L’harmonisation accrue des procédures de sanction en cas de traitement transfrontalier de données comme moyen de fluidifier la coopération des autorités nationales

L’originalité de la gouvernance mise en place par le règlement (UE) 2016/679 (RGPD) pour garantir son application cohérente du texte est connue. Elle repose en cas de traitement transfrontalier (défini à l’art. 4, 23°, du RGPD) sur le mécanisme du guichet unique : l’autorité nationale compétente est l’Autorité de protection des données (APD) de l’État membre dans lequel le responsable de traitement a son principal établissement (RGPD, art. 60).

La Cour de justice de l’Union européenne (CJUE), amenée à se pencher sur le fonctionnement de ce mécanisme dans une des nombreuses affaires Facebook (CJUE 15 juin 2021, aff. C-645/19, Dalloz actualité, 30 juin 2021, obs. B. Bertrand ; D. 2021. 1189 ; ibid. 2022. 915, obs. S. Clavel et F. Jault-Seseke ; RTD eur. 2022. 394, obs. F. Benoit-Rohmer ), a conforté la compétence de l’autorité de contrôle dite cheffe de file tout en insistant sur son obligation de coopération loyale et efficace avec les autres autorités de contrôle concernées. Ainsi si l’autorité cheffe de file est seule compétente pour mener la procédure, il lui revient de solliciter l’assistance des autres autorités concernées puis de leur communiquer un projet de décisions et de s’efforcer de parvenir à un consensus. À défaut, et en cas d’objections pertinentes et motivées, il revient au Comité européen de la protection des données (CEPD) de trancher en adoptant une décision dite contraignante (RGPD, art. 65).

Au-delà, le RGPD prévoit que les APD se prêtent mutuellement assistance (art. 61) et peuvent lancer des opérations conjointes (art. 62). Ces modalités ont dès l’adoption du RGPD soulevé différentes questions. L’une d’elle concerne la transparence des échanges entre autorités à l’égard du responsable du traitement qui fait l’objet d’une procédure de sanction. D’autres ont trait à l’étendue des obligations de l’autorité cheffe de file pour parvenir à un consensus. Après quelques années d’applications du règlement, on constate que le recours au CEPD, conçu pour être exceptionnel, est fréquent, ce qui tend à démontrer ainsi que la...