Recevabilité du recours contre une décision contraignante du Comité européen de la protection des données

La Cour distingue le caractère attaquable de l’acte, au sens de l’article 263, premier alinéa, TFUE, et la condition tenant à l’intérêt direct du requérant, prévue au quatrième alinéa. Une décision contraignante adoptée par le Comité sur le fondement de l’article 65 du RGPD constitue un acte attaquable lorsqu’elle fixe définitivement la position de cet organe sur les questions dont il est saisi et produit des effets juridiques obligatoires à l’égard des autorités de contrôle, tiers par rapport au Comité.

L’absence d’opposabilité directe au responsable du traitement et le caractère non ultime de la décision dans la procédure nationale ne suffisent pas à exclure sa contestabilité. La condition d’être directement concerné exige cumulativement une modification directe de la situation juridique du requérant et l’absence de pouvoir d’appréciation du destinataire chargé de la mise en œuvre. Ces critères étaient remplis dès lors que la décision imposait aux autorités de contrôle de retenir certaines violations du RGPD, une qualification des données et une augmentation des amendes envisagées.

Le délai de recours court principalement à compter de la publication ou de la notification, la prise de connaissance n’étant qu’un critère subsidiaire au sens de l’article 263, sixième alinéa, TFUE. Une publication sur le site Internet du Comité suffit lorsqu’elle est prévue par l’article 65, paragraphe 5, du RGPD. La Cour a donc annulé l’ordonnance d’irrecevabilité, déclaré le recours recevable et renvoyé l’affaire devant le Tribunal pour examen au fond.

⬇️Télécharger la décision officielle (EurLex)

Une décision contraignante du Comité européen de la protection des données constitue un acte attaquable lorsqu’elle fixe définitivement sa position et produit des effets juridiques obligatoires à l’égard des autorités de contrôle. Le requérant est directement concerné si sa situation juridique est modifiée et si les destinataires ne disposent d’aucun pouvoir d’appréciation. Le délai de recours court principalement à compter de la publication ou de la notification.

Des utilisateurs et des non-utilisateurs d’une messagerie ont saisi des autorités de contrôle au sujet du traitement de leurs données personnelles et de l’information relative à leur éventuel partage. L’autorité irlandaise, chef de file, a ouvert une enquête transfrontalière et soumis un projet de décision aux autorités concernées.

Après plusieurs objections, le Comité européen de la protection des données a adopté une décision contraignante sur le fondement de l’article 65 du RGPD. Il a retenu certains manquements, précisé la qualification de données personnelles, encadré les mesures correctrices et demandé une augmentation des amendes. L’autorité irlandaise a ensuite adopté une décision finale.

Le responsable du traitement a contesté cette décision nationale devant le juge irlandais et la décision du Comité devant le Tribunal de l’Union. Le Tribunal a déclaré ce dernier recours irrecevable. La Cour de justice a annulé cette ordonnance, reconnu la recevabilité du recours et renvoyé l’affaire pour examen au fond.

• Acte émanant d’un organe de l’Union
• Effets juridiques obligatoires à l’égard de tiers
• Position définitive sur les questions soumises au Comité
• Modification directe de la situation juridique du requérant
• Absence de pouvoir d’appréciation des autorités chargées de l’exécution
• Concernement individuel du responsable du traitement

• Texte de l’article 65, paragraphes 1 et 2, du RGPD
• Caractère contraignant de la décision pour les autorités de contrôle
• Décision finale nationale fondée sur la décision du Comité
• Énumération des questions définitivement tranchées par le Comité
• Publication de la décision sur le site Internet du Comité

Le responsable du traitement peut contester directement devant le juge de l’Union la décision contraignante du Comité lorsqu’elle modifie sa situation juridique et lie les autorités nationales. Le recours national contre la décision finale demeure possible, ce qui peut entraîner des procédures parallèles nécessitant une coordination juridictionnelle.

• Former le recours en annulation dans les deux mois suivant la publication
• Contester séparément la décision finale devant le juge national compétent
• Identifier les appréciations du Comité qui lient l’autorité nationale
• Documenter la modification juridique résultant des obligations d’information
• Surveiller les effets de la décision sur les sanctions et mesures correctrices

À faire

• Vérifier la date de publication sur le site du Comité
• Calculer le délai de deux mois prévu par l’article 263 TFUE
• Identifier les points définitivement tranchés par le Comité
• Établir la modification directe de la situation juridique
• Coordonner les recours européen et national

À éviter

• Confondre acte attaquable et intérêt direct
• Attendre la décision nationale finale pour agir systématiquement
• Invoquer uniquement l’absence d’opposabilité directe
• Négliger la publication sur le site du Comité
• Contester devant le Tribunal les éléments non tranchés par le Comité

Le caractère attaquable d’une décision contraignante du Comité

La décision adoptée sur le fondement de l’article 65 du RGPD est un acte d’un organe de l’Union produisant des effets juridiques obligatoires à l’égard des autorités de contrôle, qui sont des tiers par rapport au Comité. Elle fixe définitivement la position du Comité sur les questions soumises et constitue donc un acte attaquable au titre de l’article 263, premier alinéa, TFUE, même si une décision nationale intervient ultérieurement.

La distinction entre acte attaquable et intérêt direct

Le caractère attaquable de l’acte s’apprécie objectivement, selon sa substance et ses effets, sans examiner à ce stade l’incidence sur le requérant. Le Tribunal avait confondu cette question avec la condition d’être directement concerné prévue à l’article 263, quatrième alinéa, TFUE.

Les conditions de l’intérêt direct du responsable du traitement

L’intérêt direct suppose cumulativement une modification directe de la situation juridique du requérant et l’absence de pouvoir d’appréciation du destinataire chargé de la mise en œuvre. Ces conditions étaient réunies : la décision imposait aux autorités de contrôle des appréciations déterminées sur les violations, la qualification des données et l’augmentation des amendes, sans leur permettre de s’en écarter.

Article 263 TFUE, Article 267 TFUE, Article 61 du statut de la Cour de justice de l’Union européenne, Article 5 du RGPD, Article 6 du RGPD, Article 12 du RGPD, Article 13 du RGPD, Article 14 du RGPD, Article 55 du RGPD, Article 56 du RGPD, Article 57 du RGPD, Article 58 du RGPD, Article 60 du RGPD, Article 63 du RGPD, Article 65 du RGPD, Article 68 du RGPD, Article 70 du RGPD, Article 78 du RGPD, Article 83 du RGPD

⬇️Télécharger (pdf)