties intéressées avant d’adopter ses lignes directrices. Indépendance signifie absence d’instructions, pas refus du dialogue. Les entreprises françaises, et surtout leurs fédérations, gagneraient à contribuer à ces consultations : c’est le canal légitime pour faire valoir une réalité de terrain auprès d’un organe que rien d’autre ne peut influencer.

C’est ce travail de veille structurée sur la doctrine indépendante du CEPD, reliée à chacune de vos obligations, que des outils de conformité comme Legiscope permettent d’industrialiser.

Ce qu’il faut retenir

• L’article 69 RGPD garantit que le Comité européen de la protection des données (CEPD) exerce ses missions « en toute indépendance », sans solliciter ni accepter d’instructions de quiconque.
• Cette indépendance est la même que celle reconnue aux autorités de contrôle nationales par l’article 52 ; elle prolonge au niveau européen une chaîne d’indépendance ininterrompue.
• Seule réserve : la Commission peut demander au comité de rendre un avis (article 70(1)(b) et (2)), mais une demande n’est pas une instruction.
• C’est l’indépendance qui fonde l’autorité pratique de la doctrine du CEPD et la légitimité de ses décisions contraignantes au titre de l’article 65.
• Pour les entreprises, cette indépendance rend la doctrine stable, prévisible et opposable en défense — tout en laissant ouverte la voie des consultations publiques.

FAQ

Que signifie l’indépendance du CEPD prévue à l’article 69 ?

Elle signifie que le comité exerce ses missions et ses pouvoirs (lignes directrices, avis, décisions contraignantes, rapport annuel) sans recevoir d’ordre d’aucun État membre, institution ou acteur économique. L’article 69(2) lui interdit de solliciter ou d’accepter des instructions de quiconque.

La Commission européenne peut-elle donner des instructions au CEPD ?

Non. La Commission peut seulement demander au comité de rendre un avis sur une question (article 70(1)(b) et 70(2)). Cette demande n’est pas une instruction : la Commission ne peut pas dicter le contenu de l’avis. L’indépendance du comité reste entière sur le fond.

En quoi l’indépendance du CEPD me concerne-t-elle en tant qu’entreprise ?

Parce qu’elle fonde l’autorité de la doctrine que la CNIL appliquera lors de vos contrôles. Une position indépendante du comité est stable, prévisible et opposable en défense : invoquer une ligne directrice du CEPD pour justifier votre conformité est un argument solide.

L’indépendance du CEPD est-elle la même que celle de la CNIL ?

Oui, dans son principe. L’article 69 reprend la formule « en toute indépendance » employée à l’article 52 pour les autorités de contrôle nationales. Le CEPD étant composé des présidents de ces autorités, l’indépendance forme une chaîne continue du niveau national au niveau européen.