(1) Le Règlement général sur la protection des données (RGPD) encadre strictement les contrôles, les recours et les sanctions afin de protéger les droits des personnes concernées tout en garantissant la libre circulation des données à caractère personnel au sein de l’Union européenne (considérants (126) à (170), articles 51 et s. RGPD).
(2) Les considérants (126) à (170) détaillent la logique d’ensemble du dispositif: rôle des autorités de contrôle, mécanisme de guichet unique, pouvoirs d’enquête et de sanction, recours juridictionnels, réclamations des personnes concernées, dommages‑intérêts et amendes administratives, ainsi que plusieurs régimes spécifiques (traitements publics, traitements à des fins de recherche, statistiques, archives, liberté d’expression, secret professionnel, etc.).
(3) Le RGPD repose sur un réseau d’autorités de contrôle indépendantes dans chaque État membre (article 51, considérant (129)), dotées de missions et de pouvoirs effectifs homogènes pour assurer une application cohérente du règlement sur l’ensemble du territoire de l’Union.
(4) Pour les traitements ayant une dimension transfrontalière, le règlement introduit un mécanisme de guichet unique (one‑stop shop, considérants (126), (127), (135) à (138)): une autorité de contrôle chef de file coordonne l’instruction et adopte une décision contraignante pour le responsable du traitement ou le sous‑traitant.
(5) Selon le considérant (126), la décision adoptée conjointement par l’autorité de contrôle chef de file et les autorités de contrôle concernées est adressée à l’établissement principal ou unique du responsable ou du sous‑traitant, et est juridiquement contraignante. Le responsable ou le sous‑traitant doit alors prendre toutes les mesures nécessaires pour en assurer l’exécution, pour l’ensemble des activités de traitement dans l’Union.
(6) Lorsque le traitement a une portée locale seulement, chaque autorité de contrôle qui n’est pas chef de file reste compétente pour traiter l’affaire (considérant (127)), par exemple pour un traitement de données d’employés limité à un seul État membre. Elle doit informer sans tarder l’autorité chef de file, qui décide de reprendre ou non le dossier sous le mécanisme de guichet unique.
(7) Le considérant (128) exclut le mécanisme de guichet unique lorsque le traitement est effectué par des autorités publiques ou des organismes privés agissant dans l’intérêt public. Dans ce cas, seule l’autorité de contrôle de l’État membre où est établi l’organisme est compétente.
(8) Les autorités de contrôle disposent, selon le considérant (129) et l’article 58 RGPD, de pouvoirs d’enquête, de mesures correctrices, de sanctions, de pouvoirs d’autorisation et de pouvoirs consultatifs, y compris en cas de réclamation introduite par des personnes physiques.
(9) Ces pouvoirs comprennent notamment: l’accès aux données et aux locaux (sous réserve du droit procédural national), la possibilité d’imposer une limitation temporaire ou définitive au traitement, y compris une interdiction, et le pouvoir de porter les violations du règlement à l’attention des autorités judiciaires et d’ester en justice (considérant (129)).
(10) Toute mesure doit être appropriée, nécessaire et proportionnée, prise dans un délai raisonnable, respecter le droit d’être entendu et éviter des coûts ou désagréments excessifs pour les personnes concernées (considérant (129)). Les décisions doivent être claires, motivées, écrites, signées, et mentionner le droit à un recours effectif.
(11) Les considérants (133) et (134) imposent une entraide active entre autorités de contrôle pour garantir une application cohérente du RGPD dans le marché intérieur. Les autorités se prêtent assistance mutuelle (échange d’informations, mesures d’enquête) et peuvent mener des opérations conjointes.
(12) En cas d’absence de réponse à une demande d’assistance mutuelle dans le mois, l’autorité requérante peut adopter une mesure provisoire (considérant (133)). L’autorité requise à une opération conjointe doit répondre dans un délai déterminé (considérant (134)).
(13) Le mécanisme de contrôle de la cohérence (considérants (135) à (138)) complète le guichet unique pour assurer une application uniforme du règlement dans l’Union. Il s’applique notamment lorsque:
(14) – une autorité entend adopter une mesure produisant des effets juridiques sur des traitements affectant un nombre important de personnes concernées dans plusieurs États membres (considérant (135));
– une autorité de contrôle concernée ou la Commission européenne demande le recours à ce mécanisme.
(15) Dans ce cadre, le comité européen de la protection des données (le «comité») émet un avis dans un délai déterminé ou adopte des décisions juridiquement contraignantes en cas de divergences entre autorités (considérant (136)). Il statue en principe à la majorité des deux tiers de ses membres.
(16) Le consid. (138) précise que, lorsque l’application du mécanisme de cohérence est obligatoire, elle conditionne la légalité de la mesure nationale. Pour d’autres cas transfrontaliers, seule la coopération (autorité chef de file/autorités concernées), l’assistance mutuelle ou les opérations conjointes suffisent, sans saisir le mécanisme de cohérence.
(17) Quand il existe un danger immédiat que l’exercice des droits d’une personne concernée soit gravement entravé, une autorité peut adopter sur son territoire des mesures provisoires dûment justifiées, pour une durée limitée n’excédant pas trois mois (considérant (137)).
(18) Le considérant (139) crée le comité européen de la protection des données comme organe indépendant de l’Union, doté de la personnalité juridique. Il remplace l’ancien Groupe de l’article 29 (directive 95/46/CE).
(19) Le comité est composé du chef de chaque autorité de contrôle et du Contrôleur européen de la protection des données (CEPD), la Commission participant sans droit de vote. Il contribue à l’application cohérente du RGPD, notamment en conseillant la Commission (par exemple sur le niveau de protection dans les pays tiers) et en favorisant la coopération entre autorités.
(20) Selon le considérant (140), le comité est assisté par un secrétariat assuré par le CEPD; le personnel affecté à ces tâches ne reçoit d’instructions que du président du comité.
(21) Le considérant (141), en lien avec les articles 77 à 79 RGPD, garantit à toute personne concernée le droit d’introduire une réclamation auprès d’une seule autorité de contrôle, en particulier dans l’État membre de sa résidence habituelle, si elle estime que ses droits au titre du RGPD sont violés ou que l’autorité ne donne pas suite à sa réclamation.
(22) L’autorité doit mener une enquête appropriée, informer la personne de l’état d’avancement et de l’issue de sa réclamation dans un délai raisonnable, et fournir des informations intermédiaires si l’affaire exige un complément d’enquête ou une coordination (considérant (141)).
(23) Afin de faciliter les démarches, chaque autorité met à disposition un formulaire de réclamation, pouvant être rempli par voie électronique (considérant (141)), sans exclure d’autres moyens.
(24) Le considérant (142) prévoit la possibilité de mandater un organisme, organisation ou association à but non lucratif, actif dans la protection des données, pour introduire une réclamation ou exercer un recours juridictionnel au nom de la personne concernée. Les États membres peuvent aussi permettre des actions indépendantes de tout mandat, mais sans possibilité de réclamer une réparation financière sans mandat.
(25) Selon le considérant (143), toute personne physique ou morale peut former un recours en annulation contre les décisions du comité devant la Cour de justice de l’Union européenne (CJUE), conformément à l’article 263 TFUE.
(26) Les autorités de contrôle concernées disposent de deux mois à compter de la notification de la décision du comité pour la contester. Lorsqu’une décision concerne directement et individuellement un responsable du traitement, un sous‑traitant ou l’auteur de la réclamation, ceux‑ci peuvent également la contester dans les deux mois à compter de sa publication sur le site du comité.
(27) Indépendamment de ce recours devant la CJUE, toute personne doit disposer d’un recours juridictionnel effectif devant la juridiction nationale compétente contre une décision d’une autorité de contrôle produisant des effets juridiques (article 78 RGPD, considérant (143)).
(28) Les juridictions nationales doivent disposer d’une compétence de pleine juridiction (examen des faits et du droit). Si la validité d’une décision du comité est en cause, elles ne peuvent pas l’invalider elles‑mêmes: elles doivent saisir la CJUE par question préjudicielle au titre de l’article 267 TFUE (considérant (143)).
(29) Le considérant (144) règle les actions connexes engagées dans plusieurs États membres contre un même traitement: les juridictions doivent se contacter pour vérifier l’existence d’actions parallèles, et peuvent surseoir à statuer ou se dessaisir au profit de la juridiction saisie en premier afin d’éviter des décisions inconciliables.
(30) Le considérant (145) précise, pour les actions contre un responsable du traitement ou un sous‑traitant, que le demandeur peut choisir entre les juridictions:
(31) – de l’État membre où le responsable ou le sous‑traitant a un établissement ;
– de l’État membre où la personne concernée réside, sauf si le responsable est une autorité publique agissant dans l’exercice de ses prérogatives de puissance publique.
(32) Le considérant (146), en lien avec l’article 82 RGPD, impose au responsable du traitement ou au sous‑traitant de réparer tout dommage subi par une personne du fait d’un traitement réalisé en violation du règlement, y compris des actes délégués/d’exécution et du droit national adopté dans le cadre du RGPD.
(33) La notion de dommage doit être interprétée au sens large, conformément à la jurisprudence de la CJUE. Les personnes concernées doivent recevoir une réparation complète et effective.
(34) En cas de coparticipation à un même traitement, chaque responsable ou sous‑traitant est en principe solidairement responsable de la totalité du dommage. Une répartition interne est possible selon la part de responsabilité, à condition que la victime soit intégralement indemnisée. Celui qui a indemnisé peut exercer un recours contre les autres (considérant (146)).
(35) Le considérant (147) souligne que lorsque le RGPD prévoit des règles de compétence spécifiques (notamment pour les recours et réparations), les règles générales de compétence, telles que celles du règlement (UE) n° 1215/2012 («Bruxelles I bis»), s’appliquent sans préjudice de ces dispositions spécifiques.
(36) Les considérants (148) à (152), associés aux articles 83 et 84 RGPD, définissent le régime de sanctions et d’amendes administratives destiné à renforcer l’effectivité du règlement.
(37) Le considérant (148) prévoit l’infliction de sanctions, y compris des amendes administratives, pour toute violation du RGPD, en complément ou à la place d’autres mesures correctrices. En cas de violation mineure ou lorsque l’amende serait une charge disproportionnée pour une personne physique, un rappel à l’ordre peut remplacer l’amende.
(38) Pour déterminer la sanction, les autorités tiennent compte, notamment, de la nature, de la gravité et de la durée de la violation, de son caractère intentionnel ou non, des mesures d’atténuation du dommage, du degré de responsabilité, d’éventuelles violations antérieures, de la manière dont l’autorité a eu connaissance des faits, du respect des mesures ordonnées, de l’adhésion à un code de conduite, ainsi que de tout élément aggravant ou atténuant (considérant (148)).
(39) Les sanctions doivent respecter les garanties procédurales du droit de l’Union et de la Charte: droit à une protection juridictionnelle effective, procédure régulière, et principe ne bis in idem en cas d’articulation avec d’éventuelles sanctions pénales nationales (considérants (148) et (149)).
(40) Le considérant (150) harmonise les amendes administratives au niveau de l’Union: l’autorité de contrôle doit fixer le montant, dans chaque cas d’espèce, en tenant compte de toutes les caractéristiques de la situation, notamment des conséquences de la violation et des mesures prises pour garantir le respect du RGPD et pour prévenir/atténuer les effets.
(41) Quand l’amende vise une entreprise, ce terme renvoie à la notion d’«entreprise» au sens des articles 101 et 102 TFUE. Pour les personnes qui ne sont pas une entreprise, l’autorité prend en considération le niveau général des revenus dans l’État membre et la situation économique de la personne (considérant (150)).
(42) Les États membres restent libres de décider si et dans quelle mesure leurs autorités publiques peuvent être soumises à des amendes administratives. L’application d’une amende ou d’un avertissement ne fait pas obstacle à d’autres pouvoirs des autorités de contrôle ni à d’autres sanctions (considérant (150)).
(43) Le considérant (151) traite des systèmes juridiques du Danemark et de l’Estonie, qui ne permettent pas d’imposer des amendes administratives au sens strict: celles‑ci sont converties, respectivement, en sanctions pénales prononcées par les juridictions ou en amendes dans le cadre d’une procédure de délit imposées par l’autorité de contrôle, sous réserve d’un effet équivalent aux amendes administratives prévues par le RGPD.
(44) Lorsque le RGPD ne prévoit pas d’harmonisation complète des sanctions ou en cas de violation grave, les États membres doivent mettre en place des sanctions effectives, proportionnées et dissuasives, pénales ou administratives, selon leur droit national (considérant (152)).
(45) Le considérant (153) impose aux États membres de concilier le droit à la protection des données avec la liberté d’expression et d’information (article 11 de la Charte), en prévoyant des dérogations ou exemptions pour les traitements à des fins journalistiques, universitaires, artistiques ou littéraires.
(46) Ces dérogations peuvent concerner les principes généraux, les droits des personnes, les obligations du responsable du traitement et du sous‑traitant, les transferts internationaux, la coopération et la cohérence, ainsi que des situations particulières de traitement. Les notions liées à la liberté d’expression, notamment le journalisme, doivent être interprétées largement.
(47) Le considérant (154) précise que le RGPD permet de prendre en compte le principe d’accès du public aux documents officiels. Les données personnelles contenues dans ces documents peuvent être rendues publiques si la loi de l’Union ou la loi nationale le prévoit, en conciliant l’accès du public et la réutilisation des informations du secteur public avec le droit à la protection des données.
(48) Le considérant (155) autorise le droit national ou les conventions collectives (y compris «accords d’entreprise») à prévoir des règles spécifiques pour le traitement des données à caractère personnel des employés dans le cadre des relations de travail, notamment en ce qui concerne:
(49) – le recrutement ;
– l’exécution du contrat de travail et le respect des obligations légales ou conventionnelles ;
– la gestion, planification et organisation du travail ;
– l’égalité et la diversité ;
– la santé et la sécurité au travail ;
– l’exercice et la jouissance des droits et avantages liés à l’emploi ;
– la résiliation de la relation de travail.
(50) Les considérants (156) à (163) encadrent les traitements à des fins archivistiques dans l’intérêt public, de recherche scientifique ou historique, ou à fins statistiques, en exigeant des garanties appropriées, notamment le respect du principe de minimisation des données et l’évaluation de la possibilité d’utiliser des données non identifiantes ou pseudonymisées.
(51) Les États membres peuvent prévoir des dérogations limitées aux droits d’information, de rectification, d’effacement, d’oubli, de limitation, de portabilité et d’opposition, sous réserve de conditions spécifiques et d’une protection adéquate des droits des personnes concernées (considérant (156)).
(52) Le considérant (157) illustre l’intérêt de la recherche basée sur des registres (maladies, conditions sociales, etc.), en soulignant qu’elle permet une politique fondée sur la connaissance et l’amélioration de la qualité de vie. Les traitements à des fins de recherche doivent respecter des conditions et garanties appropriées définies par le droit de l’Union ou le droit national.
(53) Les considérants (158) à (160) confirment l’application du RGPD aux données traitées à des fins archivistiques, de recherche scientifique (au sens large, incluant le développement technologique et les recherches financées par le secteur privé) et de recherche historique ou généalogique, même si les personnes décédées ne sont pas couvertes.
(54) Le considérant (161) renvoie, pour le consentement aux activités de recherche scientifique dans le cadre des essais cliniques, au règlement (UE) n° 536/2014.
(55) Le considérant (162) précise la notion de fins statistiques: opérations de collecte et de traitement nécessaires pour des enquêtes statistiques ou la production de résultats statistiques, lesquels ne doivent pas servir à prendre des décisions individuelles. Le droit de l’Union ou le droit national doit organiser le contrôle d’accès aux données et le secret statistique.
(56) Selon le considérant (163), les informations confidentielles recueillies par les autorités statistiques pour les statistiques officielles européennes et nationales sont protégées, notamment par le règlement (CE) n° 223/2009 pour les statistiques européennes couvertes par le secret statistique.
(57) Le considérant (164) permet aux États membres, dans les limites du RGPD, d’adopter des règles spécifiques sur l’obligation de secret professionnel ou d’autres obligations de secret équivalentes, en lien avec les pouvoirs d’accès des autorités de contrôle aux données et aux locaux. L’objectif est de concilier la protection des données et le secret professionnel, tout en respectant les obligations imposées par le droit de l’Union.
(58) Le considérant (165) confirme que le RGPD respecte et ne porte pas préjudice au statut constitutionnel des églises et des communautés religieuses dans les États membres, tel que reconnu à l’article 17 TFUE.
(59) Les considérants (166) à (169) détaillent les compétences de la Commission européenne pour adopter des actes délégués (article 290 TFUE) et des actes d’exécution (règlement (UE) n° 182/2011) afin d’assurer l’application uniforme du RGPD.
(60) Les actes délégués concernent notamment les critères et exigences des mécanismes de certification et les icônes normalisées pour l’information (considérant (166)). Les actes d’exécution visent, entre autres, les clauses contractuelles types, les codes de conduite, les normes techniques, l’adéquation des pays tiers et les formats d’échange d’informations entre responsables, sous‑traitants et autorités (considérant (168)).
(61) Le considérant (169) prévoit que la Commission peut adopter des actes d’exécution immédiatement applicables lorsqu’il est démontré qu’un pays tiers ou une organisation internationale n’offre pas un niveau de protection adéquat et que des raisons d’urgence impérieuses l’exigent.
(62) Le considérant (170) rappelle l’objectif d’harmonisation du RGPD: assurer un niveau équivalent de protection des personnes physiques et garantir le libre flux des données dans l’Union. Cet objectif ne pouvant être atteint de manière suffisante par les États membres seuls, il justifie une action au niveau de l’Union.
(63) L’ensemble du dispositif de contrôles, recours et sanctions – autorités de contrôle, mécanisme de guichet unique, comité européen, pouvoirs d’enquête et de sanction, recours individuels et collectifs, responsabilité et réparation, sanctions administratives et pénales – traduit cette volonté de concilier la protection effective des droits des personnes concernées avec la sécurité juridique et la cohérence dans tout le marché intérieur.
(64) Texte intégral du règlement et des considérants sur le site de la CNIL :
Le règlement général sur la protection des données – RGPD (CNIL)
🇫🇷 Point juridique LegalPlanet.pro — Date de dernière mise à jour : 10 mars 2026.
Approfondir ce sujet :