Article 93 du RGPD : le comité de la Commission
Article 93 du RGPD : comité des États membres, procédure d’examen et urgence. Comment suivre les actes qui affectent vos transferts.
L’article 93 du RGPD organise l’intervention d’un comité qui assiste la Commission européenne pour certains actes d’exécution. Pour un DPO, son utilité est surtout de comprendre comment un projet devient un acte applicable, notamment en matière d’adéquation et de clauses types. Un vote favorable ou un avis publié ne remplace pas la lecture de la décision finale.
Ce que prévoit exactement l’article 93
L’art. 93(1) renvoie au règlement européen n° 182/2011 sur le contrôle des compétences d’exécution de la Commission. Son paragraphe 2 désigne la procédure d’examen ; son paragraphe 3 prévoit le recours à la procédure des actes immédiatement applicables, en liaison avec cette procédure d’examen. RGPD, art. 93(1) à (3).
L’article 93 ne donne pas à la Commission un pouvoir général de réécrire le RGPD. Il faut une habilitation précise dans une autre disposition, qui définit ce que la Commission peut faire et renvoie à la procédure pertinente.
| Disposition | Acte concerné | Renvoi procédural |
|---|---|---|
| Art. 45(3) | Décision reconnaissant un niveau de protection adéquat | Art. 93(2) |
| Art. 45(5) | Abrogation, modification ou suspension d’une adéquation | Art. 93(2), ou art. 93(3) en urgence impérieuse justifiée |
| Art. 46(2)(c) | Clauses types de protection des données adoptées par la Commission | Art. 93(2) |
| Art. 67 | Modalités de certains échanges électroniques entre autorités et CEPD | Art. 93(2) |
Ces habilitations se lisent dans les articles 45 et 46 et dans l’article 67. Elles ne signifient pas que toutes les mesures envisageables ont déjà été adoptées.
Le comité de l’article 93 et le CEPD sont distincts
Les comités de comitologie sont composés de représentants des États membres et présidés par la Commission. Ils donnent aux États un rôle dans l’adoption des mesures d’exécution. La Commission publie notamment les résultats des votes et les comptes rendus dans son registre de comitologie. Commission européenne, fonctionnement des comités.
Le Comité européen de la protection des données, ou CEPD, est l’organe institué par l’art. 68. Il réunit les chefs des autorités de contrôle et le Contrôleur européen de la protection des données, ou leurs représentants. Il exerce ses missions en toute indépendance ; la Commission peut participer sans droit de vote. RGPD, art. 68(1), 68(3), 68(5) et 69. Notre fiche sur l’article 68 détaille cette composition.
Les deux instances peuvent intervenir autour d’un même dossier avec des fonctions différentes. Pour une adéquation, le CEPD rend un avis au titre de l’art. 70(1)(s), tandis que l’adoption de l’acte de la Commission suit l’art. 45(3) et la procédure de l’art. 93(2). Présenter le CEPD comme le comité qui « vote la décision d’adéquation » mélange ces étapes.
Comprendre la procédure d’examen
La Commission soumet son projet au comité. Un avis favorable à la majorité qualifiée conduit à son adoption ; un avis négatif empêche son adoption à ce stade, avec les suites procédurales prévues, notamment la possibilité de saisir le comité d’appel. L’absence d’avis n’équivaut pas à un vote favorable et doit être examinée selon les règles du règlement n° 182/2011. Commission européenne, procédure d’examen et comité d’appel.
Pour la veille d’une entreprise, distinguez quatre états : projet annoncé, avis du CEPD, vote du comité et acte final adopté. Ajoutez ensuite la date de prise d’effet et les éventuelles dispositions transitoires. Un communiqué annonçant une avancée ne permet pas, à lui seul, de modifier le mécanisme utilisé pour un transfert.
L’urgence ne rend pas toute décision immédiatement applicable
Le renvoi à l’art. 93(3) doit être prévu par la disposition pertinente. Ainsi, l’art. 45(5) autorise, pour des raisons d’urgence impérieuses dûment justifiées, un acte immédiatement applicable lorsqu’un niveau de protection n’est plus adéquat. Ce pouvoir concerne le cadre de l’adéquation ; il ne constitue pas une autorisation générale d’écarter le RGPD. RGPD, art. 45(5).
Il faut aussi distinguer cette procédure de celle de l’art. 66 : cette dernière concerne notamment des mesures provisoires d’une autorité de contrôle et l’intervention urgente du CEPD. Les acteurs, les conditions et les effets ne sont pas interchangeables. RGPD, art. 66(1) à (4).
Une méthode de veille pour les décisions utiles à la PME
Conservez une fiche pour chaque acte sur lequel repose votre organisation :
- référence et lien vers le texte final ;
- habilitation du RGPD et procédure suivie ;
- destinataires ou transferts effectivement couverts ;
- date de prise d’effet et règles transitoires ;
- contrats, outils ou notices à examiner en cas de modification.
Pour les transferts, notre guide de l’article 45 et de l’adéquation aide à vérifier le périmètre de la décision. Le guide de l’article 44 rappelle les obligations qui subsistent indépendamment du mécanisme choisi.
Enfin, ne confondez pas actes d’exécution et actes délégués : le RGPD traite ces derniers à l’art. 92, avec des habilitations et un contrôle distincts. La fiche sur l’exercice de la délégation permet de lire correctement cette autre procédure.
Ce qu’il faut retenir
- L’article 93 fixe une procédure, qui doit être rattachée à une habilitation précise.
- Son comité représente les États membres ; il est distinct du CEPD.
- Avis, vote et acte final correspondent à des étapes différentes.
- L’urgence suppose un fondement et des conditions propres au texte concerné.
- Pour appliquer une décision, vérifiez son périmètre, sa prise d’effet et ses dispositions transitoires.
FAQ
Le comité de l’article 93 peut-il sanctionner une entreprise ?
L’article 93 ne lui attribue pas ce pouvoir. Il organise son intervention auprès de la Commission pour les actes d’exécution concernés.
Un avis du CEPD rend-il une adéquation applicable ?
Non. Cet avis participe au processus, mais il faut examiner la décision finale de la Commission et sa prise d’effet.
Toute décision de la Commission relève-t-elle de cet article ?
Non. Il faut lire son fondement juridique. L’article 93 concerne les dispositions du RGPD qui renvoient à cette procédure.
Recevez nos analyses pratiques de conformité dans la newsletter.
À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.