Le CEPD réclame un cadre juridique pour les échanges entre régulateurs

Le Comité européen de la protection des données (CEPD) demande à la Commission européenne de créer un fondement juridique permettant aux régulateurs de compétences voisines de se transmettre des informations, y compris confidentielles, utiles à l'application de leurs réglementations respectives. La position a été arrêtée lors d'une réunion à haut niveau tenue à Dublin les 16 et 17 juillet 2026, dont la CNIL a rendu compte le 20 juillet.

Le Comité, qui réunit les autorités nationales de protection des données de l'Union européenne, part d'un constat opérationnel : les premières coopérations engagées avec les autres régulateurs du numérique, au niveau national comme européen, ont buté sur l'absence de cadre pour l'échange d'informations. Il estime que les obstacles rencontrés pèsent sur les résultats des procédures répressives et sur la cohérence entre les différentes réglementations.

« Les premières expériences de coopération avec d'autres régulateurs numériques de l'UE, tant au niveau national qu'au niveau de l'UE, ont mis en évidence la nécessité de renforcer la législation afin de faciliter une coopération entre régulateurs plus efficace, y compris un meilleur partage d'informations. »

Des plaintes plus nombreuses et plus complexes

Le second volet de la réunion portait sur la charge de travail des autorités. Le Comité relève une hausse marquée du nombre et de la complexité des plaintes, qu'il rattache notamment à l'usage croissant de l'intelligence artificielle. Cette pression s'exerce sur des moyens déjà tendus et limite, selon lui, la capacité des autorités à exercer l'ensemble des pouvoirs que leur confie le règlement général sur la protection des données.

Les autorités ont demandé des réponses pratiques et, si nécessaire, législatives, en particulier pour les dossiers où le nombre de personnes concernées est élevé. Le Comité a examiné la possibilité, pour une autorité saisie d'une plainte, de mettre des moyens à disposition de l'autorité cheffe de file chargée du dossier transfrontalier. Il rappelle par ailleurs les progrès accomplis en matière d'application transfrontière, tels que les relève le deuxième rapport de la Commission européenne consacré au règlement.

Des ateliers et un futur règlement de procédure

Les autorités organiseront une série d'ateliers sur les procédures d'exécution et sur les pratiques nationales, dans la perspective du futur règlement de procédure européen. Le président de l'autorité irlandaise, Des Hogan, qui accueillait la réunion, met en avant les opérations conjointes comme levier de mutualisation des moyens.

« Grâce à l'échange d'information et aux opérations conjointes, les APD favoriseront une application cohérente et efficace de la loi, protégeront mieux les particuliers et apporteront plus de clarté et de certitude réglementaire à l'industrie. »

Ces opérations conjointes ont déjà une traduction concrète. L'action coordonnée lancée en 2026 par le Comité porte sur le respect des obligations de transparence et d'information prévues par le règlement, et rassemble vingt-cinq autorités européennes. Les participantes sollicitent des responsables de traitement par questionnaire ou par enquête, avant une mise en commun des conclusions au second semestre et un rapport consolidé soumis au Comité.

Une suite donnée à la réunion d'Helsinki de 2025

La réunion de Dublin s'inscrit dans le prolongement de celle des 1er et 2 juillet 2025 à Helsinki, où le Comité avait adopté une déclaration sur la clarté du règlement, le dialogue avec les entreprises et la coopération entre autorités. Les engagements pris alors visaient à faciliter la conformité des petites et moyennes organisations, à aligner les orientations nationales sur celles du Comité et à publier les principaux résultats des consultations publiques.

Le texte d'Helsinki comportait déjà un engagement à structurer la coopération avec les régulateurs d'autres domaines que la protection des données, au motif de la complexité croissante du paysage réglementaire numérique. Un an plus tard, le Comité constate que cet engagement se heurte à une limite de droit et en tire une demande législative adressée à la Commission.