Règlement (UE) 2025/2518 du Parlement européen et du Conseil du 26 novembre 2025 établissant des règles de procédure supplémentaires relatives à l’application du règlement (UE) 2016/679 (Texte présentant de l’intérêt pour l’EEE)

Journal officiel
de l'Union européenne

FR

Série L

2025/2518

12.12.2025

RÈGLEMENT (UE) 2025/2518 DU PARLEMENT EUROPÉEN ET DU CONSEIL

du 26 novembre 2025

établissant des règles de procédure supplémentaires relatives à l’application du règlement (UE) 2016/679

(Texte présentant de l’intérêt pour l’EEE)

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la proposition de la Commission européenne,

après transmission du projet d’acte législatif aux parlements nationaux,

vu l’avis du Comité économique et social européen (1),

après consultation du Comité des régions,

statuant conformément à la procédure législative ordinaire (2),

considérant ce qui suit:

(1)

Le règlement (UE) 2016/679 du Parlement européen et du Conseil (3) établit un système de mise en œuvre décentralisée qui vise à garantir l’interprétation et l’application cohérentes dudit règlement dans les situations qui concernent un traitement transfrontalier. Dans de telles situations, le système de mise en œuvre décentralisé nécessite une coopération entre les autorités de contrôle afin de parvenir à un consensus. Lorsque les autorités de contrôle ne parviennent pas à un consensus, le règlement (UE) 2016/679 prévoit le règlement des litiges par le comité européen de la protection des données (ci-après dénommé «comité»).

(2)

Afin de permettre un fonctionnement harmonieux et efficace des mécanismes de coopération et de règlement des litiges respectivement prévus aux articles 60 et 65 du règlement (UE) 2016/679, il y a lieu d’établir des règles concernant la conduite de la procédure par les autorités de contrôle dans les situations qui concernent un traitement transfrontalier, et par le comité lors du règlement des litiges, notamment le traitement des réclamations. Pour cette raison, il y a également lieu d’établir des règles concernant l’exercice du droit d’être entendu avant l’adoption de décisions par les autorités de contrôle et, selon le cas, par le comité.

(3)

En l’absence de règles de l’Union en la matière, il appartient à chaque État membre, en vertu du principe d’autonomie procédurale des États membres, de régler les aspects procéduraux des recours administratifs et juridictionnels destinés à assurer un niveau élevé de sauvegarde des droits que les justiciables tirent du droit de l’Union. Le droit procédural de chaque État membre devrait donc s’appliquer aux autorités de contrôle dans la mesure où le présent règlement n’harmonise pas une question donnée et tant que les règles de procédure nationales ne font pas obstacle aux principes d’effectivité et d’équivalence du droit de l’Union.

(4)

Le présent règlement vise à garantir que les enquêtes dans les situations qui concernent un traitement transfrontalier soient menées conformément au principe de bonne administration, en particulier qu’elles soient menées de manière impartiale, équitable et dans un délai raisonnable. Le présent règlement établit par conséquent certains principes horizontaux relatifs aux procédures d’application du règlement (UE) 2016/679 dans de tels cas.

(5)

Les réclamations sont une source d’information essentielle pour déceler les violations des règles de protection des données. Les informations fournies par l’auteur d’une réclamation dans le cadre de la réclamation déposée ou lorsqu’il fait connaître son point de vue peuvent inclure des arguments et des éléments de preuve susceptibles de contribuer à faire avancer l’enquête. Il est nécessaire d’établir des procédures claires et efficientes pour le traitement des réclamations dans les situations qui concernent un traitement transfrontalier, car il est possible qu’une réclamation soit traitée par une autorité de contrôle différente de celle auprès de laquelle elle a été introduite.

(6)

Une réclamation devrait s’entendre comme une demande introduite par une personne concernée auprès d’une autorité de contrôle conformément à l’article 77, paragraphe 1, ou à l’article 80 du règlement (UE) 2016/679. Le simple signalement de violations alléguées qui ne concernent pas le traitement de données à caractère personnel relatives à la personne concernée, les demandes de conseil de responsables du traitement ou de sous-traitants ou les demandes générales concernant l’application du règlement (UE) 2016/679, émanant de responsables du traitement, de sous-traitants ou de personnes physiques ne sont pas considérés comme une réclamation.

(7)

Pour qu’une réclamation concernant un traitement transfrontalier soit recevable, elle devrait contenir des informations précises. Aucune information autre que celles visées dans le présent règlement ne devrait être exigée pour qu’une telle réclamation soit recevable. Les modalités et exigences administratives relatives à la recevabilité des réclamations prévues par le droit national de l’autorité de contrôle auprès de laquelle une réclamation a été introduite, telles que la langue, le délai de prescription, les moyens d’identification, le formulaire électronique, le modèle spécifique ou la signature, continuent de s’appliquer.

(8)

Les coordonnées de la personne qui introduit la réclamation pourraient comprendre une adresse postale, le lieu de résidence et, le cas échéant, une adresse électronique. Le fait que l’auteur d’une réclamation soit une personne physique qui n’est pas en mesure d’exercer son droit d’introduire une réclamation sans l’assistance d’un représentant légal, par exemple parce qu’il est un enfant ou parce qu’il présente un handicap ou une vulnérabilité, et, par conséquent, exerce ses droits par l’intermédiaire d’une autre personne, telle qu’un parent, un tuteur légal ou un membre de la famille, pour autant que cette représentation soit autorisée par le droit national, doit être clairement signalé au moment du dépôt de la réclamation.

(9)

Lorsque la réclamation est introduite par un organisme, une organisation ou une association à but non lucratif visé à l’article 80 du règlement (UE) 2016/679, il convient de fournir la preuve que l’organisme, l’organisation ou l’association a été valablement constitué conformément au droit d’un État membre, ainsi que le nom et les coordonnées de cet organisme, cette organisation ou cette association et la preuve que cet organisme, cette organisation ou cette association agit sur la base d’un mandat de la personne concernée. Les modalités et les procédures relatives à cette preuve sont déterminées conformément au droit de l’État membre de l’autorité de contrôle auprès de laquelle la réclamation a été introduite.

(10)

Pour que la réclamation soit recevable, son auteur ne devrait pas être tenu de contacter la partie faisant l’objet de l’enquête avant l’introduction de la réclamation. Lorsqu’une réclamation porte sur l’exercice d’un droit de la personne concernée qui implique que celle-ci soumette une demande auprès du responsable du traitement, cette demande devrait être soumise au responsable du traitement avant l’introduction de la réclamation.

(11)

L’autorité de contrôle auprès de laquelle la réclamation a été introduite devrait déterminer, à titre préliminaire, si la réclamation concerne un traitement transfrontalier, l’autorité de contrôle présumée compétente pour agir en tant qu’autorité de contrôle chef de file conformément à l’article 56, paragraphe 1, du règlement (UE) 2016/679, et si l’article 56, paragraphe 2, dudit règlement s’applique. Lorsque aucune procédure de résolution précoce n’a été engagée, l’autorité de contrôle auprès de laquelle la réclamation a été introduite devrait transmettre les réclamations recevables à l’autorité de contrôle chef de file présumée compétente pour agir en tant qu’autorité de contrôle chef de file et en informer l’auteur de la réclamation. La détermination de la recevabilité de la réclamation, par l’autorité de contrôle auprès de laquelle la réclamation a été introduite, devrait être contraignante pour l’autorité de contrôle chef de file.

(12)

Il est important que les autorités de contrôle facilitent la transmission de toutes les informations requises par l’auteur de la réclamation, par exemple en fournissant des modèles ou des formulaires électroniques, en tenant compte des orientations pertinentes du comité. Les autorités de contrôle peuvent faciliter l’introduction de réclamations dans un format électronique facile à utiliser et en tenant compte des besoins des personnes handicapées, tant que les informations requises de la part de l’auteur de la réclamation correspondent aux informations requises prévues. Aucune information supplémentaire ne devrait être requise pour que la réclamation soit jugée recevable.

(13)

Afin de faciliter le traitement d’une réclamation, les autorités de contrôle devraient pouvoir demander des informations supplémentaires à l’auteur de la réclamation. Lorsque certaines des informations nécessaires pour qu’une réclamation soit jugée recevable sont manquantes, l’autorité de contrôle auprès de laquelle la réclamation a été introduite pourrait contacter l’auteur de la réclamation afin d’obtenir, dans la mesure du possible, les informations manquantes. Lorsqu’une réclamation est irrecevable, l’autorité de contrôle devrait la déclarer irrecevable et informer l’auteur de la réclamation des informations manquantes dans le délai prévu par le présent règlement, afin de lui permettre d’introduire une réclamation recevable.

(14)

Lorsque, après avoir reçu d’une autorité de contrôle une réclamation recevable concernant un traitement transfrontalier, l’autorité de contrôle chef de file demande des informations supplémentaires à l’auteur de la réclamation afin de permettre l’examen complet de la réclamation, l’autorité de contrôle auprès de laquelle la réclamation a été introduite devrait aider l’autorité de contrôle chef de file, y compris en contactant l’auteur de la réclamation pour obtenir les informations requises si nécessaire.

(15)

Lorsque l’autorité de contrôle chef de file ouvre une enquête sur la base d’une réclamation, les parties faisant l’objet de l’enquête devraient être informées sans délai de l’introduction de cette réclamation et de ses principaux éléments. La communication de ces informations par l’autorité de contrôle chef de file pourrait toutefois être reportée aussi longtemps que nécessaire pour protéger l’intégrité de l’enquête et permettre la conduite efficace des mesures d’enquête.

(16)

Pour garantir le bon fonctionnement des mécanismes de coopération et de contrôle de la cohérence établis au chapitre VII du règlement (UE) 2016/679, il importe que les situations qui concernent un traitement transfrontalier soient traitées en temps utile et dans l’esprit de coopération loyale et efficace qui sous-tend l’article 60 dudit règlement. L’autorité de contrôle chef de file devrait exercer ses compétences dans le cadre d’une coopération étroite avec les autres autorités de contrôle concernées. De même, les autorités de contrôle concernées devraient participer activement à une enquête à un stade précoce en s’efforçant de parvenir à un consensus, en faisant pleinement usage des outils mis à disposition par le règlement (UE) 2016/679. Il est important que la coopération entre les autorités de contrôle soit basée sur un dialogue ouvert permettant aux autorités de contrôle concernées d’influencer de manière utile le cours de l’enquête en partageant leurs expériences et leurs avis avec l’autorité de contrôle chef de file, en tenant dûment compte de la marge de manœuvre laissée à chaque autorité de contrôle. Les autorités de contrôle devraient conduire les procédures de manière rapide et efficace et devraient coopérer entre elles de manière sincère et effective, y compris en se soutenant si nécessaire et en répondant sans délai aux demandes.

(17)

Les autorités de contrôle devraient statuer sur les réclamations dans un délai raisonnable. C’est pour cette raison que le présent règlement fixe des délais. Le caractère raisonnable d’un délai s’apprécie en fonction des circonstances propres à chaque situation et, en particulier, du contexte de celle-ci, des différentes étapes procédurales que l’autorité de contrôle chef de file doit suivre, du comportement des parties faisant l’objet de l’enquête et de l’auteur de la réclamation au cours de la procédure, et de la complexité de la situation. Afin de protéger efficacement les libertés et droits fondamentaux des personnes concernées en ce qui concerne le traitement des données à caractère personnel, il importe que les réclamations soient traitées de manière rapide et efficace. En fonction des circonstances propres au cas considéré, le délai de traitement d’une réclamation pourrait être inférieur au délai prévu par le présent règlement. Une coopération efficace entre l’autorité de contrôle chef de file et les autres autorités de contrôle concernées peut également avoir une incidence positive sur le traitement rapide des cas.

(18)

L’auteur d’une réclamation devrait avoir la possibilité de communiquer exclusivement avec l’autorité de contrôle auprès de laquelle sa réclamation a été introduite. Cette possibilité n’empêche pas l’auteur de la réclamation de communiquer directement avec une autre autorité de contrôle, y compris l’autorité de contrôle chef de file.

(19)

Il est important de tenir compte des données à caractère personnel traitées et de la situation de la personne concernée, par exemple lorsqu’une réclamation concerne le traitement de données à caractère personnel relatives à des enfants.

(20)

L’autorité de contrôle chef de file devrait communiquer à l’autorité de contrôle auprès de laquelle la réclamation a été introduite les informations sur l’état d’avancement de l’enquête nécessaires pour tenir l’auteur de la réclamation informé.

(21)

Pour que les autorités de contrôle puissent rapidement mettre fin aux violations du règlement (UE) 2016/679 et apporter une réponse aux auteurs de réclamation, elles devraient s’efforcer, lorsqu’il y a lieu, de trouver une issue aux réclamations par le biais d’une procédure de résolution précoce conformément au présent règlement. À cette fin, l’autorité de contrôle devrait établir s’il a été mis fin à la violation alléguée dans la réclamation d’une manière qui la rend sans objet. Les États membres ne sont pas tenus d’introduire de nouvelles procédures au titre de leur droit national pour permettre à leurs autorités de contrôle de trouver une issue à une réclamation par le biais d’une procédure de résolution précoce.

(22)

Une réclamation ne devrait être résolue par le biais d’une procédure de résolution précoce que lorsque l’auteur de la réclamation n’a pas présenté d’objection en temps utile à la constatation qu’il a été mis fin à la violation alléguée et que la réclamation est donc sans objet. La résolution précoce d’une réclamation devrait donc s’appliquer aux cas où l’auteur de la réclamation est dûment en mesure d’évaluer l’issue proposée.

(23)

La résolution précoce d’une réclamation peut être particulièrement utile pour trouver une issue rapide à des réclamations qui concernent des violations des droits de la personne concernée en vertu du chapitre III du règlement (UE) 2016/679, à la satisfaction de l’auteur de la réclamation. Cette résolution précoce devrait permettre à l’autorité de contrôle auprès de laquelle la réclamation a été introduite ou à l’autorité de contrôle chef de file d’établir, sur la base d’un dialogue préliminaire avec le responsable du traitement et pour autant que des éléments de preuve aient été obtenus, que la réclamation est sans objet.

(24)

La résolution précoce d’une réclamation par le biais d’une procédure de résolution précoce devrait être sans préjudice de l’exercice par l’autorité de contrôle chef de file de ses pouvoirs conformément au règlement (UE) 2016/679 sur le même sujet, par exemple en cas de violations systémiques ou répétées dudit règlement.

(25)

Lorsque l’autorité de contrôle chef de file auprès de laquelle la réclamation a été transmise estime qu’une réclamation peut être résolue par le biais d’une procédure de résolution précoce, un projet de décision au titre de l’article 60, paragraphe 3, du règlement (UE) 2016/679 devrait être soumis aux autres autorités de contrôle concernées, en vue d’adopter une décision finale conformément à l’article 60, paragraphe 7, du règlement (UE) 2016/679 établissant qu’il a été mis fin à la violation alléguée et que la réclamation, ou une partie de la réclamation, a été résolue par l’autorité de contrôle chef de file. Le projet de décision soumis pourrait donc être simplifié et se résumer à informer que la réclamation a été résolue, en tout ou en partie, par le biais d’une procédure de résolution précoce, en indiquant les motifs de la décision et la portée de la résolution et en confirmant que la réclamation est donc devenue sans objet. Dans de tels cas, l’autorité de contrôle chef de file devrait directement soumettre son projet de décision aux autres autorités de contrôle concernées, sans avoir à rédiger et à diffuser un résumé des points essentiels ou des conclusions préliminaires.

(26)

Lorsque l’autorité de contrôle chef de file s’est forgé un avis préliminaire sur les principales questions soulevées dans le cadre d’une enquête, l’autorité de contrôle chef de file devrait avoir la possibilité de coopérer avec les autres autorités de contrôle concernées par le biais d’une procédure de coopération simple. La procédure de coopération simple devrait être appliquée au cas par cas, à condition que l’autorité de contrôle chef de file considère qu’il n’existe aucun doute raisonnable quant au champ de l’enquête et que les questions de droit et de fait recensées ne nécessitent pas une coopération supplémentaire qui serait nécessaire aux fins d’une enquête complexe, notamment lorsque ces questions peuvent être traitées sur la base des caractéristiques de l’affaire et de décisions antérieures prises dans des affaires similaires. En outre, il importe que la jurisprudence existante et les lignes directrices adoptées par le comité sur les violations présumées du règlement (UE) 2016/679 devant faire l’objet d’une enquête soient également prises en compte par l’autorité de contrôle chef de file lorsqu’elle considère qu’un consensus sur les principaux éléments d’une affaire est susceptible d’être établi. En principe, la procédure de coopération simple ne s’applique pas lorsque l’affaire soulève des problèmes systémiques ou récurrents dans plusieurs États membres, concerne une question juridique générale relative à l’interprétation, à l’application ou au respect du règlement (UE) 2016/679, se situe à l’intersection de la protection des données avec d’autres domaines juridiques, touche un grand nombre de personnes concernées dans plusieurs États membres, ou est liée à un grand nombre de réclamations dans plusieurs États membres ou est susceptible de présenter un risque élevé pour les droits et libertés des personnes concernées.

(27)

Lorsque l’autorité de contrôle chef de file a l’intention d’appliquer la procédure de coopération simple, elle devrait informer les autres autorités de contrôle concernées de son intention et fournir toutes les informations pertinentes concernant les caractéristiques de l’affaire et de la réclamation, y compris les principaux faits pertinents et l’infraction présumée devant faire l’objet d’une enquête. Lorsque la procédure de coopération simple est appliquée, l’autorité de contrôle chef de file devrait continuer à coopérer avec les autorités de contrôle concernées et soumettre un projet de décision dans les délais prévus dans le présent règlement.

(28)

Lorsqu’une autorité de contrôle est tenue de prendre certaines mesures procédurales dans des délais déterminés, ces délais ont pour objet de garantir que la procédure progresse et se conclue dans un délai raisonnable. Ces délais n’empêchent pas les autorités de contrôle de prendre les mesures procédurales requises après leur expiration. Il est donc nécessaire de veiller à ce que l’adoption de telles mesures procédurales après l’expiration des délais correspondants ne puisse être considérée comme un motif d’illégalité ou d’invalidité de l’acte de procédure en cause ou de la décision finale.

(29)

L’autorité de contrôle chef de file devrait pouvoir prolonger le délai de présentation d’un projet de décision. De telles prolongations ne devraient s’appliquer qu’à titre exceptionnel, en raison de la complexité d’une affaire. Les autres autorités de contrôle concernées devraient être informées et avoir la possibilité de formuler des objections à la prolongation, ce dont l’autorité de contrôle chef de file devrait tenir compte lorsqu’elle détermine s’il y a lieu de prolonger le délai et, le cas échéant, la durée de ladite prolongation.

(30)

Lorsque l’autorité de contrôle chef de file prolonge le délai de présentation d’un projet de décision, les autres autorités de contrôle concernées devraient pouvoir informer l’autorité de contrôle chef de file qu’elles jugent nécessaire d’intervenir pour protéger les droits et libertés des personnes concernées. Lorsque l’autorité de contrôle chef de file a été informée d’une telle appréciation et ne présente pas de projet de décision à l’expiration du délai prolongé, les conditions permettant de considérer qu’il est urgent d’intervenir, conformément à l’article 66, paragraphe 1, du règlement (UE) 2016/679, sont réputées réunies. Nonobstant cette possibilité, la procédure d’urgence reste à la disposition des autorités de contrôle, sous réserve des conditions énoncées à l’article 66 du règlement (UE) 2016/679.

(31)

Afin de garantir que la procédure se déroule de manière efficace, sans préjudice de l’autonomie procédurale des États membres, il est préférable que les recours contre les mesures procédurales prises par les autorités de contrôle ne soient possibles qu’en combinaison avec un recours contre une décision finale, à moins que la mesure procédurale en elle-même ne porte atteinte de manière irréversible aux droits de la partie faisant l’objet de l’enquête ou de l’auteur de la réclamation, quelle que soit la décision finale.

(32)

Il est particulièrement important pour les autorités de contrôle de parvenir à un consensus sur les principaux aspects de l’affaire aussi rapidement que possible et avant l’adoption du projet de décision visé à l’article 60 du règlement (UE) 2016/679.

(33)

L’échange d’informations pertinentes entre l’autorité de contrôle chef de file et les autres autorités de contrôle concernées est un élément important à l’appui de l’esprit de coopération loyale et effective. Cet échange d’informations pertinentes et la fourniture en temps utile d’informations spécifiques par l’autorité de contrôle chef de file constituent un processus continu tout au long d’une enquête et les documents et détails requis peuvent varier en fonction de la complexité de l’affaire. En fonction du stade de l’enquête et des circonstances propres au cas considéré, les informations pertinentes pourraient comprendre, entre autres, l’échange de correspondance avec le responsable du traitement ou la personne concernée au sujet d’une réclamation ou d’une enquête, les documents préparatoires à un audit ou à une inspection, ou une évaluation technique ou juridique préliminaire par l’autorité de contrôle chef de file à la suite d’une étape spécifique de son enquête.

(34)

S’il y a lieu que l’autorité de contrôle chef de file communique toute information pertinente aux autres autorités de contrôle concernées aussitôt que l’information est disponible, les autres autorités de contrôle concernées devraient également mettre à disposition de manière proactive toute information pertinente jugée utile pour évaluer les éléments juridiques et factuels d’une situation. L’échange d’informations pertinentes devrait favoriser une coopération rapide et efficace entre les autorités de contrôle et peut, dans certains cas, être étayé par des résumés, des extraits ou des copies de documents afin de faciliter la compréhension rapide d’une situation, tout en permettant la fourniture d’informations complémentaires lorsque d’autres éléments s’avèrent nécessaires. Afin de faciliter l’échange efficace et adéquat d’informations pertinentes entre les autorités de contrôle, le comité devrait être en mesure de préciser les modalités et les exigences relatives à l’échange de ces informations.

(35)

Dans le cadre des informations pertinentes concernant un cas précis, l’autorité de contrôle chef de file devrait fournir aux autres autorités de contrôle concernées un résumé des points essentiels dans lequel elle expose son avis préliminaire sur les principales questions soulevées dans l’enquête. Ce résumé devrait être fourni à un stade à la fois suffisamment précoce pour que les avis présentés par les autres autorités de contrôle concernées puissent être effectivement pris en compte et suffisamment avancé pour que l’autorité de contrôle chef de file dispose d’éléments suffisants pour se faire un avis sur le cas, si nécessaire en recourant à une analyse préliminaire et à de premières mesures d’enquête éventuelles. Le résumé des points essentiels devrait également inclure, le cas échéant, l’identification préliminaire d’éventuelles mesures correctrices lorsque l’autorité de contrôle chef de file dispose d’éléments suffisants pour se faire un avis à titre préliminaire sur lesdites mesures, en particulier lorsque les dispositions du règlement (UE) 2016/679 concernées par la violation alléguée peuvent être facilement identifiées à un stade précoce.

(36)

Les autorités de contrôle concernées devraient avoir la possibilité de formuler leurs observations sur le résumé des points essentiels, y compris sur un large éventail de questions, tels que le champ de l’enquête, l’identification des violations alléguées et l’identification des éléments factuels et juridiques qui sont pertinents pour l’enquête. Le champ de l’enquête déterminant les questions qui doivent être examinées par l’autorité de contrôle chef de file, les autorités de contrôle devraient s’efforcer de parvenir le plus tôt possible à un consensus sur celle-ci.

(37)

Dans l’intérêt d’une coordination efficace et inclusive entre l’autorité de contrôle chef de file et les autres autorités de contrôle, il est important que le résumé des points essentiels et les observations des autorités de contrôle concernées soient concis et formulés dans des termes suffisamment clairs et précis pour être facilement compréhensibles par toutes les autorités de contrôle. Les arguments juridiques devraient être structurés en fonction de la partie du résumé des points essentiels qu’ils concernent. Le résumé des points essentiels et les observations des autorités de contrôle concernées peuvent être complétés par des documents supplémentaires. Toutefois, un simple renvoi, dans les observations d’une autorité de contrôle concernée, à des documents supplémentaires ne saurait pallier l’absence des arguments essentiels en droit ou en fait qui doivent figurer dans les observations. Les éléments essentiels de fait et de droit sur lesquels ces documents se fondent doivent ressortir, à tout le moins sommairement, mais d’une manière cohérente et compréhensible, du texte de l’observation elle-même.

(38)

Les autorités de contrôle devraient être en mesure d’utiliser tous les moyens nécessaires pour parvenir à un consensus dans un esprit de coopération loyale et effective. En cas de divergence d’opinions entre l’autorité de contrôle chef de file et les autres autorités de contrôle concernées concernant le champ d’une enquête menée sur la base d’une réclamation, notamment les dispositions du règlement (UE) 2016/679 concernées par la violation alléguée qui doit faire l’objet d’une enquête, ou lorsque les observations des autorités de contrôle concernées ont trait à une modification importante dans l’appréciation juridique ou factuelle complexe, ou à l’identification préliminaire d’éventuelles mesures correctrices, les autorités concernées peuvent utiliser tous les outils prévus aux articles 61 et 62 du règlement (UE) 2016/679.

(39)

Le règlement (UE) 2016/679 permet à l’autorité de contrôle de demander au comité une décision contraignante d’urgence lorsqu’une autorité de contrôle compétente n’a pas pris de mesure appropriée dans une situation où il est urgent d’intervenir afin de protéger les droits et libertés des personnes concernées. En vertu du présent règlement, lorsque, à la suite de l’utilisation des moyens prévus dans le présent règlement, les autorités de contrôle ne parviennent pas à un consensus sur le champ d’une enquête menée sur la base d’une réclamation, les conditions visées à l’article 66, paragraphe 3, du règlement (UE) 2016/679 pour demander une décision contraignante d’urgence devraient être présumées remplies et l’autorité de contrôle chef de file devrait demander au comité une décision contraignante d’urgence. La décision contraignante d’urgence adoptée par le comité sur le champ d’une enquête menée sur la base d’une réclamation ne saurait préjuger le résultat de l’enquête de l’autorité de contrôle chef de file ni de l’effectivité des droits des parties faisant l’objet de l’enquête d’être entendues.

(40)

Des droits procéduraux devraient être conférés à l’auteur de la réclamation dans la mesure où ses droits et libertés en tant que personne concernée sont en jeu. Les étapes de la procédure prévues par le présent règlement relatives à la coopération entre les autorités de contrôle ne confèrent pas de droits à l’auteur d’une réclamation ou aux parties faisant l’objet d’une enquête. Par conséquent, le présent règlement précise quelles dispositions relatives aux étapes de la procédure ne confèrent pas de droits aux particuliers ou aux parties faisant l’objet d’une enquête, ou ne limitent pas ces droits.

(41)

L’auteur de la réclamation devrait avoir la possibilité de faire connaître son point de vue avant que ne soit prise une décision qui ne lui est pas favorable. Par conséquent, en cas de rejet ou de refus total ou partiel d’une réclamation dans une situation qui concerne un traitement transfrontalier, l’auteur de la réclamation devrait avoir la possibilité de faire connaître son point de vue avant la présentation d’un projet de décision au titre de l’article 60, paragraphe 3, du règlement (UE) 2016/679, d’un projet de décision révisé au titre de l’article 60, paragraphe 5, dudit règlement ou d’une décision contraignante du comité au titre de l’article 65, paragraphe 1, point a), dudit règlement.

(42)

Il est nécessaire de clarifier la répartition des responsabilités entre l’autorité de contrôle chef de file et l’autorité de contrôle auprès de laquelle la réclamation a été introduite en cas de rejet ou de refus total ou partiel d’une réclamation dans une situation qui concerne un traitement transfrontalier. En tant que point de contact de l’auteur de la réclamation au cours de l’enquête, l’autorité de contrôle auprès de laquelle la réclamation a été introduite devrait donner la possibilité à l’auteur de la réclamation de faire connaître son point de vue sur le rejet ou refus total ou partiel proposé de la réclamation et être chargée de toutes les communications avec l’auteur de la réclamation. Toutes ces communications devraient être transmises à l’autorité de contrôle chef de file. Étant donné que, en vertu de l’article 60, paragraphes 8 et 9, du règlement (UE) 2016/679, l’autorité de contrôle auprès de laquelle la réclamation a été introduite est chargée d’adopter la décision finale rejetant ou refusant totalement ou partiellement la réclamation, l’autorité de contrôle chef de file devrait élaborer le projet de décision en vertu de l’article 60, paragraphe 3, du règlement (UE) 2016/679, en coopération avec l’autorité de contrôle auprès de laquelle la réclamation a été introduite. Cette coopération inclut la possibilité de demander l’assistance de l’autorité de contrôle auprès de laquelle la réclamation a été introduite pour élaborer un tel projet.

(43)

L’application effective des règles de protection des données de l’Union devrait respecter pleinement les droits de la défense des parties faisant l’objet de l’enquête, qui constitue un principe essentiel du droit de l’Union, à respecter en toutes circonstances, et ces droits sont d’une importance particulière dans les procédures qui sont susceptibles de donner lieu à des sanctions.

(44)

Afin de garantir effectivement le droit à une bonne administration et les droits de la défense consacrés par la Charte des droits fondamentaux de l’Union européenne (ci-après dénommée «Charte»), il importe de prévoir des règles claires concernant l’exercice du droit de chacun à être entendu avant que soit prise toute mesure individuelle susceptible de lui porter atteinte.

(45)

Les règles relatives à la procédure administrative appliquées par les autorités de contrôle pour assurer l’exécution du règlement (UE) 2016/679 devraient veiller à ce que les parties faisant l’objet de l’enquête aient effectivement la possibilité de faire connaître leur point de vue sur la réalité et la pertinence des faits et circonstances allégués, et des objections invoqués par l’autorité de contrôle tout au long de la procédure, leur permettant ainsi d’exercer leurs droits de la défense. Les conclusions préliminaires exposent la position préliminaire sur la violation alléguée du règlement (UE) 2016/679 à la suite d’une enquête. Elles constituent de ce fait une garantie procédurale fondamentale, qui permet le respect du droit d’être entendu. Les parties faisant l’objet de l’enquête devraient recevoir les documents nécessaires pour se défendre efficacement et faire part de leurs observations sur les allégations formulées à leur encontre, en ayant accès au dossier administratif.

(46)

Ces règles devraient être sans préjudice de la possibilité pour les autorités de contrôle d’accorder un accès plus large au dossier administratif afin d’entendre le point de vue de toute partie faisant l’objet de l’enquête ou de l’auteur de la réclamation au cours de la procédure, conformément au droit national de l’autorité de contrôle chef de file.

(47)

Les conclusions préliminaires définissent le champ de l’enquête et donc la portée de toute décision finale future, le cas échéant, prise sur la base d’une décision contraignante rendue par le comité en vertu de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679 qui peut être adressée aux responsables du traitement ou aux sous-traitants. Elles devraient, même si elles sont succinctes, être suffisamment claires pour permettre aux parties faisant l’objet de l’enquête d’identifier correctement la nature de la violation alléguée du règlement (UE) 2016/679. L’obligation de fournir aux parties faisant l’objet de l’enquête tous les éléments d’information nécessaires pour leur permettre de se défendre correctement est satisfaite si la décision finale ne fait pas grief aux parties faisant l’objet de l’enquête d’avoir commis des infractions autres que celles mentionnées dans les conclusions préliminaires et ne prend en considération que les faits sur lesquels les parties faisant l’objet de l’enquête ont eu l’occasion de faire connaître leur point de vue. La décision finale de l’autorité de contrôle chef de file ne doit toutefois pas nécessairement être une copie des constatations préliminaires. L’autorité de contrôle chef de file devrait pouvoir tenir compte des réponses des parties faisant l’objet de l’enquête aux conclusions préliminaires dans sa décision finale et, le cas échéant, dans le projet de décision révisé au titre de l’article 60, paragraphe 5, du règlement (UE) 2016/679. L’autorité de contrôle chef de file devrait pouvoir procéder à sa propre appréciation des faits et des arguments juridiques avancés par les parties faisant l’objet de l’enquête, soit pour rejeter les arguments formulés lorsque l’autorité de contrôle chef de file les juge infondés, soit pour compléter et reformuler ses conclusions, tant en fait qu’en droit, à l’appui des arguments qu’elle maintient. Par exemple, la prise en compte d’un argument avancé par une partie faisant l’objet d’une enquête au cours de la procédure administrative, sans qu’elle ait été en mesure de s’exprimer à ce sujet avant l’adoption de la décision finale, ne saurait constituer, en tant que telle, une violation de ses droits de la défense.

(48)

Le présent règlement prévoit des règles pour les situations dans lesquelles l’autorité de contrôle chef de file est tenue, en vertu du droit national, de s’engager plus avant dans des procédures nationales ultérieures relatives à la même affaire, telles qu’une procédure de recours administratif.

(49)

Les parties faisant l’objet de l’enquête devraient avoir le droit d’être entendues avant la présentation d’un projet de décision révisé en vertu de l’article 60, paragraphe 5, du règlement (UE) 2016/679 ou l’adoption d’une décision contraignante par le comité au titre de l’article 65, paragraphe 1, point a), dudit règlement. Les nouveaux éléments de droit incluent des objections pertinentes et motivées lorsque ces objections contiennent des appréciations juridiques différentes de celles proposées par l’autorité de contrôle chef de file dans le projet de décision soumis conformément à l’article 60, paragraphe 4, du règlement (UE) 2016/679.

(50)

L’auteur de la réclamation devrait avoir la possibilité d’être associé à la procédure engagée par une autorité de contrôle en vue de définir ou de clarifier les questions relatives à une violation potentielle du règlement (UE) 2016/679. Le fait qu’une autorité de contrôle ait déjà ouvert une enquête concernant l’objet de la réclamation ou qu’elle traitera celle-ci dans le cadre d’une enquête menée d’office postérieure à la réception de la réclamation ne fait pas obstacle à la qualification d’une personne concernée en tant qu’auteur de la réclamation. Une enquête menée par une autorité de contrôle sur une éventuelle violation du règlement (UE) 2016/679 par un responsable du traitement ou un sous-traitant est une procédure engagée par une autorité de contrôle, de sa propre initiative ou sur la base d’une réclamation, dans l’accomplissement des tâches qui lui incombent en vertu de l’article 57, paragraphe 1, dudit règlement. Les parties faisant l’objet de l’enquête et l’auteur de la réclamation ne se trouvent pas dans la même situation procédurale, et il est essentiel de garantir les droits de la défense de la partie faisant l’objet de l’enquête. Les parties faisant l’objet de l’enquête et l’auteur de la réclamation peuvent invoquer le droit fondamental d’être entendus lorsque la décision porte atteinte à leur situation juridique.

(51)

Les auteurs de réclamations devraient avoir la possibilité de présenter par écrit leur point de vue sur les conclusions préliminaires dans la mesure où ce point de vue se rapporte à leur réclamation concernant le traitement de leurs données à caractère personnel. Cependant, ils ne devraient pas avoir accès à des secrets d’affaires ou d’autres informations confidentielles appartenant aux parties faisant l’objet de l’enquête ou à des tiers.

(52)

Lorsqu’elles fixent des délais dans lesquels les parties faisant l’objet de l’enquête et l’auteur de la réclamation peuvent faire connaître leur point de vue sur les conclusions préliminaires, il est important que les autorités de contrôle tiennent compte de la complexité des questions soulevées dans les conclusions préliminaires, afin de veiller à ce que les parties faisant l’objet de l’enquête et l’auteur de la réclamation aient suffisamment l’occasion de faire connaître utilement leur point de vue sur les questions soulevées.

(53)

L’échange de vues entre autorités de contrôle préalable à la présentation d’un projet de décision implique un dialogue ouvert et un échange de vues approfondi au cours desquels les autorités de contrôle devraient tout mettre en œuvre pour parvenir à un consensus sur la voie à suivre dans le cadre d’une enquête. À l’inverse, le désaccord exprimé dans des objections pertinentes et motivées au titre de l’article 60, paragraphe 4, du règlement (UE) 2016/679, qui augmentent la possibilité de recourir à un règlement de litige entre autorités de contrôle au titre de l’article 65 dudit règlement et retardent l’adoption d’une décision finale par l’autorité de contrôle compétente, devrait uniquement avoir lieu dans le cas où les autorités de contrôle ne parviennent pas à un consensus et, si nécessaire, pour garantir une interprétation cohérente du règlement (UE) 2016/679. Ces objections devraient être utilisées lorsque des questions relatives à une application cohérente du règlement (UE) 2016/679 sont en jeu.

(54)

Dans l’intérêt d’une conclusion efficace et inclusive de la procédure de règlement des litiges, dans le cadre de laquelle toutes les autorités de contrôle devraient être en mesure de faire connaître leur point de vue, et compte tenu des contraintes de temps liées au règlement des litiges, la forme et la structure des objections pertinentes et motivées devraient satisfaire à certaines exigences.

(55)

L’accès au dossier administratif est prévu dans le cadre des droits de la défense et du droit à une bonne administration consacrés par la Charte. Il conviendrait d’accorder l’accès au dossier administratif aux parties faisant l’objet de l’enquête lorsqu’elles sont informées des conclusions préliminaires et de fixer le délai dans lequel elles peuvent soumettre leur réponse écrite aux conclusions préliminaires.

(56)

Lorsqu’elles accordent l’accès au dossier administratif aux parties faisant l’objet de l’enquête et à l’auteur de la réclamation, les autorités de contrôle devraient garantir la protection des secrets d’affaires et d’autres informations confidentielles. La catégorie des «autres informations confidentielles» comprend les informations autres que les secrets d’affaires, qui peuvent être considérées comme confidentielles conformément au droit national et de l’Union, dans la mesure où leur divulgation porterait gravement préjudice à un responsable du traitement, à un sous-traitant ou à une personne physique ou morale. Les informations confidentielles devraient notamment comprendre les informations qui ne sont connues que d’un nombre limité de personnes et dont la divulgation est susceptible de causer un préjudice grave à la personne qui les a fournies ou à des tiers, lorsque les intérêts susceptibles d’être lésés par la divulgation de ces informations sont objectivement dignes de protection. Les autorités de contrôle devraient pouvoir demander aux parties faisant l’objet de l’enquête qui présentent ou ont présenté des documents ou des déclarations d’identifier les informations confidentielles qui y figurent.

(57)

Lorsque la divulgation de secrets d’affaires ou d’autres informations confidentielles est nécessaire pour prouver une violation, les autorités de contrôle devraient apprécier de manière proportionnée, pour chaque document, si la nécessité de le divulguer l’emporte sur le préjudice pouvant résulter d’une telle divulgation.

(58)

L’accès aux documents figurant dans le dossier administratif au titre de l’accès aux documents publics est accordé conformément au droit national des États membres. À cet égard, il est important que l’intégrité du processus décisionnel soit protégée jusqu’à ce que l’autorité de contrôle compétente adopte une décision finale.

(59)

Il est important que le comité facilite l’accès aux décisions adoptées conformément aux mécanismes de coopération et de contrôle de la cohérence, en publiant en ligne, au moyen de registres facilement accessibles, le texte des décisions finales adoptées par les autorités de contrôle nationales. Conformément au droit national en vigueur, les autorités de contrôle peuvent occulter les noms des parties faisant l’objet de l’enquête ou de l’auteur de la réclamation, toute autre information permettant leur identification ou toute autre information protégée par le droit national et de l’Union applicable.

(60)

Il est important que la communication à l’auteur de la réclamation d’une version de la décision finale conformément au présent règlement reste sans préjudice de la faculté d’une autorité de contrôle de décider, en tant que mesure correctrice, de rendre la décision publique ou non.

(61)

Lorsqu’elle transmet une question au mécanisme de règlement des litiges en vertu de l’article 65 du règlement (UE) 2016/679, l’autorité de contrôle chef de file devrait fournir au comité tous les documents et toutes les informations nécessaires pour lui permettre d’apprécier la recevabilité des objections pertinentes et motivées et d’adopter la décision au titre de l’article 65, paragraphe 1, point a), dudit règlement. Une fois que le comité a reçu tous les documents nécessaires, son président devrait enregistrer la transmission de la question conformément à l’article 65, paragraphe 2, du règlement (UE) 2016/679.

(62)

La décision contraignante du comité au titre de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679 devrait porter exclusivement sur les questions qui ont conduit au déclenchement de la procédure de règlement des litiges et être rédigée de manière à permettre à l’autorité de contrôle chef de file d’adopter sa décision finale sur la base de la décision du comité.

(63)

Afin de rationaliser le règlement des litiges entre autorités de contrôle soumis au comité en vertu de l’article 65, paragraphe 1, points b) et c), du règlement (UE) 2016/679, il est nécessaire de préciser les règles de procédure concernant les documents et les informations à soumettre au comité et sur lesquels celui-ci devrait fonder sa décision. Il est également nécessaire de préciser à quel moment le comité devrait enregistrer la transmission de la question au mécanisme de règlement des litiges.

(64)

Afin de rationaliser la procédure d’adoption des avis d’urgence et des décisions contraignantes d’urgence du comité au titre de l’article 66, paragraphe 2, du règlement (UE) 2016/679, il est nécessaire de préciser les règles de procédure concernant le délai de présentation des demandes d’avis d’urgence ou de décision contraignante d’urgence, ainsi que les documents et les informations à soumettre au comité et sur lesquels ce dernier devrait fonder sa décision.

(65)

Le règlement (UE) 2016/679 dispose que la personne concernée a droit à un recours juridictionnel effectif lorsqu’une autorité de contrôle compétente ne traite pas une réclamation. Le présent règlement ne limite pas l’application des recours juridictionnels établis par le règlement (UE) 2016/679 ni ne crée de nouveaux recours juridictionnels par rapport audit règlement. Certaines dispositions du présent règlement revêtent une importance particulière pour que la décision finale prise par les autorités de contrôle à l’issue du traitement d’une réclamation soit transmise en temps utile. Pour déterminer si une autorité de contrôle a traité une réclamation, il convient d’examiner si elle a respecté certains délais fixés dans le présent règlement et dans le règlement (UE) 2016/679. Dans le cadre de cette détermination, il est essentiel de préserver le droit de l’auteur de la réclamation de voir cette dernière traitée dans un délai raisonnable. Les dispositions du présent règlement sont sans préjudice de la possibilité de prévoir des voies de recours dans le droit national pour la partie faisant l’objet de l’enquête, compte tenu de son droit de voir ses affaires traitées dans un délai raisonnable.

(66)

La mise en œuvre du présent règlement nécessite des outils numériques adéquats permettant un échange rapide et sécurisé d’informations. Il est important qu’un outil électronique commun sécurisé et approprié soit mis à la disposition de toutes les autorités de protection des données, compte tenu de l’expérience acquise dans l’utilisation des outils existants. Il est également important que les ressources nécessaires à la mise en place d’un tel outil électronique soient fournies et que cet outil facilite la collecte et la consolidation par le comité de statistiques sur l’application de la législation dans des situations concernant un traitement transfrontalier.

(67)

Les chapitres III et IV du présent règlement concernent la coopération entre les autorités de contrôle, les droits procéduraux des parties faisant l’objet de l’enquête et la participation de l’auteur de la réclamation. Dans un souci de sécurité juridique, ces dispositions ne devraient pas s’appliquer aux enquêtes en cours au moment de l’entrée en vigueur du présent règlement. Elles devraient s’appliquer aux enquêtes menées d’office ouvertes plus de quinze mois après l’entrée en vigueur du présent règlement et aux enquêtes menées sur la base d’une réclamation lorsque cette dernière a été introduite dans un délai de quinze mois à compter de l’entrée en vigueur du présent règlement. Les chapitres V et VI du présent règlement établissent des règles de procédure pour les cas soumis au mécanisme de règlement des litiges en vertu de l’article 65 du règlement (UE) 2016/679 et pour les demandes d’avis d’urgence ou de décision contraignante d’urgence en vertu de l’article 66 du règlement (UE) 2016/679. Pour des raisons de sécurité juridique, ces chapitres ne devraient pas s’appliquer aux cas soumis au mécanisme de règlement des litiges avant l’entrée en vigueur du présent règlement. Ils devraient s’appliquer à tous les cas soumis au mécanisme de règlement des litiges dans un délai de quinze mois à compter de l’entrée en vigueur du présent règlement.

(68)

Le Contrôleur européen de la protection des données et le comité ont été consultés conformément à l’article 42, paragraphes 1 et 2, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (4) et ont rendu un avis conjoint le 19 septembre 2023,

ONT ADOPTÉ LE PRÉSENT RÈGLEMENT:

CHAPITRE I

DISPOSITIONS GÉNÉRALES

Article premier

Objet et champ d’application

Le présent règlement établit des règles de procédure pour le traitement des réclamations et la conduite des enquêtes, tant sur les cas fondés sur des réclamations que sur les cas examinés d’office, menées par les autorités de contrôle dans le cadre de l’application du règlement (UE) 2016/679 lorsque ces situations concernent un traitement transfrontalier. Le traitement des réclamations et la conduite des enquêtes dans les situations qui concernent un traitement transfrontalier incluent le fait de déterminer si une situation concerne un traitement transfrontalier.

Article 2

Définitions

Aux fins du présent règlement, les définitions de l’article 4 du règlement (UE) 2016/679 s’appliquent.

En outre, on entend par:

«partie faisant l’objet de l’enquête»: le responsable du traitement ou le sous-traitant faisant l’objet d’une enquête pour une violation alléguée du règlement (UE) 2016/679 qui concerne un traitement transfrontalier.

Article 3

Principes relatifs à l’application du règlement (UE) 2016/679 dans les situations qui concernent un traitement transfrontalier

1.   Les autorités de contrôle conduisent les procédures qui relèvent du champ d’application du présent règlement de manière rapide et efficace. Elles coopèrent entre elles de manière sincère et efficace, y compris en s’apportant le soutien nécessaire et en répondant sans délai à leurs demandes respectives.

2.   Une autorité de contrôle chef de file peut lier ou séparer des procédures conformément au droit procédural national, pour autant que lier ou séparer ces procédures ne porte pas atteinte aux droits des parties faisant l’objet de l’enquête ou de l’auteur de la réclamation.

3.   L’auteur d’une réclamation a la possibilité de ne communiquer qu’avec l’autorité de contrôle auprès de laquelle il a introduit sa réclamation en vertu de l’article 77 du règlement (UE) 2016/679.

4.   Le traitement d’une réclamation donne toujours lieu à une décision susceptible de recours juridictionnel effectif au sens de l’article 78 du règlement (UE) 2016/679.

5.   Dans un souci d’efficacité des procédures, les autorités de contrôle peuvent limiter la longueur des documents soumis par la partie faisant l’objet de l’enquête et l’auteur de la réclamation, compte tenu de la complexité de l’affaire et des documents déjà soumis.

CHAPITRE II

INTRODUCTION DES RÉCLAMATIONS ET RÉSOLUTION PRÉCOCE

Article 4

Réclamations concernant un traitement transfrontalier

1.   Une réclamation fondée sur le règlement (UE) 2016/679 et qui concerne un traitement transfrontalier est recevable à condition de fournir les informations suivantes:

a)

le nom et les coordonnées de l’auteur de la réclamation;

b)

si la réclamation est introduite par un organisme, une organisation ou une association à but non lucratif visé à l’article 80 du règlement (UE) 2016/679, la preuve que cet organisme, cette organisation ou cette association a été valablement constitué conformément au droit d’un État membre;

c)

si la réclamation est introduite sur la base de l’article 80, paragraphe 1, du règlement (UE) 2016/679, le nom et les coordonnées de l’organisme, de l’organisation ou de l’association à but non lucratif qui introduit la réclamation et la preuve qu’il agit sur la base d’un mandat confié par une personne concernée;

d)

des informations qui facilitent l’identification du responsable du traitement ou du sous-traitant qui fait l’objet de la réclamation;

e)

une description de la violation alléguée du règlement (UE) 2016/679.

Aucune information autre que celles visées au premier alinéa n’est exigée pour qu’une réclamation concernant un traitement transfrontalier soit recevable.

Les modalités administratives et les exigences prévues par le droit procédural national de l’autorité de contrôle auprès de laquelle la réclamation a été introduite continuent de s’appliquer.

2.   Lorsque l’autorité de contrôle auprès de laquelle une réclamation a été introduite détermine que la réclamation ne contient pas les informations visées au paragraphe 1, premier alinéa, elle déclare cette réclamation irrecevable et informe son auteur des motifs du rejet dans un délai de deux semaines à compter de la réception de cette réclamation.

3.   Pour que la réclamation soit recevable, son auteur n’est pas tenu de contacter la partie faisant l’objet de l’enquête avant l’introduction de la réclamation.

Sans préjudice du premier alinéa, lorsqu’une réclamation porte sur l’exercice d’un droit de la personne concernée qui implique que celle-ci soumette une demande auprès du responsable du traitement, cette demande est soumise au responsable du traitement avant que la réclamation ne soit introduite.

4.   L’autorité de contrôle auprès de laquelle la réclamation a été introduite détermine, à titre préliminaire, les éléments suivants:

a)

si la réclamation concerne un traitement transfrontalier;

b)

quelle autorité de contrôle est présumée compétente pour agir en tant qu’autorité de contrôle chef de file au titre de l’article 56, paragraphe 1, du règlement (UE) 2016/679; et

c)

si l’article 56, paragraphe 2, du règlement (UE) 2016/679 s’applique.

5.   Lorsqu’une réclamation concernant un traitement transfrontalier est recevable et en l’absence de résolution précoce au titre de l’article 5, l’autorité de contrôle auprès de laquelle la réclamation a été introduite transmet la réclamation à l’autorité de contrôle qu’elle présume compétente pour agir en tant qu’autorité de contrôle chef de file dans un délai de six semaines à compter de la réception de la réclamation, et elle en informe l’auteur de la réclamation.

L’évaluation de la recevabilité d’une réclamation, effectuée par l’autorité de contrôle auprès de laquelle la réclamation a été introduite, est contraignante pour l’autorité de contrôle chef de file.

6.   Dans un délai de six semaines à compter de la réception d’une réclamation, l’autorité de contrôle présumée compétente pour agir en tant qu’autorité de contrôle chef de file confirme sa compétence ou, lorsqu’il existe des points de vue divergents quant à l’autre autorité de contrôle concernée qui est compétente pour l’établissement principal, saisit le comité européen de la protection des données (ci-après dénommé «comité») pour régler ce litige au titre de l’article 65, paragraphe 1, point b), du règlement (UE) 2016/679.

Lorsque l’autorité de contrôle présumée compétente pour agir en tant qu’autorité de contrôle chef de file ne confirme pas sa compétence ni ne saisit le comité dans le délai visé au premier alinéa, l’autorité de contrôle auprès de laquelle la réclamation a été introduite saisit le comité pour régler ce litige en vertu de l’article 65, paragraphe 1, point b), du règlement (UE) 2016/679.

7.   Sans préjudice de la recevabilité de la réclamation, l’autorité de contrôle auprès de laquelle la réclamation a été introduite ou l’autorité de contrôle chef de file peut demander à l’auteur de la réclamation de fournir des informations supplémentaires qui faciliteront le traitement de la réclamation et permettront son examen complet.

8.   L’autorité de contrôle chef de file informe la partie faisant l’objet de l’enquête qu’une réclamation a été introduite et lui communique ses principaux éléments sans délai.

Article 5

Résolution précoce

1.   Une réclamation concernant un traitement transfrontalier relatif à l’exercice des droits de la personne concernée reconnus au chapitre III du règlement (UE) 2016/679 peut, le cas échéant, être résolue par le biais d’une procédure permettant sa résolution précoce, menée:

a)

par l’autorité de contrôle auprès de laquelle la réclamation a été introduite, après que celle-ci a déterminé, à titre préliminaire, que la réclamation concerne un traitement transfrontalier et avant éventuelle transmission de la réclamation à l’autorité de contrôle présumée compétente pour agir en tant qu’autorité de contrôle chef de file; ou

b)

par l’autorité de contrôle chef de file auprès de laquelle la réclamation a été transmise, à tout moment avant la présentation des conclusions préliminaires aux autres autorités de contrôle concernées au titre de l’article 19 du présent règlement, ou, lorsque la procédure de coopération simple visée à l’article 6 du présent règlement s’applique, avant la présentation du projet de décision.

Les autorités de contrôle peuvent encourager et faciliter la résolution précoce des réclamations et, le cas échéant, adresser des communications à cette fin à la partie faisant l’objet de l’enquête ou à l’auteur de la réclamation.

2.   Aux fins d’une résolution précoce, lorsque l’autorité de contrôle visée au paragraphe 1, premier alinéa, point a) ou b), établit, sur la base d’éléments de preuve, qu’il a été mis fin à la violation alléguée, cette autorité de contrôle considère la réclamation sans objet.

Lorsqu’une réclamation est considérée sans objet, l’autorité de contrôle visée au paragraphe 1, premier alinéa, points a) ou b), informe l’auteur de la réclamation, en des termes clairs et simples:

a)

qu’il a été mis fin à la violation alléguée et qu’il considère la réclamation sans objet;

b)

des conséquences de la résolution précoce; et

c)

de la possibilité pour l’auteur de la réclamation de présenter une objection à la résolution précoce dans un délai de quatre semaines à compter de la réception de ces informations.

3.   Dans le cadre d’une procédure devant l’autorité de contrôle auprès de laquelle une réclamation a été introduite, lorsque l’auteur de la réclamation ne formule pas d’objection dans le délai fixé au paragraphe 2, deuxième alinéa, point c), l’autorité de contrôle établit, dans un délai de deux semaines à compter de l’expiration du délai susmentionné, que la réclamation a été résolue et en informe l’auteur de la réclamation, la partie faisant l’objet de l’enquête et, le cas échéant, l’autorité de contrôle chef de file.

4.   Dans le cadre d’une procédure devant l’autorité de contrôle chef de file auprès de laquelle la réclamation a été transmise, lorsque l’auteur de la réclamation ne formule pas d’objection dans le délai fixé au paragraphe 2, deuxième alinéa, point c), du présent article, l’autorité de contrôle chef de file soumet un projet de décision au titre de l’article 60, paragraphe 3, du règlement (UE) 2016/679 dans un délai de quatre semaines à compter de l’expiration du délai susmentionné, en vue d’adopter une décision finale au titre de l’article 60, paragraphe 7, du règlement (UE) 2016/679 établissant que la réclamation a été résolue.

5.   La résolution précoce d’une réclamation est sans préjudice de l’exercice, par l’autorité de contrôle chef de file, des pouvoirs énoncés à l’article 58 du règlement (UE) 2016/679 en ce qui concerne la même question.

6.   Les articles 10 à 20 ne s’appliquent pas aux réclamations résolues en vertu du présent article.

CHAPITRE III

COOPÉRATION AU TITRE DE L’ARTICLE 60 DU RÈGLEMENT (UE) 2016/679

SECTION 1

COOPÉRATION SIMPLE

Article 6

Procédure de coopération simple

1.   Une fois que l’autorité de contrôle chef de file s’est forgé un avis préliminaire sur les principales questions soulevées dans le cadre d’une enquête, elle peut coopérer avec les autres autorités de contrôle concernées dans le cadre d’une procédure de coopération simple, conformément au présent article, lorsque:

a)

elle considère qu’il n’y a aucun doute raisonnable quant au champ de l’enquête, en particulier au vu des dispositions du règlement (UE) 2016/679 concernées par la violation alléguée qui doit faire l’objet de l’enquête; et

b)

les questions de fait et de droit recensées par l’autorité de contrôle chef de file ne nécessitent pas la coopération supplémentaire avec les autres autorités de contrôle concernées qui serait nécessaire aux fins d’une enquête complexe, notamment lorsque ces questions peuvent être traitées sur la base de décisions antérieures prises dans des affaires similaires.

Lorsque l’autorité de contrôle chef de file applique la procédure de coopération simple visée au premier alinéa, les articles 10, 11, 16, 19 et 20, l’article 23, paragraphe 1, points a) et b), et l’article 23, paragraphe 2, du présent règlement ne s’appliquent pas. L’autorité de contrôle chef de file soumet un projet de décision en vertu de l’article 60, paragraphe 3, du règlement (UE) 2016/679 dans le délai visé à l’article 12, paragraphe 6, du présent règlement.

2.   L’autorité de contrôle chef de file informe les autres autorités de contrôle concernées de son intention d’appliquer la procédure de coopération simple et fournit des informations sur les caractéristiques de l’affaire utiles pour déterminer si les conditions énoncées au paragraphe 1 du présent article sont remplies, dans un délai de six semaines à compter de la confirmation par l’autorité de contrôle chef de file de sa compétence au titre de l’article 4, paragraphe 6, du présent règlement, ou d’une décision contraignante prise par le comité au titre de l’article 65, paragraphe 1, point b), du règlement (UE) 2016/679.

3.   Lorsque l’une des autres autorités de contrôle concernées émet une objection à l’application de la procédure de coopération simple dans un délai de deux semaines à compter de sa notification, cette procédure ne s’applique pas et l’autorité de contrôle chef de file rédige un résumé des points essentiels conformément à l’article 10 du présent règlement et coopère avec les autres autorités de contrôle concernées en suivant les procédures prévues au chapitre III du présent règlement.

4.   Lorsqu’elle applique la procédure de coopération simple, l’autorité de contrôle chef de file, avant de présenter un projet de décision, veille à ce que, le cas échéant, les parties faisant l’objet de l’enquête aient le droit d’être entendues et à ce que l’auteur de la réclamation ait la possibilité de faire connaître son point de vue. Aux fins du présent paragraphe, les modalités administratives et exigences prévues par le droit procédural national de l’autorité de contrôle chef de file ou de l’autorité de contrôle auprès de laquelle la réclamation a été introduite, selon le cas, continuent de s’appliquer.

5.   Le chapitre III du présent règlement ne s’applique pas aux affaires traitées par l’autorité de contrôle concernée en vertu de l’article 56, paragraphe 2, du règlement (UE) 2016/679.

SECTION 2

FORMATION D’UN CONSENSUS AU SENS DE L’ARTICLE 60, PARAGRAPHE 1, DU RÈGLEMENT (UE) 2016/679

Article 7

Attribution ou limitation de droits

Les dispositions de la présente section concernent la coopération entre les autorités de contrôle et n’ont pas pour effet de conférer des droits aux personnes ou aux parties faisant l’objet de l’enquête, ni de limiter leurs droits.

Article 8

Coopération entre les autorités de contrôle

Tout en coopérant en s’efforçant de parvenir à un consensus, comme le prévoit l’article 60, paragraphe 1, du règlement (UE) 2016/679, les autorités de contrôle peuvent utiliser tous les moyens prévus par ledit règlement, y compris l’assistance mutuelle en vertu de l’article 61 dudit règlement et les opérations conjointes en vertu de l’article 62 dudit règlement.

Article 9

Informations utiles devant être échangées entre l’autorité de contrôle chef de file et les autres autorités de contrôle concernées

1.   L’autorité de contrôle chef de file et les autres autorités de contrôle concernées échangent les informations utiles visées à l’article 60, paragraphes 1 et 3, du règlement (UE) 2016/679. Ces informations comprennent, le cas échéant:

a)

des informations sur l’ouverture d’une enquête relative à une violation alléguée du règlement (UE) 2016/679;

b)

des demandes d’informations au titre de l’article 58, paragraphe 1, point e), du règlement (UE) 2016/679 et les documents connexes résultant de ces demandes;

c)

des informations sur l’utilisation des autres pouvoirs d’enquête visés à l’article 58, paragraphe 1, du règlement (UE) 2016/679 et les documents connexes résultant de l’utilisation de ces pouvoirs d’enquête;

d)

s’il est envisagé de refuser ou de rejeter tout ou partie de la réclamation, les motifs de rejet ou de refus retenus par l’autorité de contrôle chef de file;

e)

des informations sur la résolution précoce de la réclamation conformément à l’article 5 du présent règlement;

f)

le résumé des points essentiels et les observations sur ledit résumé prévus à l’article 10 du présent règlement;

g)

des informations sur le champ de l’enquête;

h)

des informations sur les événements ou les conclusions qui pourraient conduire à la modification du champ de l’enquête ou à l’ouverture d’une nouvelle enquête;

i)

des informations sur les mesures prises et l’analyse juridique menée afin d’établir si le règlement (UE) 2016/679 a été violé avant l’élaboration des conclusions préliminaires et du projet de décision;

j)

les conclusions préliminaires;

k)

les réponses des parties faisant l’objet de l’enquête aux conclusions préliminaires;

l)

l’avis de l’auteur de la réclamation sur la version non confidentielle des conclusions préliminaires et, le cas échéant, les observations écrites formelles de l’auteur de la réclamation au sujet d’autres aspects de l’enquête;

m)

en cas de rejet ou de refus total ou partiel d’une réclamation, les observations écrites de l’auteur de cette réclamation;

n)

des informations sur toute mesure utile prise par l’autorité de contrôle chef de file après la réception des réponses des parties faisant l’objet de l’enquête aux conclusions préliminaires et avant la présentation d’un projet de décision soumis au titre de l’article 60, paragraphe 3, du règlement (UE) 2016/679;

o)

le point de vue des parties faisant l’objet de l’enquête quant au projet de décision révisé;

p)

toute autre information jugée utile et pertinente aux fins de l’enquête.

2.   Au cours de l’enquête, l’autorité de contrôle chef de file et les autres autorités de contrôle concernées échangent les informations visées au paragraphe 1 du présent article dès que possible, et au plus tard une semaine à compter de la date à laquelle ces informations sont disponibles, sauf disposition contraire du présent règlement ou du règlement (UE) 2016/679.

3.   Le comité peut préciser les modalités et exigences relatives à l’échange des informations utiles entre les autorités de contrôle.

Article 10

Résumé des points essentiels

1.   Une fois que l’autorité de contrôle chef de file s’est forgé un avis préliminaire sur les principales questions soulevées dans le cadre d’une enquête, elle rédige un résumé des points essentiels aux fins de la coopération prévue à l’article 60, paragraphe 1, du règlement (UE) 2016/679.

2.   Le résumé des points essentiels comprend les éléments suivants:

a)

les principaux faits pertinents;

b)

une définition préliminaire du champ de l’enquête, en particulier des dispositions du règlement (UE) 2016/679 concernées par la violation alléguée qui doit faire l’objet de l’enquête;

c)

les questions de fait et de droit identifiées;

d)

une analyse des points de vue pertinents exprimés par la partie faisant l’objet de l’enquête ou par l’auteur de la réclamation, lorsque ces points de vue sont disponibles au moment de la rédaction du résumé des points essentiels;

e)

s’il y a lieu, l’identification préliminaire d’éventuelles mesures correctrices.

3.   L’autorité de contrôle chef de file fournit aux autres autorités de contrôle concernées le résumé des points essentiels sans tarder, et dans un délai de trois mois à compter de la confirmation par l’autorité de contrôle chef de file de sa compétence au titre de l’article 4, paragraphe 6, du présent règlement, ou d’une décision contraignante prise par le comité au titre de l’article 65, paragraphe 1, point b), du règlement (UE) 2016/679.

4.   Les autorités de contrôle concernées peuvent formuler des observations sur le résumé des points essentiels dans un délai de quatre semaines à compter de la réception dudit résumé. L’autorité de contrôle chef de file peut prolonger ce délai de deux semaines en raison de la complexité de l’affaire ou à la demande des autres autorités de contrôle concernées.

5.   Lorsque les autorités de contrôle concernées formulent des observations au titre du paragraphe 4, ces dernières sont partagées avec toutes les autres autorités de contrôle concernées. L’autorité de contrôle chef de file répond à ces observations dans un délai de quatre semaines à compter de l’expiration du délai visé au paragraphe 4, en indiquant si elle entend en tenir compte et comment. L’autorité de contrôle chef de file peut prolonger ce délai de deux semaines en raison de la complexité de l’affaire.

6.   Lorsqu’elle transfère une affaire à l’autorité de contrôle chef de file, l’autorité de contrôle auprès de laquelle la réclamation a été introduite peut lui fournir des informations utiles aux fins de la préparation du résumé des points essentiels.

7.   Le comité peut spécifier des modalités et exigences concernant la formulation d’observations par les autorités de contrôle concernées sur le résumé des points essentiels.

Article 11

Utilisation de moyens pour parvenir à un consensus

1.   En vertu de l’article 60, paragraphe 1, du règlement (UE) 2016/679, l’autorité de contrôle chef de file et les autres autorités de contrôle concernées s’efforcent de parvenir à un consensus sur les situations concernant un traitement transfrontalier, conformément au présent article, et peuvent utiliser tous les moyens prévus par le règlement (UE) 2016/679, y compris l’assistance mutuelle au titre de l’article 61 du règlement (UE) 2016/679 et les opérations conjointes au titre de l’article 62 dudit règlement.

2.   Lorsqu’une autorité de contrôle concernée est en désaccord avec l’autorité de contrôle chef de file, et en l’absence de consensus, l’autorité de contrôle concernée peut soumettre à l’autorité de contrôle chef de file une demande d’assistance mutuelle au titre de l’article 61 du règlement (UE) 2016/679, ou lui demander de mener des opérations conjointes en vertu de l’article 62 dudit règlement, ou les deux, afin de parvenir à un consensus sur les éléments suivants:

a)

le champ de l’enquête dans les cas fondés sur une réclamation, en particulier les dispositions du règlement (UE) 2016/679 concernées par la violation alléguée qui doit faire l’objet de l’enquête;

b)

les questions de droit ou de fait visées à l’article 10, paragraphe 2, point c), du présent règlement, le cas échéant;

c)

l’identification préliminaire d’éventuelles mesures correctrices, conformément à l’article 10, paragraphe 2, point e), du présent règlement.

3.   La demande visée au paragraphe 2 du présent article est présentée dans un délai d’un mois à compter de l’expiration du délai visé à l’article 10, paragraphe 5.

4.   Lorsqu’une demande de mener des opérations conjointes en vertu de l’article 62 du règlement (UE) 2016/679 est soumise au titre du paragraphe 2 du présent article, l’autorité de contrôle chef de file y répond dans un délai d’un mois à compter de sa réception.

5.   L’autorité de contrôle chef de file engage un dialogue avec les autres autorités de contrôle concernées sur la base de leurs observations relatives au résumé des points essentiels et, s’il y a lieu, en réponse aux demandes formulées au titre des articles 61 et 62 du règlement (UE) 2016/679, en s’efforçant de parvenir à un consensus. Le consensus sur les éléments visés au paragraphe 2 du présent article sert de base à l’autorité de contrôle chef de file pour poursuivre l’enquête et rédiger les conclusions préliminaires ou, s’il y a lieu, fournir à l’autorité de contrôle auprès de laquelle la réclamation a été introduite sa motivation aux fins de l’article 16, paragraphe 1, du présent règlement.

6.   Lorsque, dans le cadre d’une enquête fondée sur une réclamation, conformément aux procédures prévues à l’article 10, paragraphe 5, du présent règlement et au paragraphe 5 du présent article, il n’existe pas de consensus entre l’autorité de contrôle chef de file et une ou plusieurs autres autorités de contrôle concernées sur la définition préliminaire du champ de l’enquête visée à l’article 10, paragraphe 2, point b), du présent règlement, les conditions pour demander une décision contraignante d’urgence au titre de l’article 66, paragraphe 3, du règlement (UE) 2016/679 sont présumées remplies et l’autorité de contrôle chef de file demande au comité une décision contraignante d’urgence en vertu de l’article 66, paragraphe 3, du règlement (UE) 2016/679.

7.   Lorsqu’elle demande au comité une décision contraignante d’urgence en vertu du paragraphe 6 du présent article, l’autorité de contrôle chef de file fournit au comité les éléments suivants:

a)

les informations visées à l’article 10, paragraphe 2;

b)

les observations des autres autorités de contrôle concernées qui sont en désaccord avec la définition préliminaire du champ de l’enquête par l’autorité de contrôle chef de file;

c)

les autres échanges entre l’autorité de contrôle chef de file et les autres autorités de contrôle concernées au titre de l’article 10, paragraphe 5, et de l’article 11, paragraphe 5;

d)

tout autre document ou information utile, à la demande du comité.

8.   Le comité adopte une décision contraignante d’urgence sur le champ de l’enquête sur la base de l’ensemble des informations reçues.

Article 12

Délais de présentation d’un projet de décision

1.   L’autorité de contrôle chef de file présente un projet de décision au titre de l’article 60, paragraphe 3, du règlement (UE) 2016/679 dans un délai de quinze mois à compter de la confirmation par l’autorité de contrôle chef de file de sa compétence au titre de l’article 4, paragraphe 6, du présent règlement, ou d’une décision contraignante prise par le comité au titre de l’article 65, paragraphe 1, point b), du règlement (UE) 2016/679.

2.   Lorsque l’autorité de contrôle chef de file soumet une demande en vertu de l’article 11, paragraphe 6, du présent règlement, les délais visés au paragraphe 1 du présent article sont suspendus jusqu’à ce que le comité ait adopté sa décision contraignante.

3.   À titre exceptionnel, l’autorité de contrôle chef de file peut prolonger une fois le délai visé au paragraphe 1, pour une période ne dépassant pas douze mois, en raison de la complexité de l’affaire. L’autorité de contrôle chef de file informe les autres autorités de contrôle concernées de son intention de prolonger le délai visé au paragraphe 1, en précisant la durée et les raisons de la prolongation envisagée, au moins quatre semaines avant l’expiration du délai visé au paragraphe 1.

4.   Toute autorité de contrôle concernée peut formuler une objection à cette prolongation dans un délai de deux semaines à compter de la date à laquelle elle en a été informée conformément au paragraphe 3. L’autorité de contrôle concernée motive son objection. Lorsqu’elle décide de l’opportunité de prolonger le délai visé au paragraphe 1 et, le cas échéant, de la durée de cette prolongation, l’autorité de contrôle chef de file tient dûment compte de cette objection.

5.   Lorsque l’autorité de contrôle chef de file prolonge le délai visé au paragraphe 1 du présent article conformément aux paragraphes 3 et 4 du présent article, toute autre autorité de contrôle concernée peut informer l’autorité de contrôle chef de file qu’elle juge nécessaire d’intervenir pour protéger les droits et libertés des personnes concernées. Lorsque l’autorité de contrôle chef de file n’a pas présenté de projet de décision à l’expiration du délai prolongé, une autorité de contrôle qui l’a informée de la nécessité d’intervenir pour protéger les droits et libertés des personnes concernées peut adopter une mesure provisoire sur le territoire de son État membre conformément à l’article 55 du règlement (UE) 2016/679. Dans ce cas, l’urgence d’intervenir conformément à l’article 66, paragraphe 1, du règlement (UE) 2016/679 est présumée établie.

6.   Lorsque la procédure de coopération simple visée à l’article 6 du présent règlement s’applique, l’autorité de contrôle chef de file présente un projet de décision au titre de l’article 60, paragraphe 3, du règlement (UE) 2016/679 dans un délai de douze mois à compter de la confirmation par l’autorité de contrôle chef de file de sa compétence au titre de l’article 4, paragraphe 6, du présent règlement, ou d’une décision contraignante prise par le comité au titre de l’article 65, paragraphe 1, point b), du règlement (UE) 2016/679.

Lorsque le droit national exige une procédure nationale préalable ou ultérieure qui implique qu’un projet de décision en vertu de l’article 60, paragraphe 3, du règlement (UE) 2016/679 soit présenté après l’expiration du délai visé au premier alinéa, l’autorité de contrôle chef de file peut prolonger ledit délai une fois, pour une durée ne dépassant pas deux mois. Dans ce cas, l’autorité de contrôle chef de file informe les autres autorités de contrôle concernées de la prolongation du délai, en précisant la durée de cette prolongation, au moins deux semaines avant l’expiration du délai visé au premier alinéa.

Article 13

Procédures nationales ultérieures

1.   Lorsque le droit national exige que des procédures nationales ultérieures relatives à la même affaire soient ouvertes après l’adoption d’une décision en vertu des articles 18 ou 21 du présent règlement, l’autorité de contrôle chef de file:

a)

ne rédige pas de nouveau résumé des points essentiels;

b)

ne répète les étapes de la procédure visées à l’article 16 ou aux articles 19 et 20 que lorsque l’appréciation factuelle ou juridique de l’autorité de contrôle chef de file diffère d’une décision adoptée antérieurement en vertu des articles 18 ou 21; et

c)

présente un projet de décision avant d’adopter toute décision ultérieure qui diffère d’une décision adoptée antérieurement en vertu des articles 18 ou 21.

2.   Les délais visés à l’article 12 s’appliquent à la présentation d’un projet de décision dans le cadre d’une procédure ultérieure visée au paragraphe 1 du présent article.

SECTION 3

APPLICATION DES DÉLAIS

Article 14

Légalité et validité des étapes de la procédure et de la décision finale

Lorsque le présent règlement ou l’article 65, paragraphe 6, du règlement (UE) 2016/679 exige qu’une autorité de contrôle accomplisse une étape de la procédure dans un délai déterminé, le fait d’accomplir l’étape en question après l’expiration du délai n’affecte ni la légalité ni la validité de cette étape, ni celles de la décision finale.

Article 15

Délais et droit à un recours juridictionnel effectif

Pour déterminer si une autorité de contrôle n’a pas traité une réclamation conformément à l’article 78, paragraphe 2, du règlement (UE) 2016/679, il convient d’examiner si ladite autorité de contrôle, dans le délai prévu par le présent règlement ou à l’article 65, paragraphe 6, du règlement (UE) 2016/679, y compris toute prolongation éventuelle de ce délai, n’a pas:

a)

présenté de projet de décision ni de projet de décision révisé; ou

b)

adopté de décision finale.

SECTION 4

REJET OU REFUS TOTAL OU PARTIEL DES RÉCLAMATIONS

Article 16

Procédure de rejet ou de refus total ou partiel d’une réclamation au sens de l’article 60, paragraphes 8 et 9, du règlement (UE) 2016/679

1.   Lorsque l’autorité de contrôle chef de file a l’intention de rejeter ou refuser une réclamation totalement ou partiellement, elle communique à l’autorité de contrôle auprès de laquelle la réclamation a été introduite, avant de soumettre un projet de décision conformément à l’article 60, paragraphe 3, du règlement (UE) 2016/679, les motifs pour lesquels elle estime à titre préliminaire que la réclamation devrait être rejetée ou refusée totalement ou partiellement.

L’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation des motifs de l’avis préliminaire visé au premier alinéa, donne à l’auteur de la réclamation la possibilité de faire connaître son point de vue par écrit et informe l’auteur de la réclamation des conséquences de l’absence de communication de son point de vue.

L’autorité de contrôle chef de file fixe un délai approprié pour que l’auteur de la réclamation fasse connaître son point de vue. Ce délai n’est pas inférieur à trois semaines ni supérieur à six semaines.

2.   L’autorité de contrôle auprès de laquelle la réclamation a été introduite transmet tout point de vue exprimé par l’auteur de la réclamation à l’autorité de contrôle chef de file, dès que possible et au plus tard une semaine après la mise à disposition dudit point de vue.

3.   Lorsque le point de vue exprimé par l’auteur de la réclamation en vertu du paragraphe 1 du présent article n’entraîne pas de modification de l’avis préliminaire visé au paragraphe 1, premier alinéa, l’autorité de contrôle chef de file, en coopération avec l’autorité de contrôle auprès de laquelle la réclamation a été introduite, élabore un projet de décision et le communique aux autres autorités de contrôle concernées, conformément à l’article 60, paragraphe 3, du règlement (UE) 2016/679.

4.   Lorsque le projet de décision présenté en vertu du paragraphe 3 conclut que la réclamation doit être partiellement rejetée ou refusée, l’autorité de contrôle chef de file poursuit son enquête, en coopération avec les autres autorités de contrôle concernées, sur la partie de la réclamation devant encore faire l’objet d’une enquête.

Article 17

Projet révisé de décision rejetant ou refusant totalement ou partiellement une réclamation

Lorsque l’autorité de contrôle chef de file considère que le projet de décision révisé au sens de l’article 60, paragraphe 5, du règlement (UE) 2016/679, rejetant ou refusant totalement ou partiellement une réclamation, soulève de nouveaux éléments sur lesquels l’auteur de la réclamation devrait avoir la possibilité de faire connaître son point de vue, l’autorité de contrôle auprès de laquelle la réclamation a été introduite donne à l’auteur de la réclamation, avant la présentation du projet de décision révisé en vertu de l’article 60, paragraphe 5, du règlement (UE) 2016/679, la possibilité de faire connaître son point de vue sur ces nouveaux éléments conformément à l’article 16 du présent règlement.

Article 18

Décision rejetant ou refusant totalement ou partiellement une réclamation

Lorsqu’elle adopte une décision rejetant ou refusant totalement ou partiellement une réclamation en vertu de l’article 60, paragraphe 8 ou 9, du règlement (UE) 2016/679, l’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation du recours juridictionnel dont il dispose en vertu de l’article 78 du règlement (UE) 2016/679.

SECTION 5

DÉCISIONS ADRESSÉES AUX PARTIES FAISANT L’OBJET DE L’ENQUÊTE

Article 19

Conclusions préliminaires et droit d’être entendu

1.   Après les consultations et procédures visées aux articles 10 et 11 du présent règlement, lorsque l’autorité de contrôle chef de file a l’intention de soumettre aux autres autorités de contrôle concernées un projet de décision au sens de l’article 60, paragraphe 3, du règlement (UE) 2016/679 constatant une violation du règlement (UE) 2016/679, elle rédige des conclusions préliminaires.

2.   Les conclusions préliminaires comprennent les conclusions de l’enquête et présentent les allégations formulées de manière exhaustive et suffisamment claire pour permettre aux parties faisant l’objet de l’enquête de prendre connaissance du comportement visé par l’enquête de l’autorité de contrôle chef de file. En particulier, les conclusions préliminaires exposent clairement tous les faits, la liste des éléments de preuve sur lesquels elles s’appuient, et l’ensemble de l’appréciation juridique opposés aux parties faisant l’objet de l’enquête, afin que ces dernières puissent exprimer leur point de vue sur ces faits et les conclusions juridiques que l’autorité de contrôle chef de file entend établir dans le projet de décision au sens de l’article 60, paragraphe 3, du règlement (UE) 2016/679.

Les conclusions préliminaires exposent, sur la base des informations disponibles à ce stade et sans préjudice des points de vue des parties faisant l’objet de l’enquête, les mesures correctrices que l’autorité de contrôle chef de file envisage d’utiliser.

Lorsque, sur la base des informations disponibles à ce stade et sans préjudice des points de vue des parties faisant l’objet de l’enquête, l’autorité de contrôle chef de file détermine s’il y a lieu d’imposer une amende administrative conformément à l’article 83 du règlement (UE) 2016/679, elle énumère dans ses conclusions préliminaires les principaux éléments de fait et de droit dont elle a connaissance et sur lesquels elle entend se fonder pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende, compte tenu des éléments énumérés à l’article 83, paragraphe 2, du règlement (UE) 2016/679, y compris les circonstances aggravantes ou atténuantes qu’elle a l’intention de prendre en considération.

3.   L’autorité de contrôle chef de file communique les conclusions préliminaires aux autres autorités de contrôle concernées. Ces autorités peuvent présenter des observations sur ces conclusions à l’autorité de contrôle chef de file dans un délai de quatre semaines à compter de la transmission des conclusions préliminaires aux autres autorités de contrôle concernées. À la demande de l’une des autres autorités de contrôle concernées, l’autorité de contrôle chef de file prolonge ce délai de deux semaines.

4.   L’autorité de contrôle chef de file notifie les conclusions préliminaires, le cas échéant modifiées pour tenir compte des observations reçues des autres autorités de contrôle concernées, à chacune des parties faisant l’objet de l’enquête.

5.   Lorsqu’elle notifie les conclusions préliminaires aux parties faisant l’objet de l’enquête, l’autorité de contrôle chef de file fixe un délai approprié, d’au moins trois semaines et d’au maximum six semaines à compter de la date de notification, dans lequel ces parties peuvent faire connaître leur point de vue par écrit, ou organise une audition dans le même délai pour entendre oralement le point de vue des parties faisant l’objet de l’enquête.

6.   Lorsqu’elle notifie les conclusions préliminaires aux parties faisant l’objet de l’enquête, l’autorité de contrôle chef de file donne à ces parties l’accès au dossier administratif conformément aux articles 24 et 25.

7.   Les parties faisant l’objet de l’enquête peuvent, dans leur réponse aux conclusions préliminaires, exposer tous les faits et arguments juridiques dont elles ont connaissance et qui sont pertinents pour leur défense contre les allégations de l’autorité de contrôle chef de file. Elles joignent à leur réponse tout document attestant les faits exposés. L’autorité de contrôle chef de file ne fonde son projet de décision que sur les allégations, les faits et l’appréciation juridique reposant sur ceux-ci, au sujet desquels les parties faisant l’objet de l’enquête ont eu la possibilité de présenter leur point de vue.

Article 20

Transmission des conclusions préliminaires à l’auteur de la réclamation

1.   Lorsque l’autorité de contrôle chef de file émet des conclusions préliminaires concernant une question au sujet de laquelle elle a été saisie d’une réclamation, l’autorité de contrôle auprès de laquelle la réclamation a été introduite fournit à l’auteur de la réclamation lesdites conclusions préliminaires, conformément aux règles relatives à l’accès au dossier administratif et aux informations confidentielles arrêtées aux articles 24 et 25, et l’autorité de contrôle chef de file fixe un délai approprié, d’au moins trois semaines et d’au maximum six semaines, dans lequel l’auteur de la réclamation peut faire connaître son point de vue par écrit.

2.   Aux fins du paragraphe 1, les modalités administratives et les exigences prévues par le droit procédural national de l’autorité de contrôle auprès de laquelle la réclamation a été introduite continuent de s’appliquer.

3.   Le paragraphe 1 du présent article s’applique également lorsque l’autorité de contrôle chef de file:

a)

traite plusieurs réclamations conjointement;

b)

traite une partie d’une réclamation séparément; ou

c)

modifie le champ de l’enquête dans les conclusions préliminaires de quelque manière que ce soit, y compris après une décision contraignante du comité conformément à l’article 11, paragraphe 8.

Article 21

Adoption d’une décision finale

1.   Après avoir soumis le projet de décision aux autres autorités de contrôle concernées conformément à l’article 60, paragraphe 3, du règlement (UE) 2016/679 et lorsque aucune de ces autres autorités de contrôle ne formule d’objection au projet de décision dans les délais visés à l’article 60, paragraphe 4 ou 5, du règlement (UE) 2016/679, selon le cas, l’autorité de contrôle chef de file, dans un délai d’un mois à compter de la fin du délai visé à l’article 60, paragraphe 4 ou 5, du règlement (UE) 2016/679:

a)

adopte sa décision visée à l’article 60, paragraphe 7, ou, s’il y a lieu, à l’article 60, paragraphe 9, du règlement (UE) 2016/679; et

b)

notifie la décision visée au point a) à l’établissement principal ou à l’établissement unique du responsable du traitement ou du sous-traitant, selon le cas.

2.   Les informations à fournir à l’auteur de la réclamation conformément à l’article 60, paragraphes 7 et 9, du règlement (UE) 2016/679, se composent:

a)

d’une version de la décision adoptée qui comprend son dispositif dans son intégralité et les motifs de ladite décision qui ne comportent pas d’éléments jugés confidentiels conformément à l’article 25 du présent règlement; ou

b)

d’un résumé de la décision adoptée, avec les faits pertinents et les motifs de ladite décision.

En tout état de cause, l’auteur de la réclamation reçoit, sur demande, une version de la décision visée au premier alinéa qui comprenne son dispositif dans son intégralité et les motifs de ladite décision qui ne comportent pas d’éléments jugés confidentiels conformément à l’article 25 du présent règlement.

Les modalités administratives et les exigences en vertu du droit procédural national de l’autorité de contrôle chef de file continuent de s’appliquer.

Article 22

Droit d’être entendu sur le projet de décision révisé constatant une violation

1.   Lorsque l’autorité de contrôle chef de file considère que le projet de décision révisé au sens de l’article 60, paragraphe 5, du règlement (UE) 2016/679, constatant une violation du règlement (UE) 2016/679, soulève de nouveaux éléments sur lesquels les parties faisant l’objet de l’enquête devraient avoir la possibilité de faire connaître leur point de vue, elle donne, avant la présentation du projet de décision révisé au titre de l’article 60, paragraphe 5, du règlement (UE) 2016/679, la possibilité aux parties faisant l’objet de l’enquête de faire connaître leur point de vue sur ces nouveaux éléments.

2.   L’autorité de contrôle chef de file fixe un délai approprié d’au moins trois semaines et d’au maximum six semaines dans lequel les parties faisant l’objet de l’enquête peuvent faire connaître leur point de vue.

3.   L’autorité de contrôle chef de file informe les autres autorités de contrôle concernées des points de vue exprimés par les parties faisant l’objet de l’enquête, dès que possible et au plus tard une semaine après la mise à disposition desdits points de vue.

SECTION 6

OBJECTIONS PERTINENTES ET MOTIVÉES

Article 23

Objections pertinentes et motivées

1.   Les objections pertinentes et motivées au sens de l’article 4, point 24), du règlement (UE) 2016/679:

a)

se fondent sur des éléments de fait et de droit figurant dans le projet de décision ou le dossier de coopération;

b)

ne concernent pas le champ d’une enquête lorsque aucune des autorités de contrôle concernées n’a formulé d’observations en vertu de l’article 10, paragraphe 4, du présent règlement, ou lorsqu’un consensus a été trouvé à la suite des observations reçues, ni le champ d’une enquête telle que fixée dans une décision contraignante du comité adoptée au titre de l’article 11, paragraphe 8, du présent règlement;

c)

ne concernent pas un projet de décision adopté conformément à l’article 5 du présent règlement.

2.   Nonobstant le paragraphe 1, point b), une autorité de contrôle concernée peut formuler des objections pertinentes et motivées concernant le champ d’une enquête visée au paragraphe 1, point b), dans des cas dûment justifiés, si:

a)

l’autorité de contrôle chef de file n’a pas enquêté sur tous les éléments du résumé des points essentiels sur lesquels un consensus a été trouvé en vertu de l’article 10, paragraphe 5, ou de l’article 11, paragraphe 5, ou n’a pas respecté la décision contraignante du comité prise en vertu de l’article 11, paragraphe 8; ou

b)

de nouveaux éléments qui n’étaient pas disponibles au moment de parvenir à un consensus sur le résumé des points essentiels conformément à l’article 10, paragraphe 5, ou de l’article 11, paragraphe 5, ou au moment de la décision contraignante du comité au titre de l’article 11, paragraphe 8, démontrent que le projet de décision entraîne un risque important pour les droits fondamentaux et les libertés de la personne concernée et, le cas échéant, la libre circulation des données à caractère personnel au sein de l’Union; ou les deux.

3.   Une objection pertinente et motivée est suffisamment claire, cohérente et précise et, si nécessaire, elle indique les éléments du projet de décision qui doivent être modifiés pour permettre aux autorités de contrôle d’élaborer leurs positions et, le cas échéant, permettre au comité de résoudre le litige efficacement.

CHAPITRE IV

DOSSIER ADMINISTRATIF, DOSSIER DE COOPÉRATION ET TRAITEMENT DES INFORMATIONS CONFIDENTIELLES

Article 24

Dossier administratif

1.   Le dossier administratif d’une enquête concernant une violation alléguée du règlement (UE) 2016/679 est constitué des documents qui ont été recueillis ou produits par l’autorité de contrôle chef de file et par les autres autorités de contrôle concernées et qui ont été rassemblés par l’autorité de contrôle chef de file au cours de la procédure d’enquête, y compris tous les éléments de preuve à charge et à décharge.

Le dossier administratif ne comprend pas de communications internes échangées au sein d’une autorité de contrôle.

2.   À la demande d’une partie faisant l’objet de l’enquête, ou de l’auteur de la réclamation lorsque la décision est susceptible d’affecter négativement ses intérêts, l’autorité de contrôle chef de file accorde l’accès au dossier administratif aux parties faisant l’objet de l’enquête ou à l’auteur de la réclamation, leur permettant d’exercer leur droit d’être entendus.

Le premier alinéa est sans préjudice de règles plus favorables sur l’octroi de l’accès au dossier administratif prévues par le droit national de l’autorité de contrôle chef de file.

Lorsque l’accès est octroyé conformément au premier alinéa, la partie faisant l’objet de l’enquête se voit octroyer ledit accès par l’autorité de contrôle chef de file, tandis que l’auteur de la réclamation se voit octroyer cet accès par l’autorité de contrôle auprès de laquelle la réclamation a été introduite.

3.   Les documents suivants ou une partie de ceux-ci sont exclus de l’accès, nonobstant tout autre accès accordé en vertu du droit de l’Union ou du droit national:

a)

la correspondance ou les délibérations entre les autorités de contrôle;

b)

les informations confidentielles en vertu de l’article 25, paragraphe 1.

4.   L’autorité de contrôle chef de file n’accorde l’accès aux objections pertinentes et motivées soumises en vertu de l’article 60, paragraphe 4, du règlement (UE) 2016/679 sur la base desquelles ladite autorité de contrôle a l’intention d’adopter un projet de décision révisé que lorsque cet accès est nécessaire pour permettre aux parties faisant l’objet de l’enquête ou à l’auteur de la réclamation d’exprimer leur point de vue et de défendre leurs droits.

Article 25

Identification et protection des informations confidentielles

1.   Toute information, tout document ou partie de document est considéré comme confidentiel dans la mesure où il contient des secrets d’affaires au sens de la directive (UE) 2016/943 du Parlement européen et du Conseil (5) ou d’autres informations confidentielles conformément au droit de l’Union ou au droit national.

2.   Sauf disposition contraire dans le droit de l’Union ou le droit national, les informations collectées, produites ou obtenues par une autorité de contrôle dans une situation de traitement transfrontalier en vertu du règlement (UE) 2016/679, qui sont considérées comme confidentielles conformément au paragraphe 1, ne sont pas communiquées ni rendues accessibles à une partie faisant l’objet d’une enquête, à l’auteur d’une réclamation ni à aucun tiers.

3.   Une partie faisant l’objet d’une enquête, l’auteur d’une réclamation ou un tiers qui soumet des informations qu’il considère comme confidentielles identifie clairement ces informations, en motivant sa demande de confidentialité. La partie faisant l’objet de l’enquête, l’auteur de la réclamation ou le tiers communique toujours la version intégrale des informations. Si possible, il fournit également une proposition de version non confidentielle.

4.   Sans préjudice du paragraphe 3, l’autorité de contrôle à laquelle les informations sont soumises peut exiger des parties faisant l’objet de l’enquête, ou de toute autre personne qui soumet des documents, qu’elles identifient les documents ou parties de documents qu’elles considèrent comme contenant des secrets d’affaires ou d’autres informations confidentielles leur appartenant et qu’elles identifient les personnes concernées par la confidentialité desdits secrets d’affaires ou autres informations confidentielles.

5.   L’autorité de contrôle à laquelle les informations sont soumises fixe un délai approprié ne dépassant pas six semaines pour que les parties faisant l’objet de l’enquête et tout autre personne affirmant que les informations soumises sont confidentielles:

a)

étayent leurs affirmations selon lesquelles les informations soumises contiennent des secrets d’affaires ou d’autres informations confidentielles pour chaque document ou partie de document, déclaration ou partie de déclaration;

b)

proposent, si possible, une version non confidentielle des documents et déclarations dans laquelle les secrets d’affaires ou autres informations confidentielles sont expurgés;

c)

fournissent une description concise et non confidentielle de chaque information expurgée.

6.   Si les parties faisant l’objet de l’enquête ou toute autre personne ne se conforment pas aux paragraphes 4 et 5, l’autorité de contrôle à laquelle les informations sont soumises peut supposer que les documents ou déclarations concernés ne contiennent pas de secrets d’affaires ou d’autres informations confidentielles.

7.   L’autorité de contrôle à laquelle les informations sont soumises détermine si les informations ou des parties pertinentes et spécifiques de documents sont ou non confidentielles, en vertu du paragraphe 1. Elle veille à ce que l’expurgation des documents se limite à ce qui est nécessaire et proportionné pour protéger les informations confidentielles. L’autorité de contrôle à laquelle les informations sont soumises informe les autres autorités de contrôle du caractère confidentiel des informations au moment de leur transmission.

8.   Les informations considérées comme confidentielles en vertu du droit national de l’autorité de contrôle à laquelle les informations sont soumises et qui sont échangées entre les autorités de contrôle en application du règlement (UE) 2016/679 continuent d’être traitées comme des informations confidentielles par l’autorité de contrôle qui les reçoit.

Article 26

Dossier de coopération

1.   Aux fins de l’échange d’informations pertinentes entre l’autorité de contrôle chef de file et les autres autorités de contrôle concernées conformément à l’article 9, l’autorité de contrôle chef de file veille à ce que ces informations pertinentes soient mises à disposition au moyen d’un dossier de coopération consacré à chaque réclamation ou enquête. Le dossier de coopération comprend l’ensemble des informations échangées en vertu de l’article 9.

2.   Le dossier de coopération est tenu sous format électronique et est accessible à distance aux autorités de contrôle au moyen d’un outil électronique commun et, lorsqu’une affaire est soumise à un règlement des litiges en vertu de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679 et, le cas échéant, lorsqu’un avis d’urgence ou une décision contraignante d’urgence est demandé conformément à l’article 66 dudit règlement, il est accessible au comité. Le dossier de coopération n’est pas directement accessible aux parties faisant l’objet de l’enquête, aux auteurs d’une réclamation ou aux tiers.

CHAPITRE V

RÈGLEMENT DES LITIGES

Article 27

Transmission au mécanisme de règlement des litiges au titre de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679

1.   Dans un délai de trois mois suivant l’expiration du délai visé à l’article 60, paragraphe 4, du règlement (UE) 2016/679, l’autorité de contrôle chef de file présente un projet de décision révisé au titre de l’article 60, paragraphe 5, dudit règlement ou saisit le comité à des fins de règlement de litiges au titre de l’article 65, paragraphe 1, point a), dudit règlement.

2.   Dans un délai de trois mois suivant l’expiration du délai visé à l’article 60, paragraphe 5, du règlement (UE) 2016/679, l’autorité de contrôle chef de file présente un autre projet de décision révisé au titre de l’article 60, paragraphe 5, dudit règlement ou saisit le comité à des fins de règlement des litiges au titre de l’article 65, paragraphe 1, point a), dudit règlement.

3.   Lorsqu’elle transmet la question au mécanisme de règlement des litiges en vertu de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679, l’autorité de contrôle chef de file fournit au comité les documents suivants:

a)

le projet de décision ou le projet de décision révisé faisant l’objet des objections pertinentes et motivées;

b)

un résumé des faits pertinents;

c)

les points de vue exprimés par écrit par les parties faisant l’objet de l’enquête en vertu de l’article 19 et, le cas échéant, à l’article 22 du présent règlement, au moins dans la mesure où ces points de vue ont trait à la question soumise au comité;

d)

les points de vue exprimés par écrit par les auteurs de réclamations, selon le cas, en vertu des articles 16, 17 et 20 du présent règlement, au moins dans la mesure où ils ont trait à la question soumise au comité;

e)

les objections pertinentes et motivées auxquelles l’autorité de contrôle chef de file n’a pas donné suite et les objections que l’autorité de contrôle chef de file a rejetées comme n’étant ni pertinentes ni motivées;

f)

les motifs pour lesquels l’autorité de contrôle chef de file n’a pas donné suite aux objections pertinentes et motivées ou les a rejetées parce qu’elle ne les estimait ni pertinentes ni motivées.

4.   Le comité peut demander d’autres documents à une autorité de contrôle en ce qui concerne la question qui lui est soumise.

5.   Dans un délai de quatre semaines à compter de la réception des documents et informations visés au paragraphe 3 du présent article, le comité détermine à titre préliminaire si les objections visées à l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679, constituent des objections pertinentes et motivées et si elles sont conformes à l’article 23 du présent règlement. Au cours de ce délai, le président du comité enregistre la transmission de la question soumise au comité. Dès que la transmission est enregistrée, le dossier est communiqué aux membres du comité.

6.   Le délai d’adoption de la décision contraignante du comité prévu à l’article 65, paragraphe 2, du règlement (UE) 2016/679 ne court pas pendant le délai prévu au paragraphe 5 du présent article.

Article 28

Audition de la partie faisant l’objet de l’enquête et de l’auteur de la réclamation avant l’adoption d’une décision en vertu de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679

1.   Avant d’adopter une décision contraignante en vertu de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679, le comité donne à la partie faisant l’objet de l’enquête ou, lorsque la décision du comité pourrait entraîner le rejet ou le refus total ou partiel d’une réclamation, à l’auteur de la réclamation, la possibilité de faire connaître son point de vue par écrit sur tout nouvel élément de fait ou de droit sur lequel sa décision se fonde, y compris sur les objections pertinentes et motivées auxquelles il a l’intention de donner suite dans sa décision.

2.   Lorsque les parties faisant l’objet de l’enquête ou l’auteur de la réclamation, selon le cas, ont la possibilité de faire connaître leur point de vue conformément au paragraphe 1, le comité fixe un délai approprié ne dépassant pas deux semaines pour qu’ils fassent connaître leur point de vue.

3.   Le délai d’adoption de la décision contraignante du comité prévu à l’article 65, paragraphe 2, du règlement (UE) 2016/679 est suspendu jusqu’à ce que la partie faisant l’objet de l’enquête ou l’auteur de la réclamation, selon le cas, aient fait connaître leur point de vue ou jusqu’à l’expiration du délai visé au paragraphe 2 du présent article, la date la plus proche étant retenue.

Article 29

Procédure relative à la décision fondée sur l’article 65, paragraphe 1, point b), du règlement (UE) 2016/679

1.   Lorsqu’elle transmet une question au comité en vertu de l’article 65, paragraphe 1, point b), du règlement (UE) 2016/679, l’autorité de contrôle qui transmet la question fournit au comité tous les documents suivants:

a)

un résumé des faits pertinents, y compris en ce qui concerne le traitement en question;

b)

l’appréciation de ces faits pertinents pour établir si une autorité de contrôle est compétente pour agir en tant qu’autorité de contrôle chef de file en vertu de l’article 56, paragraphe 1, du règlement (UE) 2016/679, en particulier l’évaluation visant à déterminer si le traitement doit être considéré comme un traitement transfrontalier et où se situe l’établissement principal du responsable du traitement ou du sous-traitant;

c)

les points de vue exprimés par le responsable du traitement ou le sous-traitant dont l’établissement principal fait l’objet de la transmission;

d)

les points de vue des autres autorités de contrôle concernées par la transmission;

e)

tout autre document ou information que l’autorité de contrôle qui transmet la question juge pertinent et nécessaire pour parvenir au règlement de la question.

2.   Le comité peut demander d’autres documents à une autorité de contrôle en ce qui concerne la question qui lui est soumise.

3.   Dans un délai d’une semaine après avoir reçu les documents visés au paragraphe 1, le président du comité enregistre la transmission de la question soumise au comité. Dès que la transmission est enregistrée, le dossier est communiqué aux membres du comité.

Article 30

Procédure relative à la décision fondée sur l’article 65, paragraphe 1, point c), du règlement (UE) 2016/679

1.   Lorsqu’elle saisit le comité d’une question en vertu de l’article 65, paragraphe 1, point c), du règlement (UE) 2016/679, l’autorité de contrôle ou la Commission fournit au comité les documents suivants:

a)

un résumé des faits pertinents;

b)

l’avis éventuellement émis par le comité conformément à l’article 64 du règlement (UE) 2016/679; ou la décision éventuellement adoptée par l’autorité de contrôle compétente à la suite de l’avis émis par le comité conformément à l’article 64 du règlement (UE) 2016/679;

c)

le point de vue de l’autorité de contrôle qui transmet la question ou de la Commission sur la question de savoir si, selon le cas, une autorité de contrôle était tenue de communiquer le projet de décision au comité conformément à l’article 64, paragraphe 1, du règlement (UE) 2016/679, ou si une autorité de contrôle n’a pas donné suite à un avis rendu par le comité conformément à l’article 64 du règlement (UE) 2016/679, avec une indication des parties dudit avis auxquelles il n’a pas été donné suite et une référence à la partie pertinente de la décision adoptée.

2.   Le comité demande les documents suivants:

a)

le point de vue de l’autorité de contrôle présumée avoir violé l’obligation de soumettre un projet de décision au comité ou ne pas avoir donné suite à un avis du comité;

b)

tout autre document ou information que ladite autorité de contrôle juge pertinent et nécessaire pour parvenir au règlement de la question.

3.   Le comité peut demander d’autres documents à une autorité de contrôle en ce qui concerne la question qui lui est soumise.

4.   Dans un délai d’une semaine après avoir reçu les documents et informations visés au paragraphe 2, le président du comité enregistre la transmission de la question soumise au comité. Dès que la transmission est enregistrée, le dossier est communiqué aux membres du comité.

5.   Si une autorité de contrôle déclare son intention de présenter son point de vue sur la question transmise, elle soumet celui-ci dans un délai de deux semaines à compter de la transmission visée au paragraphe 1.

CHAPITRE VI

PROCÉDURE D’URGENCE

Article 31

Avis d’urgence en vertu de l’article 66, paragraphe 2, du règlement (UE) 2016/679

1.   Une demande d’avis d’urgence du comité au titre de l’article 66, paragraphe 2, du règlement (UE) 2016/679 est introduite au plus tard quatre semaines avant l’expiration des mesures provisoires adoptées en vertu de l’article 66, paragraphe 1, dudit règlement et contient les éléments suivants:

a)

un résumé des faits pertinents, y compris les allégations de violation du règlement (UE) 2016/679;

b)

une description de la mesure provisoire adoptée sur le territoire de l’État membre de l’autorité de contrôle demandant l’avis d’urgence, sa durée et les motifs de son adoption, y compris une justification de l’urgence d’agir pour protéger les droits et libertés des personnes concernées;

c)

une justification de la nécessité urgente d’adopter des mesures définitives, y compris une explication du caractère exceptionnel des circonstances nécessitant l’adoption de ces mesures définitives.

2.   Le comité peut demander d’autres documents à une autorité de contrôle en ce qui concerne la question qui lui est soumise en vue d’un avis d’urgence.

3.   Dans un délai d’une semaine après avoir reçu les documents et informations visés au paragraphe 1, le président du comité enregistre la transmission de la question soumise au comité. Dès que la transmission est enregistrée, le dossier est communiqué aux membres du comité.

Article 32

Décision contraignante d’urgence en vertu de l’article 66, paragraphe 2, du règlement (UE) 2016/679

1.   Une demande de décision contraignante d’urgence du comité au titre de l’article 66, paragraphe 2, du règlement (UE) 2016/679 est introduite au plus tard quatre semaines avant l’expiration des mesures provisoires adoptées en vertu de l’article 61, paragraphe 8, de l’article 62, paragraphe 7, ou de l’article 66, paragraphe 1, dudit règlement. Cette demande contient les éléments suivants:

a)

un résumé des faits pertinents, y compris les allégations de violation du règlement (UE) 2016/679;

b)

la mesure provisoire adoptée sur le territoire de l’État membre de l’autorité de contrôle demandant la décision contraignante d’urgence, sa durée et les motifs de son adoption, y compris une justification de l’urgence d’agir pour protéger les droits et libertés des personnes concernées;

c)

des informations sur toute mesure d’enquête prise sur le territoire de l’État membre de l’autorité de contrôle demandant la décision contraignante d’urgence et les réponses reçues des parties faisant l’objet de l’enquête, ou toute autre information en possession de ladite autorité de contrôle requérante;

d)

une justification de la nécessité urgente d’adopter des mesures définitives, compte tenu du caractère exceptionnel des circonstances exigeant l’adoption de ces mesures, ou la preuve qu’une autorité de contrôle ne s’est pas conformée à l’article 61, paragraphe 5, ou à l’article 62, paragraphe 2, du règlement (UE) 2016/679;

e)

dans le cas où l’autorité de contrôle requérante n’est pas l’autorité de contrôle chef de file, le point de vue de cette dernière;

f)

s’il y a lieu, le point de vue de l’établissement local des parties faisant l’objet de l’enquête auxquelles les mesures provisoires visées à l’article 66, paragraphe 1, du règlement (UE) 2016/679 ont été adressées.

2.   Le comité peut demander d’autres documents à une autorité de contrôle en ce qui concerne la question qui lui est soumise.

3.   Dans un délai d’une semaine à compter de la réception des documents et informations visés au paragraphe 1, le président du comité enregistre la transmission de la question soumise au comité. Dès que la transmission est enregistrée, le dossier est communiqué aux membres du comité.

4.   Lorsque le comité adopte une décision contraignante d’urgence indiquant que des mesures définitives doivent être adoptées, l’autorité de contrôle destinataire de la décision adopte ces mesures avant l’expiration des mesures provisoires adoptées en vertu de l’article 66, paragraphe 1, du règlement (UE) 2016/679.

5.   Lorsque la décision contraignante d’urgence indique qu’il n’est pas urgent d’adopter des mesures définitives, l’autorité de contrôle chef de file et les autres autorités de contrôle concernées suivent la procédure prévue à l’article 60 du règlement (UE) 2016/679.

Article 33

Avis d’urgence ou décision contraignante d’urgence en vertu de l’article 66, paragraphe 3, du règlement (UE) 2016/679

1.   Une demande d’avis d’urgence ou de décision contraignante d’urgence du comité en vertu de l’article 66, paragraphe 3, du règlement (UE) 2016/679 contient les éléments suivants:

a)

un résumé des faits pertinents;

b)

une justification de la nécessité urgente de prendre des mesures appropriées pour protéger les droits et libertés des personnes concernées, compte tenu des circonstances exceptionnelles exigeant l’adoption de telles mesures, en particulier tout élément que l’autorité de contrôle compétente aurait dû prendre en compte pour protéger les droits et libertés des personnes concernées;

c)

le cas échéant et si elles sont disponibles, des informations sur toute mesure d’enquête prise par l’autorité de contrôle requérante sur le territoire de l’État membre de l’autorité de contrôle qui demande un avis d’urgence ou une décision contraignante d’urgence et les réponses reçues des parties faisant l’objet de l’enquête, ou toute autre information en possession de ladite autorité de contrôle requérante;

d)

le point de vue de l’autorité de contrôle compétente visée à l’article 66, paragraphe 3, du règlement (UE) 2016/679.

2.   Le comité peut demander d’autres documents à une autorité de contrôle en ce qui concerne la question qui lui est soumise.

3.   Dans un délai d’une semaine après avoir reçu les documents et informations visés au paragraphe 1, le président du comité enregistre la transmission de la question soumise au comité. Dès que la transmission est enregistrée, le dossier est communiqué aux membres du comité.

CHAPITRE VII

DISPOSITIONS GÉNÉRALES ET FINALES

Article 34

Statistiques sur l’application de la législation dans des situations concernant un traitement transfrontalier

1.   Dans le cadre du rapport annuel devant être établi au titre de l’article 71 du règlement (UE) 2016/679, le comité fournit des statistiques sur l’application du règlement (UE) 2016/679 dans les situations relevant du champ d’application du présent règlement, et en particulier:

a)

le nombre de dossiers ouverts sur des cas fondés sur des réclamations et des cas examinés d’office;

b)

le nombre de dossiers conclus sur des cas fondés sur des réclamations et des cas examinés d’office;

c)

le nombre d’enquêtes demandées par les autorités de contrôle concernées au titre de l’article 61, paragraphe 1, du règlement (UE) 2016/679;

d)

le nombre de réclamations introduites;

e)

le nombre de réclamations rejetées ou refusées totalement ou partiellement;

f)

la durée moyenne de conclusion des dossiers portant sur des cas examinés d’office et des cas fondés sur des réclamations;

g)

le nombre et le montant des amendes administratives imposées au titre des articles 83 et 84 du règlement (UE) 2016/679.

2.   Lorsque les statistiques visées au paragraphe 1 ne sont pas directement à la disposition du comité, les autorités de contrôle les fournissent au comité, sur demande, dans les meilleurs délais.

Article 35

Rapport de la Commission

Dans le cadre de son rapport sur l’évaluation et le réexamen du règlement (UE) 2016/679 au titre de l’article 97 dudit règlement, la Commission rend également compte de l’application et du fonctionnement du présent règlement.

Article 36

Dispositions transitoires

Les chapitres III et IV s’appliquent aux enquêtes menées d’office qui ont été ouvertes après le 2 avril 2027 et aux enquêtes menées sur la base d’une réclamation lorsque cette dernière a été introduite après le 2 avril 2027.

Les chapitres V et VI du présent règlement s’appliquent à tous les cas soumis au mécanisme de règlement des litiges en vertu de l’article 65 et à la procédure d’urgence au titre de l’article 66, paragraphes 2 et 3, du règlement (UE) 2016/679 après le 2 avril 2027.

Article 37

Entrée en vigueur et application

1.   Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

2.   Le présent règlement s’applique à compter du 2 avril 2027.

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.

Fait à Strasbourg, le 26 novembre 2025.

Par le Parlement européen

La présidente

R. METSOLA

Par le Conseil

La présidente

M. BJERRE

(1)   JO C, C/2024/1578, 5.3.2024, ELI: http://data.europa.eu/eli/C/2024/1578/oj.

(2)  Position du Parlement européen du 21 octobre 2025 (non encore parue au Journal officiel) et décision du Conseil du 17 novembre 2025.

(3)  Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(4)  Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(5)  Directive (UE) 2016/943 du Parlement européen et du Conseil du 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d’affaires) contre l’obtention, l’utilisation et la divulgation illicites (JO L 157 du 15.6.2016, p. 1, ELI: http://data.europa.eu/eli/dir/2016/943/oj).

ELI: http://data.europa.eu/eli/reg/2025/2518/oj

ISSN 1977-0693 (electronic edition)

Top

Full & Egal Universal Law Academy