P9_TA(2024)0187 — Fixation de règles de procédure supplémentaires relatives à l’application du règlement (UE) 2016/679 — Amendements du Parlement européen, adoptés le 10 avril 2024, à la proposition de règlement du Parlement européen et du Conseil établissant des règles de procédure supplémentaires relatives à l’application du règlement (UE) 2016/679 (COM(2023)0348 – C9-0231/2023 – 2023/0202(COD)) (Procédure législative ordinaire: première lecture)

(2)

Afin de permettre un fonctionnement harmonieux et efficace des mécanismes de coopération et de règlement des litiges prévus aux articles 60 et 65 du règlement (UE) 2016/679, il y a lieu d’établir des règles concernant la conduite de la procédure par les autorités de contrôle dans les situations transfrontalières, et par le comité lors du règlement des litiges, incluant le traitement des réclamations transfrontalières. Il y a également lieu, pour cette raison, d’établir des règles concernant l’exercice, par les parties faisant l’objet de l’enquête , du droit d’être entendues avant l’adoption de décisions par les autorités de contrôle et, s’il y a lieu, par le comité.

(2)

Afin de permettre un fonctionnement harmonieux et efficace des mécanismes de coopération et de règlement des litiges prévus aux articles 60 et 65 du règlement (UE) 2016/679, il y a lieu d’établir des règles concernant la conduite de la procédure par les autorités de contrôle dans les situations transfrontalières, et par le comité lors du règlement des litiges, incluant le traitement des réclamations transfrontalières. Il y a également lieu, pour cette raison, d’établir des règles concernant l’exercice, par les parties, du droit d’être entendues avant l’adoption de décisions par les autorités de contrôle et, s’il y a lieu, par le comité. Le présent règlement vise ainsi à protéger le droit à une bonne administration consacré à l’article 41 de la charte des droits fondamentaux de l’Union européenne (ci-après, la «charte»). Pour atteindre cet objectif, toutes les autorités chargées de la protection des données devraient, lorsqu’elles appliquent les dispositions du présent règlement, agir de manière impartiale et indépendante et dans le respect de l’état de droit, tel que consacré à l’article 2 du traité sur l’Union européenne.

(2 bis)

Le présent règlement et le chapitre VII du règlement (UE) 2016/679 ne régissent que certains éléments de la procédure de coopération, lorsque les autorités de contrôle de plusieurs États membres participent à la procédure. Le présent règlement ne s’applique pas lorsqu’une partie introduit une réclamation directement auprès d’une autorité de contrôle chef de file dans un autre État membre.

(2 ter)

Le droit procédural de chaque État membre devrait s’appliquer aux autorités de contrôle lorsque le présent règlement n’harmonise pas une question. Certains éléments de procédure, tels que la charge de la preuve horizontale qui incombe au responsable du traitement en vertu de l’article 5, paragraphe 2, du règlement (UE) 2016/679, sont déjà régis par le droit de l’Union. Conformément à la primauté du droit de l’Union, les autorités de contrôle ne devraient pas appliquer le droit procédural national lorsqu’il est contraire au présent règlement et au règlement (UE) 2016/679. La coopération entre les autorités de contrôle ne devrait pas être limitée en raison de différences de droit procédural national. Les autorités de contrôle devraient mettre à profit toutes les possibilités offertes par le droit national applicable pour permettre aux parties d’un autre État membre de participer aux procédures. Il peut s’agir d’une participation à distance par vidéo, d’interprètes ou de moyens de communication généralement disponibles.

(3)

Les réclamations sont une source d’information essentielle pour déceler les violations des règles de protection des données. Il est nécessaire de définir des procédures claires et efficientes pour le traitement des réclamations dans les situations transfrontalières, car une réclamation peut être traitée par une autorité de contrôle différente de celle auprès de laquelle elle a été introduite.

(3)

Les réclamations sont une source d’information essentielle pour déceler les violations des règles de protection des données. Il est nécessaire de définir des procédures claires et efficientes pour le traitement des réclamations dans les situations transfrontalières, car une réclamation peut être traitée par une autorité de contrôle différente de celle auprès de laquelle elle a été introduite. À cette fin, il est recommandé de créer et d’utiliser un mécanisme de communication efficace entre les autorités de contrôle, facilitant l’échange sûr et rapide des informations nécessaires pour apporter une solution aux réclamations conformément aux règles de protection des données.

(4)

Pour être recevable, une réclamation devrait contenir certaines informations précises . En conséquence, pour aider l’auteur de la réclamation à exposer les faits pertinents aux autorités de contrôle, un formulaire de réclamation devrait être fourni. Les informations prévues par ce formulaire ne devraient être requises qu’en cas de traitement transfrontalier au sens du règlement (UE) 2016/679, même si le formulaire peut être utilisé par les autorités de contrôle dans des situations qui ne concernent pas un traitement transfrontalier. Le formulaire peut être présenté par voie électronique ou postale. Une réclamation concernant un traitement transfrontalier ne pourra être qualifiée de réclamation au sens de l’article 77 du règlement (UE) 2016/679 qu’à la condition que soient fournies les informations prévues par ledit formulaire. Aucune autre information ne devrait être exigée pour qu’une réclamation soit jugée recevable. Il devrait être possible pour les autorités de contrôle de faciliter l’introduction de réclamations dans un format électronique convivial et en tenant compte des besoins des personnes handicapées , tant que les informations requises de la part de l’auteur de la réclamation correspondent à celles demandées sur le formulaire et qu’aucune information supplémentaire n’est requise pour que la réclamation soit jugée recevable .

(4)

Pour être recevable, une réclamation devrait contenir certaines informations minimales sur la violation alléguée, que celle-ci soit en cours ou passée. La cessation d’une violation ne devrait pas constituer un motif suffisant pour rejeter une réclamation . En conséquence, pour aider l’auteur de la réclamation à exposer les faits pertinents aux autorités de contrôle, un modèle de réclamation devrait être fourni. Les informations prévues par ce modèle ne devraient être requises qu’en cas de traitement transfrontalier au sens du règlement (UE) 2016/679, même si le modèle peut être utilisé par les autorités de contrôle dans des situations qui ne concernent pas un traitement transfrontalier. L’information peut être présentée par voie électronique ou postale. Aucune autre information ne devrait être exigée pour qu’une réclamation soit jugée recevable. Lorsqu’une réclamation ne satisfait pas aux exigences minimales, l’autorité de contrôle devrait la rejeter et informer l’auteur de la réclamation des informations manquantes. Celui-ci peut alors introduire une nouvelle réclamation, complète cette fois-ci. Si le plaignant ne devrait pas être tenu de contacter la partie faisant l’objet de l’enquête avant de déposer une plainte, il devrait, s’il était en contact avec la partie faisant l’objet de l’enquête avant de déposer la plainte portant sur la même question, transmettre la communication relative à ce contact. Il devrait être possible pour les autorités de contrôle de faciliter l’introduction de réclamations dans un format électronique convivial et en tenant compte des besoins des personnes handicapées.

(5)

Les autorités de contrôle sont tenues de statuer sur les réclamations dans un délai raisonnable. Le caractère raisonnable du délai s’apprécie en fonction des circonstances propres à chaque situation et, en particulier, du contexte de celle-ci, des différentes étapes procédurales que l’autorité de contrôle chef de file doit suivre, du comportement des parties au cours de la procédure et de la complexité de la situation.

(5)

Les autorités de contrôle sont tenues de statuer sur les réclamations dans un délai raisonnable. Le caractère raisonnable du délai s’apprécie en fonction des circonstances propres à chaque situation et, en particulier, du contexte de celle-ci, des différentes étapes procédurales que l’autorité de contrôle chef de file doit suivre, du comportement des parties au cours de la procédure et de la complexité de la situation. L’article 6 de la Convention européenne des droits de l’homme (CEDH) et les articles 41 et 47 de la charte exigent que les procédures aient une durée globale raisonnable. Étant donné que cela inclut les recours juridictionnels au titre de l’article 78 du règlement (UE) 2016/679, les procédures devant les autorités de contrôle ne devraient généralement pas durer plus de neuf mois, sauf circonstances exceptionnelles. Le présent règlement prévoit des prolongations en cas de retards ou de perturbations qui échappent au contrôle de l’autorité de contrôle chef de file. À cette fin, il convient de prévoir un financement et des effectifs suffisants afin de garantir un traitement rapide et efficace des affaires sans compromettre le droit à une bonne administration.

(5 bis)

L’interaction directe entre les autorités de contrôle des États membres et les parties est régie par le droit procédural national, pour autant que le règlement (UE) 2016/679, le présent règlement ou le droit de l’Union ne priment pas. En cas d’interaction indirecte d’une autorité de contrôle chef de file avec une partie par l’intermédiaire d’une autre autorité de contrôle, le droit procédural de cette dernière devrait s’appliquer à toute interaction directe avec la partie. Conformément à l’article 56, paragraphe 6, du règlement (UE) 2016/679, l’auteur d’une réclamation a le droit de communiquer uniquement avec l’autorité de contrôle auprès de laquelle la réclamation a été introduite. Cela n’empêche pas l’auteur de la réclamation de communiquer directement avec une autre autorité de contrôle, y compris l’autorité de contrôle chef de file, ce qui peut être plus efficace.

(5 ter)

Afin de garantir le respect des exigences minimales de procédures équitables et efficaces dans toutes les situations transfrontalières, y compris dans les États membres où il n’existe pas de droit procédural national codifié, le présent règlement fixe des règles directement applicables sur la base de l’article 41 de la charte.

(5 quater)

Il devrait être possible d’appliquer, conformément au droit procédural national applicable à l’autorité de contrôle avec laquelle la partie interagit directement, des limitations strictement nécessaires et proportionnées en ce qui concerne la divulgation ou l’utilisation ultérieure d’informations légalement protégées, telles que les données à caractère personnel ou des secrets d’affaires protégés en vertu de la directive (UE) 2016/943 (1a). Cela pourrait inclure les délibérations internes et la prise de décision de l’autorité. Les mesures les moins intrusives, telles que la limitation de l’utilisation des informations ou le masquage des informations, devraient être appliquées. Les parties devraient toujours être informées que des informations ne leur ont pas été communiquées et pourquoi.

(5 quinquies)

L’autorité de contrôle chef de file gère la situation conformément au présent règlement, au règlement (UE) 2016/679 et à son droit procédural national, tout en coopérant pleinement avec d’autres autorités de contrôle dans un esprit de compréhension commune et de confiance. D’autres autorités de contrôle devraient fournir toute information pertinente et leurs points de vue à l’autorité de contrôle chef de file. L’autorité de contrôle chef de file devrait structurer le dossier avec efficacité et rapidité en tenant pleinement compte des avis des autres autorités de contrôle. Cependant, la procédure devrait être conforme au règlement (UE) 2016/679, notamment en ce qui concerne la structure du règlement des litiges «à guichet unique» et les compétences accordées à l’autorité de contrôle chef de file.

(5 sexies)

Les autorités de contrôle peuvent également engager des procédures supplémentaires, par exemple en cas d’infractions systémiques ou répétées. Toutefois, cela ne doit pas interférer avec les droits des parties.

(5 septies)

Les violations peuvent concerner les droits de plusieurs personnes concernées. Par conséquent, il peut être nécessaire d’utiliser des preuves issues de procédures dans d’autres procédures afin de faciliter une procédure efficace et une prise de décision cohérente. Afin d’évaluer objectivement le préjudice moral indemnisable sur la base de la moyenne des personnes concernées, les tribunaux civils peuvent gagner à s’appuyer sur des éléments de preuve et des faits établis pour trancher une demande en vertu de l’article 82 du règlement (UE) 2016/679.

(5 octies)

Chaque autorité de contrôle devrait indiquer la ou les langues qu’elle accepte pour obtenir des informations envoyées par d’autres autorités de contrôle. Il convient de définir une «langue de coopération» commune supplémentaire que toutes les autorités de contrôle doivent accepter pour les informations entrantes ou sortantes. En cas de recours juridictionnel, l’autorité de contrôle contre laquelle un recours juridictionnel est formé devrait être tenue de traduire tous les documents pertinents dans les langues qui ont été acceptées.

(6)

Chaque réclamation traitée par une autorité de contrôle conformément à l’article 57, paragraphe 1, point f), du règlement (UE) 2016/679 doit être examinée avec toute la diligence requise, dans la mesure nécessaire et en tenant compte du fait que tout usage de ses pouvoirs par l’autorité de contrôle doit être approprié , nécessaire et proportionné en vue de garantir le respect du règlement (UE) 2016/679 . Il revient à chaque autorité compétente de décider de la mesure dans laquelle une réclamation devrait être examinée . Tout en évaluant la mesure nécessaire à une enquête, les autorités de contrôle devraient viser à parvenir à une solution satisfaisante pour l’auteur de la réclamation, ce qui peut ne pas nécessairement exiger un examen exhaustif de tous les éléments juridiques et factuels possibles découlant de la réclamation mais offre à l’auteur de la réclamation une mesure réparatoire effective et rapide. L’appréciation de la mesure appropriée pour les mesures d’enquêtes requises pourrait être fondée sur la gravité de la violation alléguée, la nature systémique ou répétée de celle-ci, ou, s’il y a lieu, le fait que l’auteur de la réclamation a aussi exercé ses droits au titre de l’article 79 du règlement (UE) 2016/679.

(6)

Chaque réclamation traitée par une autorité de contrôle conformément à l’article 57, paragraphe 1, point f), du règlement (UE) 2016/679 doit être examinée avec toute la diligence requise, dans la mesure nécessaire et en tenant compte du fait que tout usage de ses pouvoirs par l’autorité de contrôle doit être efficace , proportionné et dissuasif en vue de garantir le respect du règlement (UE) 2016/679. Tout en évaluant la mesure nécessaire à une enquête, les autorités de contrôle devraient viser à parvenir à une solution satisfaisante pour l’auteur de la réclamation, ce qui requiert un examen de tous les éléments juridiques et factuels pertinents découlant de la réclamation , afin de veiller à ce qu’une décision puisse être prise conjointement et à ce que l’auteur de la réclamation obtienne rapidement une mesure réparatoire effective . Sans préjudice de la nécessité d’apporter une solution satisfaisante à l’auteur de la réclamation dans un bref délai, les autorités de contrôle devraient enquêter jusqu’à un niveau qui leur permette de déterminer si une réclamation est révélatrice de violations plus graves ou systémiques. La planification de la procédure est importante pour garantir un résultat rapide. Les autorités de contrôle ne devraient pas invoquer les droits au titre de l’article 79 du règlement (UE) 2016/679 comme motif de limitation de l’examen d’une réclamation. Afin de garantir le respect de l’article 47 de la charte, le traitement d’une réclamation devrait toujours aboutir à une décision susceptible de recours. À moins qu’une réclamation ne soit retirée, il ne devrait pas être possible de la clôturer ou de classer la procédure sans une décision soumise à un contrôle juridictionnel.

(7)

L’autorité de contrôle chef de file devrait communiquer à l’autorité de contrôle auprès de laquelle la réclamation a été introduite les informations sur l’état d’avancement de l’enquête nécessaires pour tenir l’auteur de la réclamation informé .

(7)

L’autorité de contrôle chef de file devrait fournir aux autorités de contrôle un accès à distance instantané à un dossier commun contenant tous les documents pertinents, y compris l’ensemble des informations internes ou confidentielles ainsi que la traduction de tous les documents dans la langue de coopération. En outre, l’autorité de contrôle chef de file devrait informer activement les autres autorités de contrôle des changements majeurs qui pourraient nécessiter une action imminente ou une attention accrue. Il est également nécessaire de définir des procédures claires et efficaces pour le traitement des réclamations dans les situations transfrontalières, car une réclamation peut être traitée par une autorité de contrôle différente de celle auprès de laquelle elle a été introduite.

(8)

L’autorité de contrôle compétente devrait donner à l’auteur de la réclamation accès aux documents sur la base desquels l’autorité de contrôle a conclu à titre préliminaire au rejet, total ou partiel, de la réclamation .

(8)

L’autorité de contrôle compétente devrait donner aux parties l’accès à distance au dossier commun, mais peut limiter ce droit d’accès dans certaines circonstances. Cet accès devrait permettre l’utilisation d’un recours juridictionnel effectif conformément à l’article 47 de la charte .

(9)

Pour que les autorités de contrôle puissent rapidement mettre fin aux violations du règlement (UE) 2016/679 et apporter une réponse aux auteurs de réclamation, elles devraient s’efforcer, lorsqu’il y a lieu, de trouver une issue amiable aux réclamations. Le fait qu’une réclamation individuelle ait fait l’objet d’un règlement à l’amiable n’empêche pas l’autorité de contrôle compétente d’ouvrir une enquête d’office, par exemple en cas de violations systémiques ou répétées du règlement (UE) 2016/679.

(9)

Pour que les autorités de contrôle puissent rapidement mettre fin aux violations du règlement (UE) 2016/679 et apporter une réponse aux auteurs de réclamation, elles devraient être en mesure de s’efforcer, lorsqu’il y a lieu, de trouver une issue aux réclamations par un accord à l’amiable entre les parties. Les autorités de contrôle ne devraient pas subordonner le traitement d’une réclamation à la participation à un processus de règlement à l’amiable. Le règlement d’une réclamation devrait pouvoir prendre la forme d’un contrat entre les parties en vertu du droit applicable, mais devrait engager les autorités . Le fait qu’une réclamation individuelle ait fait l’objet d’un règlement à l’amiable n’empêche pas l’autorité de contrôle compétente d’ouvrir une enquête d’office, par exemple en cas de violations systémiques ou répétées du règlement (UE) 2016/679. Toutefois, la possibilité d’ouvrir une enquête d’office ne devrait pas être utilisée pour retarder les décisions sur les réclamations.

(10)

Pour garantir le bon fonctionnement des mécanismes de coopération et de contrôle de la cohérence établis au chapitre VII du règlement (UE) 2016/679, il importe que les situations transfrontalières soient traitées en temps opportun et dans l’esprit de coopération loyale et efficace qui sous-tend l’article 60 dudit règlement. L’autorité de contrôle chef de file devrait exercer ses compétences dans le cadre d’une coopération étroite avec les autres autorités de contrôle concernées. De même, les autorités de contrôle concernées devraient participer activement à l’enquête à un stade précoce en s’efforçant de parvenir à un consensus, en faisant pleinement usage des outils mis à disposition par le règlement (UE) 2016/679.

(10)

Pour garantir le bon fonctionnement des mécanismes de coopération et de contrôle de la cohérence établis au chapitre VII du règlement (UE) 2016/679, il importe que les situations transfrontalières soient traitées en temps opportun et dans l’esprit de coopération loyale et efficace qui sous-tend l’article 60 dudit règlement. L’autorité de contrôle chef de file devrait exercer ses compétences dans le cadre d’une coopération étroite avec les autres autorités de contrôle concernées. De même, les autorités de contrôle concernées devraient participer activement à l’enquête à un stade précoce en s’efforçant de parvenir à un consensus, en faisant pleinement usage des outils mis à disposition par le règlement (UE) 2016/679. Cela devrait être conforme au mécanisme de «guichet unique» prévu par le règlement (UE) 2016/679 et garantir, le cas échéant, un traitement non discriminatoire des parties, la sécurité juridique et l’indépendance de l’adoption de décisions par les autorités de contrôle.

(11)

Il est particulièrement important pour les autorités de contrôle de parvenir à un consensus sur les principaux aspects de l’enquête aussi rapidement que possible et avant la communication des allégations aux parties faisant l’objet de l’enquête et l’adoption du projet de décision visé à l’article 60 du règlement (UE) 2016/679, ce qui réduit le nombre de cas soumis au mécanisme de règlement des litiges visé à l’article 65 dudit règlement et, en fin de compte, permet le traitement rapide des situations transfrontalières.

(11)

Il est particulièrement important pour les autorités de contrôle de parvenir à un consensus sur les principaux aspects du dossier via le résumé des points essentiels et les observations sur ledit résumé aussi rapidement que possible et avant l’adoption du projet de décision visé à l’article 60 du règlement (UE) 2016/679, ce qui réduit le nombre de cas soumis au mécanisme de règlement des litiges visé à l’article 65 dudit règlement et, en fin de compte, permet le traitement rapide des situations transfrontalières.

(12)

La coopération entre les autorités de contrôle devrait être basée sur un dialogue ouvert permettant aux autorités de contrôle concernées d’influencer de manière utile le cours de l’enquête en partageant leurs expériences et leurs avis avec l’autorité de contrôle chef de file , en tenant dûment compte de la marge de manœuvre laissée à chaque autorité de contrôle, notamment pour évaluer dans quelle mesure une réclamation devrait faire l’objet d’une enquête, ainsi que des diverses traditions qui existent dans les États membres. Pour ce faire, l’autorité de contrôle chef de file devrait fournir aux autorités de contrôle concernées un résumé des points essentiels dans lequel elle expose son avis préliminaire sur les principales questions soulevées dans l’enquête. Ce résumé devrait être fourni à un stade à la fois suffisamment précoce pour permettre la participation effective des autorités de contrôle concernées et suffisamment avancé pour que l’autorité de contrôle chef de file ait eu le temps de mûrir son avis sur le dossier . Les autorités de contrôle concernées devraient avoir la possibilité de formuler leurs observations sur un large éventail de questions, telles que la portée de l’enquête et l’identification d’appréciations factuelles et juridiques complexes. La portée de l’enquête déterminant les questions qui doivent être examinées par l’autorité de contrôle chef de file, les autorités de contrôle devraient s’efforcer de parvenir le plus tôt possible à un consensus sur celle-ci .

(12)

La coopération entre les autorités de contrôle devrait être basée sur un dialogue ouvert permettant aux autorités de contrôle concernées d’influencer de manière utile le cours de l’enquête en partageant leurs expériences et leurs avis avec l’autorité de contrôle chef de file . L’autorité de contrôle auprès de laquelle une réclamation a été introduite ou qui demande une action d’office peut fournir à l’autorité de contrôle chef de file un résumé des points essentiels dans lequel elle expose son avis préliminaire sur les principales questions soulevées dans l’enquête. L’autorité de contrôle chef de file devrait rédiger le résumé final des points essentiels. Le résumé des points essentiels devrait faire partie du dossier commun, et être un document évolutif mis à jour par l’autorité de contrôle chef de file au cours de la procédure. Ce résumé devrait être fourni à un stade suffisamment précoce pour permettre la participation effective des autorités de contrôle concernées. Les autorités de contrôle concernées devraient avoir la possibilité de formuler leurs observations sur toute mise à jour du résumé des points essentiels . Les autorités de contrôle devraient pouvoir saisir le comité de tout litige. Les autorités de contrôle devraient s’efforcer de parvenir le plus tôt possible à un consensus sur la portée de l’enquête .

(13)

Dans l’intérêt d’une coordination efficace et inclusive entre toutes les autorités de contrôle concernées et l’autorité de contrôle chef de file, les observations des autorités de contrôle concernées devraient être concises et formulées dans des termes suffisamment clairs et précis pour être facilement compréhensibles par toutes les autorités de contrôle. Les arguments juridiques devraient être structurés en fonction de la partie du résumé des points essentiels qu’ils concernent. Les observations des autorités de contrôle concernées peuvent être complétées par des documents supplémentaires. Toutefois, un simple renvoi, dans les observations d’une autorité de contrôle concernée, à des documents supplémentaires ne saurait pallier l’absence des arguments essentiels en droit ou en fait qui devraient figurer dans les observations. Les éléments essentiels de fait et de droit sur lesquels ces documents se fondent devraient ressortir, à tout le moins sommairement, mais d’une façon cohérente et compréhensible, du texte de l’observation elle-même.

(13)

Dans l’intérêt d’une coordination efficace et inclusive entre toutes les autorités de contrôle concernées et l’autorité de contrôle chef de file, tout document soumis par les autorités de contrôle concernées et les parties devrait être concis et formulé dans des termes suffisamment clairs et précis pour être facilement compréhensible par toutes les autorités de contrôle. Les autorités de contrôle peuvent donc limiter la longueur des documents soumis par les parties. Les arguments juridiques devraient être structurés en fonction de la partie du résumé des points essentiels qu’ils concernent.

(14)

Les cas ne soulevant pas de problème litigieux ne nécessitent pas de discussions approfondies entre les autorités de contrôle pour parvenir à un consensus et pourraient, de ce fait, être traités plus rapidement. Lorsqu’aucune des autorités de contrôle concernées ne formule d’observations sur le résumé des points essentiels, l’autorité de contrôle chef de file devrait communiquer les conclusions préliminaires visées à l’article 14 dans un délai maximal de neuf mois.

(14)

Les cas ne soulevant pas de problème litigieux (affaires non contentieuses) ne nécessitent pas de discussions approfondies entre les autorités de contrôle pour parvenir à un consensus et pourraient, de ce fait, être traités plus rapidement. Lorsqu’aucune des autorités de contrôle concernées ne formule d’observations sur le résumé des points essentiels, l’autorité de contrôle chef de file devrait communiquer le projet de décision dans un délai maximal de trois mois à compter de la réception de la réclamation .

(15)

Les autorités de contrôle devraient utiliser tous les moyens nécessaires pour parvenir à un consensus dans un esprit de coopération loyale et effective. En conséquence, en cas de divergence d’opinions entre les autorités de contrôle concernées et l’autorité de contrôle chef de file concernant la portée d’une enquête menée sur la base d’une réclamation , notamment les dispositions du règlement (UE) 2016/679 dont la violation fera l’objet d’une enquête ou si les observations des autorités de contrôle concernées ont trait à une modification importante dans l’appréciation juridique ou technologique complexe, l’autorité concernée devrait utiliser tous les outils prévus aux articles 61 et 62 du règlement (UE) 2016/679 .

(15)

Les autorités de contrôle devraient utiliser tous les moyens nécessaires pour parvenir à un consensus dans un esprit de coopération loyale et effective. En conséquence, en cas de divergence d’opinions entre les autorités de contrôle concernées et l’autorité de contrôle chef de file concernant la portée ou des points de procédure d’un dossier , les autorités de contrôle devraient saisir rapidement le comité de la question. Le comité devrait prendre les décisions procédurales nécessaires. Le comité et les autorités de contrôle devraient s’efforcer de mener à bien les procédures en cours dans les meilleurs délais. L’autorité de contrôle chef de file ou l’une des autorités de contrôle concernées devrait également être en mesure de demander au comité une décision contraignante d’urgence sans qu’une demande ait été introduite au titre de l’article 61 ou 62 .

(16)

Si l’utilisation de ces outils ne permet pas aux autorités de contrôle de parvenir à un consensus sur la portée d’une enquête menée sur la base d’une réclamation, l’autorité de contrôle chef de file devrait demander au comité une décision contraignante d’urgence au titre de l’article 66, paragraphe 3, du règlement (UE) 2016/679. Pour ce faire, les circonstances permettant de considérer qu’il est urgent d’intervenir devraient être réputées réunies. L’autorité de contrôle chef de file devrait tirer des conclusions appropriées de la décision contraignante d’urgence du comité aux fins de l’établissement des conclusions préliminaires. La décision contraignante d’urgence adoptée par le comité ne saurait préjuger du résultat de l’enquête de l’autorité de contrôle chef de file ni de l’effectivité des droits des parties faisant l’objet de l’enquête d’être entendues. Plus précisément, le comité ne devrait pas étendre la portée de l’enquête de sa propre initiative.

(17)

Afin de permettre à l’auteur de la réclamation d’exercer son droit à un recours juridictionnel effectif au titre de l’article 78 du règlement (UE) 2016/679, l’autorité de contrôle qui rejette une réclamation , en tout ou en partie, devrait le faire au moyen d’une décision susceptible d’être contestée devant une juridiction nationale.

(17)

Afin de permettre à l’auteur de la réclamation d’exercer son droit à un recours juridictionnel effectif au titre de l’article 78 du règlement (UE) 2016/679, le traitement de toute réclamation devrait toujours donner lieu à une décision susceptible d’être contestée devant une juridiction nationale.

(18)

L’auteur de la réclamation devrait avoir la possibilité de faire connaître son point de vue avant que ne soit prise une décision qui ne lui est pas favorable. En conséquence, en cas de rejet total ou partiel d’une réclamation dans une situation transfrontalière, l’auteur de la réclamation devrait avoir la possibilité de faire connaître son point de vue avant la présentation d’un projet de décision au titre de l’article 60, paragraphe 3, du règlement (UE) 2016/679, d’un projet de décision révisé au titre de l’article 60, paragraphe 4, du règlement (UE) 2016/679 ou d’une décision contraignante du comité au titre de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679. L’auteur de la réclamation peut demander l’accès à la version non confidentielle des documents sur lesquels se fonde la décision de rejet total ou partiel de la réclamation.

(19)

Il est nécessaire de clarifier la répartition des responsabilités entre l’autorité de contrôle chef de file et l’autorité de contrôle auprès de laquelle la réclamation a été introduite en cas de rejet d’une réclamation dans une situation transfrontalière. En tant que point de contact de l’auteur de la réclamation au cours de l’enquête, l’autorité de contrôle auprès de laquelle la réclamation a été introduite devrait recueillir l’avis de l’auteur de la réclamation sur le rejet proposé de celle-ci et être chargée de toutes les communications avec ce dernier. Toutes ces communications devraient être partagées avec l’autorité de contrôle chef de file. Étant donné que, en vertu de l’article 60, paragraphe 8 et 9, du règlement (UE) 2016/679, l’autorité de contrôle auprès de laquelle la réclamation a été introduite est chargée d’adopter la décision finale rejetant la réclamation, cette autorité de contrôle devrait également être chargée d’élaborer le projet de décision en vertu de l’article 60, paragraphe 3, du règlement (UE) 2016/679.

(19)

Il est nécessaire de clarifier la répartition des responsabilités entre l’autorité de contrôle chef de file et l’autorité de contrôle auprès de laquelle la réclamation a été introduite en cas de rejet d’une réclamation dans une situation transfrontalière. En tant que point de contact de l’auteur de la réclamation au cours de l’enquête, l’autorité de contrôle auprès de laquelle la réclamation a été introduite devrait être chargée de toutes les communications avec ce dernier. Toutes ces communications devraient être partagées avec l’autorité de contrôle chef de file. Étant donné que, en vertu de l’article 60, paragraphes 8 et 9, du règlement (UE) 2016/679, l’autorité de contrôle auprès de laquelle la réclamation a été introduite est chargée d’adopter la décision finale rejetant la réclamation et qui doit être conforme à son droit procédural national , cette autorité de contrôle devrait également être associée par l’autorité de contrôle chef de file à l’élaboration du projet de décision en vertu de l’article 60, paragraphe 3, du règlement (UE) 2016/679 et à l’élaboration de toute décision finale au titre de l’article 60, paragraphes 7 à 9, dudit règlement .

(21)

Afin de garantir effectivement le droit à une bonne administration et les droits de la défense consacrés par la charte des droits fondamentaux de l’Union européenne (ci-après la «charte») , y compris le droit de chacun à être entendu avant que soit prise toute mesure individuelle susceptible de lui porter atteinte, il importe de prévoir des règles claires concernant l’exercice de ce droit.

(21)

Afin de garantir effectivement le droit à une bonne administration et les droits de la défense consacrés par la charte, y compris le droit de chacun à être entendu avant que soit prise toute mesure individuelle susceptible de lui porter atteinte, il importe de prévoir des règles claires concernant l’exercice de ce droit pour toutes les parties concernées . Chaque partie devrait avoir le droit de renoncer au droit d’être entendue.

(22)

Les règles relatives à la procédure administrative appliquées par les autorités de contrôle pour assurer l’exécution du règlement (UE) 2016/679 devraient garantir que les parties faisant l’objet de l’enquête ont effectivement la possibilité de faire connaître leur point de vue sur la réalité et la pertinence des faits, objections et circonstances invoqués par l’autorité de contrôle tout au long de la procédure, leur permettant ainsi d’exercer leurs droits de la défense. Les conclusions préliminaires exposent la position préliminaire sur la violation alléguée du règlement (UE) 2016/679 à la suite de l’enquête. Elles constituent de ce fait une garantie procédurale fondamentale qui permet le respect du droit d’être entendu. Les parties faisant l’objet de l’enquête devraient recevoir les documents nécessaires pour se défendre efficacement et faire part de leurs observations sur les allégations formulées à leur encontre , en ayant accès au dossier administratif.

(22)

Les règles relatives à la procédure administrative appliquées par les autorités de contrôle pour assurer l’exécution du règlement (UE) 2016/679 devraient garantir que les parties ont effectivement le droit d’être entendues et la possibilité de faire connaître leur point de vue sur la réalité et la pertinence des faits, objections et circonstances invoqués par l’autorité de contrôle tout au long de la procédure, leur permettant ainsi d’exercer leurs droits de la défense. Les conclusions préliminaires exposent la position préliminaire sur la violation alléguée du règlement (UE) 2016/679 à la suite de l’enquête. Elles constituent de ce fait une garantie procédurale fondamentale qui permet le respect du droit d’être entendu. Les parties devraient recevoir tous les documents nécessaires pour faire part effectivement de leurs observations sur les questions pertinentes pour l’enquête , en ayant accès au dossier administratif commun .

(23)

Les conclusions préliminaires définissent la portée de l’enquête et donc la portée de toute décision finale future [le cas échéant, prise sur la base d’une décision contraignante rendue par le comité en vertu de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679] qui peut être adressée aux responsables du traitement ou aux sous-traitants. Elles devraient être rédigées en des termes qui, même succincts, sont suffisamment clairs pour permettre aux parties faisant l’objet de l’enquête d’identifier correctement la nature de la violation alléguée du règlement (UE) 2016/679. L’obligation de fournir aux parties faisant l’objet de l’enquête tous les éléments d’information nécessaires pour leur permettre de se défendre correctement est satisfaite si la décision finale ne fait pas grief aux parties faisant l’objet de l’enquête d’avoir commis des infractions autres que celles mentionnées dans les conclusions préliminaires et ne prend en considération que les faits sur lesquels les parties faisant l’objet de l’enquête ont eu l’occasion de faire connaître leur point de vue. La décision finale de l’autorité de contrôle chef de file ne doit toutefois pas nécessairement être une copie des constatations préliminaires. L’autorité de contrôle chef de file devrait être autorisée, dans la décision finale, à tenir compte des réponses des parties faisant l’objet de l’enquête aux conclusions préliminaires et, le cas échéant, au projet de décision révisé relevant de l’article 60, paragraphe 5, du règlement (UE) 2016/679 et à la décision de règlement du litige entre les autorités de contrôle adoptée en vertu de l’article 65, paragraphe 1, point a). L’autorité de contrôle chef de file devrait pouvoir procéder à sa propre appréciation des faits et des qualifications juridiques avancés par les parties faisant l’objet de l’enquête , soit pour abandonner les objections formulées lorsque l’autorité de contrôle les juge infondés, soit pour compléter et reformuler ses arguments, tant en fait qu’en droit, à l’appui des objections qu’elle maintient. Par exemple, la prise en compte d’un argument avancé par une partie faisant l’objet d’une enquête au cours de la procédure administrative, sans qu’elle ait eu la possibilité de s’exprimer à cet égard avant l’adoption de la décision finale, ne saurait constituer en soi une violation des droits de la défense.

(23)

Les conclusions préliminaires devraient être rédigées en des termes qui, même succincts, sont suffisamment clairs pour permettre aux parties d’identifier correctement la nature de la violation alléguée du règlement (UE) 2016/679. L’obligation de fournir aux parties tous les éléments d’information nécessaires pour leur permettre de se faire entendre est satisfaite si la décision finale ne prend en considération que les faits sur lesquels les parties ont eu l’occasion de faire connaître leur point de vue. La décision finale de l’autorité de contrôle chef de file ne doit toutefois pas nécessairement être une copie des constatations préliminaires. L’autorité de contrôle chef de file devrait être autorisée, dans la décision finale, à tenir compte des réponses des parties aux conclusions préliminaires et, le cas échéant, au projet de décision révisé relevant de l’article 60, paragraphe 5, du règlement(UE) 2016/679 et à la décision du comité réglant le litige entre les autorités de contrôle en vertu de l’article 65, paragraphe 1, point a) , dudit règlement . L’autorité de contrôle chef de file devrait pouvoir procéder à sa propre appréciation des faits et des qualifications juridiques avancés par les parties, soit pour abandonner les objections formulées lorsque l’autorité de contrôle les juge infondés, soit pour compléter et reformuler ses arguments, tant en fait qu’en droit, à l’appui des objections qu’elle maintient.

(24)

Les parties faisant l’objet de l’enquête devraient avoir le droit d’être entendues avant la présentation d’un projet de décision révisé en vertu de l’article 60, paragraphe 5, du règlement (UE) 2016/679 ou l’adoption d’une décision contraignante par le comité en vertu de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679.

(24)

Les parties devraient avoir le droit d’être entendues aux étapes appropriées de la procédure, en particulier avant la présentation d’un projet de décision révisé en vertu de l’article 60, paragraphe 5, du règlement (UE) 2016/679 ou l’adoption d’une décision contraignante par le comité en vertu de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679.

(25)

L’auteur de la réclamation devrait avoir la possibilité d’être associé à la procédure engagée par une autorité de contrôle en vue de définir ou de clarifier les questions relatives à une violation potentielle du règlement (UE) 2016/679. Le fait qu’une autorité de contrôle ait déjà ouvert une enquête concernant l’objet de la réclamation ou qu’elle traitera celle-ci dans le cadre d’une enquête menée d’office postérieure à la réception de la réclamation ne fait pas obstacle à la qualification d’une personne concernée en tant qu’auteur de la réclamation. Toutefois, une enquête menée par une autorité de contrôle sur une éventuelle violation du règlement (UE) 2016/679 par un responsable du traitement ou un sous-traitant ne constitue pas une procédure contradictoire entre l’auteur de la réclamation et les parties faisant l’objet de l’enquête. Il s’agit d’une procédure engagée par une autorité de contrôle, de sa propre initiative ou sur la base d’une réclamation, dans l’accomplissement des tâches qui lui incombent en vertu de l’article 57, paragraphe 1, du règlement (UE) 2016/679. Les parties faisant l’objet de l’enquête et l’auteur de la réclamation ne se trouvent donc pas dans la même situation procédurale et ce dernier ne peut invoquer le droit à un procès équitable lorsque la décision ne porte pas atteinte à sa situation juridique. La participation de l’auteur de la réclamation à la procédure à l’encontre des parties faisant l’objet de l’enquête ne saurait compromettre le droit de ces parties d’être entendues.

(25)

L’auteur de la réclamation devrait avoir la possibilité d’être associé à la procédure engagée par une autorité de contrôle en vue de définir ou de clarifier les questions relatives à une violation potentielle du règlement (UE) 2016/679. Le fait qu’une autorité de contrôle ait déjà ouvert une enquête concernant l’objet de la réclamation ou qu’elle traitera celle-ci dans le cadre d’une enquête menée d’office postérieure à la réception de la réclamation ne fait pas obstacle à la qualification d’une personne concernée en tant qu’auteur de la réclamation.

(25 bis)

Même si les parties faisant l’objet de l’enquête et l’auteur de la réclamation ne se trouvent pas dans la même situation procédurale, il existe des circonstances dans lesquelles les auteurs de réclamation peuvent être en mesure de présenter, au cours d’une enquête, des arguments et des éléments de preuve qui peuvent contribuer à la progression de celle-ci. C’est notamment le cas lorsqu’un organisme, une organisation ou une association à but non lucratif a introduit une réclamation au nom d’une personne concernée ou de sa propre initiative en vertu de l’article 80 du règlement (UE) 2016/679. Les autorités de contrôle devraient faciliter l’audition de ces auteurs de réclamation à tous les stades de l’enquête, y compris les enquêtes d’office, tout en préservant leur indépendance.

(26)

L’auteur de la réclamation devrait avoir la possibilité de présenter par écrit son point de vue sur les conclusions préliminaires. Cependant, il ne devrait pas avoir accès aux secrets d’affaires ou autres informations confidentielles appartenant à d’autres parties associées à la procédure. L’auteur de la réclamation ne devrait pas avoir le droit d’avoir un accès généralisé au dossier administratif.

(27)

Lorsqu’elles fixent des délais dans lesquels les parties faisant l’objet de l’enquête et l’auteur de la réclamation peuvent faire connaître leur point de vue sur les conclusions préliminaires, les autorités de contrôle devraient tenir compte de la complexité des questions soulevées dans les conclusions préliminaires, afin de veiller à ce que les parties faisant l’objet de l’enquête et l’auteur de la réclamation aient suffisamment l’occasion de faire connaître utilement leur point de vue sur les questions soulevées.

(27)

Lorsqu’elles fixent des délais dans lesquels les parties peuvent faire connaître leur point de vue sur les conclusions préliminaires et limitent la longueur des documents à soumettre , les autorités de contrôle devraient tenir compte de la complexité des questions soulevées dans les conclusions préliminaires, ainsi que de la capacité de réponse des parties faisant l’objet de l’enquête et de l’auteur de la réclamation , afin de veiller à ce que les parties aient suffisamment l’occasion de faire connaître utilement leur point de vue sur les questions soulevées. Cela ne saurait cependant pas rallonger indûment les procédures.

(28)

L’échange de vues préalable à l’adoption d’un projet de décision implique un dialogue ouvert et un échange de vues approfondi au cours desquels les autorités de contrôle devraient tout mettre en œuvre pour trouver un consensus sur la voie à suivre dans le cadre d’une enquête. À l’inverse, le désaccord exprimé dans des objections pertinentes et motivées au titre de l’article 60, paragraphe 4, du règlement (UE) 2016/679, qui augmentent la possibilité de recourir à un règlement de litige entre autorités de contrôle au titre de l’article 65 du règlement (UE) 2016/679 et retardent l’adoption d’une décision finale par l’autorité de contrôle compétente, devrait avoir lieu dans le cas exceptionnel où les autorités de contrôle ne parviennent pas à un consensus et, si nécessaire, pour garantir une interprétation cohérente du règlement (UE) 2016/679. Ces objections devraient être utilisées avec parcimonie, lorsque des questions relatives à une application cohérente du règlement (UE) 2016/679 sont en jeu, étant donné que tout recours aux objections pertinentes et motivées retarde l’adoption d’une mesure réparatoire pour la personne concernée. La portée de l’enquête et les faits pertinents devant être déterminés avant la communication des conclusions préliminaires, ces points ne devraient pas être soulevés par les autorités de contrôle concernées dans des objections pertinentes et motivées. Ils pourraient toutefois être soulevés par les autorités de contrôle concernées dans les observations qu’elles peuvent formuler sur le résumé des points essentiels en vertu de l’article 9, paragraphe 3, avant la communication des conclusions préliminaires aux parties faisant l’objet de l’enquête.

(29)

Dans l’intérêt d’un achèvement efficace et inclusif de la procédure de règlement des litiges, dans le cadre de laquelle toutes les autorités de contrôle devraient être en mesure de faire connaître leur point de vue, et compte tenu des contraintes de temps liées au règlement des litiges, la forme et la structure des objections pertinentes et motivées devraient satisfaire à certaines exigences. Par conséquent, les objections pertinentes et motivées devraient être d’une longueur limitée, devraient clairement identifier le désaccord avec le projet de décision et devraient être formulées dans des termes suffisamment clairs, cohérents et précis.

(29)

Dans l’intérêt d’un achèvement efficace et inclusif de la procédure de règlement des litiges, dans le cadre de laquelle toutes les autorités de contrôle devraient être en mesure de faire connaître leur point de vue, et compte tenu des contraintes de temps liées au règlement des litiges, la forme et la structure des objections pertinentes et motivées devraient satisfaire à certaines exigences. Par conséquent, les objections pertinentes et motivées devraient clairement identifier le désaccord avec le projet de décision et devraient être formulées dans des termes suffisamment clairs, cohérents et précis.

(30)

L’accès au dossier administratif est prévu dans le cadre des droits de la défense et du droit à une bonne administration consacrés par la charte. Il conviendrait d’accorder l’accès au dossier administratif aux parties faisant l’objet de l’enquête lorsqu’elles sont informées des conclusions préliminaires et de fixer le délai dans lequel elles peuvent soumettre leur réponse écrite aux conclusions préliminaires .

(30)

L’accès au dossier commun peut être prévu au nom du droit à une bonne administration consacré par la charte. Il conviendrait d’accorder aux parties l’accès au dossier commun. L’accès des parties au dossier commun peut être limité à la demande d’une partie afin de protéger ses droits légalement reconnus ou les droits d’autrui, ou dans l’intérêt public . Une telle limitation doit être proportionnée à la lumière des droits respectifs reconnus à autrui ou de l’intérêt public poursuivi.

(31)

Lorsqu’elles accordent l’accès au dossier administratif , les autorités de contrôle devraient garantir la protection des secrets d’affaires et d’autres informations confidentielles. La catégorie des «autres informations confidentielles» comprend les informations autres que les secrets d’affaires, qui peuvent être considérées comme confidentielles dans la mesure où leur divulgation porterait gravement préjudice à un responsable du traitement, à un sous-traitant ou à une personne physique. Les autorités de contrôle devraient pouvoir demander aux parties faisant l’objet de l’enquête qui présentent ou ont présenté des documents ou des déclarations d’identifier les informations confidentielles qui y figurent.

(31)

Lorsqu’elles accordent l’accès au dossier commun , les autorités de contrôle devraient garantir la protection des secrets d’affaires et d’autres informations confidentielles protégées par la loi, ainsi que la protection des informations dans l’intérêt du public, conformément au droit national applicable . La catégorie des «autres informations confidentielles» comprend les informations autres que les secrets d’affaires, qui peuvent être considérées comme confidentielles dans la mesure où leur divulgation porterait gravement préjudice à un responsable du traitement, à un sous-traitant ou à une personne physique ou morale . Les autorités de contrôle devraient pouvoir demander aux parties faisant l’objet de l’enquête qui présentent ou ont présenté des documents ou des déclarations d’identifier les informations confidentielles qui y figurent et d’en fournir une version non confidentielle .

(33)

Lorsqu’elle transmet une question au mécanisme de règlement des litiges en vertu de l’article 65 du règlement (UE) 2016/679, l’autorité de contrôle chef de file devrait fournir au comité toutes les informations nécessaires pour lui permettre d’apprécier la recevabilité des objections pertinentes et motivées et de prendre la décision prévue à l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679. Une fois que le comité a reçu tous les documents nécessaires énumérés à l’article 23 , son président devrait enregistrer la transmission de la question au sens de l’article 65, paragraphe 2, du règlement (UE) 2016/679.

(33)

Lorsqu’elle transmet une question au mécanisme de règlement des litiges en vertu de l’article 65 du règlement (UE) 2016/679, l’autorité de contrôle chef de file devrait fournir au comité toutes les informations nécessaires pour lui permettre d’apprécier la recevabilité des objections pertinentes et motivées et de prendre la décision prévue à l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679. Une fois que le comité a reçu tous les documents nécessaires, il devrait enregistrer la transmission de la question conformément à l’article 65, paragraphe 2, du règlement(UE) 2016/679.

(34)

La décision contraignante du comité au titre de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679 devrait porter exclusivement sur les questions qui ont conduit au déclenchement de la procédure de règlement des litiges et être rédigée de manière à permettre à l’autorité de contrôle chef de file d’adopter sa décision finale sur la base de la décision du comité tout en conservant son pouvoir discrétionnaire .

(34)

La décision contraignante du comité au titre de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679 devrait porter exclusivement sur les questions qui ont conduit au déclenchement de la procédure de règlement des litiges et être rédigée dans un langage clair et précis, permettant à l’autorité de contrôle chef de file d’adopter sa décision finale sur la base de la décision du comité.

(36)

Afin de rationaliser la procédure d’adoption des avis d’urgence et des décisions contraignantes d’urgence du comité au titre de l’article 66, paragraphe 2, du règlement (UE) 2016/679, il est nécessaire de préciser les règles de procédure concernant le délai de présentation de la demande d’avis d’urgence ou de décision contraignante d’urgence, les documents à soumettre au comité et sur lesquels ce dernier devrait fonder sa décision, les destinataires auxquels l’avis ou la décision du comité devrait être adressé, et les conséquences de l’avis ou de la décision du comité.

(36)

Afin de rationaliser la procédure d’adoption des avis d’urgence et des décisions contraignantes d’urgence du comité au titre de l’article 66, paragraphe 2, du règlement (UE) 2016/679, il est nécessaire de préciser les règles de procédure concernant le délai de présentation de la demande d’avis d’urgence ou de décision contraignante d’urgence, les documents à soumettre au comité et sur lesquels ce dernier devrait fonder sa décision, les destinataires auxquels l’avis ou la décision du comité devrait être adressé, et les conséquences de l’avis ou de la décision du comité. Les mesures provisoires visées à l’article 66, paragraphe 1, du règlement (UE) 2016/679 devraient inclure toutes les mesures possibles relevant des pouvoirs des autorités de contrôle, conformément à l’article 58 dudit règlement.

(36 bis)

Le comité devrait pouvoir demander aux autorités de contrôle toute information supplémentaire nécessaire à l’adoption d’une décision contraignante.

(36 ter)

L’auteur d’une réclamation devrait avoir droit à un recours juridictionnel dans le cas où une autorité de contrôle n’exerce pas ses pouvoirs ou ne prend pas les mesures nécessaires requises par le règlement (UE) 2016/679. En outre, les parties devraient avoir le droit de prendre des mesures contre l’autorité de contrôle chef de file en cas d’inaction ou de procédures trop longues. Afin de garantir qu’il n’y ait pas de lacune en matière d’application de la législation, les parties et les organisations visées à l’article 80, paragraphe 1, du règlement (UE) 2016/679 devraient être habilitées à former un recours juridictionnel dans l’intérêt public si une autorité de contrôle ne se conforme pas à une décision du comité, et si elles considèrent que les droits d’une personne concernée prévus dans le règlement (UE) 2016/679 ont été violés du fait du traitement.

(38)

Le Contrôleur européen de la protection des données et le comité européen de la protection des données ont été consultés conformément à l’article 42, paragraphe 2, du règlement (UE) 2018/1725 et ont rendu un avis conjoint le [...] ,

(38)

Le Contrôleur européen de la protection des données et le comité européen de la protection des données ont été consultés conformément à l’article 42, paragraphe 2, du règlement (UE) 2018/1725 et ont rendu un avis conjoint le 19 septembre 2023 ,

1)

«parties faisant l’objet de l’enquête»: le ou les responsables du traitement et/ou le ou les sous-traitants faisant l’objet d’une enquête pour violation alléguée du règlement (UE) 2016/679 dans le contexte d’un traitement transfrontalier ;

1)

«partie faisant l’objet de l’enquête»: le ou les responsables du traitement et/ou le ou les sous-traitants faisant l’objet d’une réclamation ou d’une enquête pour violation alléguée du règlement (UE) 2016/679 , ainsi que leur(s) représentant(s) ;

1 bis)

«auteur de la réclamation»: la personne concernée ou l’organisme, l’organisation ou l’association sans but lucratif qui a introduit une réclamation en vertu de l’article 77 du règlement (UE) 2016/679 et qui est donc considéré(e) comme une partie à la procédure;

1 ter)

«partie»: la partie ou les parties faisant l’objet de l’enquête, l’auteur ou les auteurs de la réclamation et tout tiers concerné par la procédure selon la définition qu’en donne le droit national;

1 quater)

«droit procédural national»: les dispositions législatives, réglementaires et administratives de l’État membre qui régissent la procédure devant une autorité de contrôle;

1 quinquies)

«procédure de réclamation»: une procédure déterminant l’issue d’une réclamation au titre de l’article 77 du règlement (UE) 2016/679;

1 sexies)

«procédure d’office»: une enquête sur les activités d’une personne physique ou morale, d’une autorité publique, d’une agence ou d’un autre organe engagée à l’initiative d’une autorité de contrôle en vertu de l’article 57, paragraphe 1, point a), du règlement (UE) 2016/679;

1 septies)

«dossier commun»: un dossier électronique spécifique pour tout cas relevant du champ d’application du présent règlement, géré par l’autorité de contrôle chef de file et dans lequel toutes les informations pertinentes, notamment les documents, les informations, les notes et autres concernant un cas, sont stockés et rendus accessibles à distance aux autorités de contrôle concernées et aux parties;

1 octies)

«autorité destinataire de la réclamation»: l’autorité de contrôle auprès de laquelle la réclamation a été introduite conformément à l’article 4, paragraphe 22, point c), du règlement (UE) 2016/679;

2)

«résumé des points essentiels»: le résumé que l’autorité de contrôle chef de file doit fournir aux autorités de contrôle concernées, exposant les principaux faits pertinents et l’avis de l’autorité de contrôle chef de file sur le cas;

2)

«résumé des points essentiels»: le résumé que l’autorité de contrôle chef de file doit fournir aux autorités de contrôle concernées, exposant les principales questions factuelles et juridiques pertinentes incluses dans la portée préliminaire de l’enquête et l’avis factuel et juridique de l’autorité de contrôle chef de file sur le cas;

3)

«conclusions préliminaires»: le document fourni par l’autorité de contrôle chef de file aux parties faisant l’objet de l’enquête, exposant les allégations, les faits pertinents, les preuves à l’appui, l’analyse juridique et, s’il y a lieu, les mesures correctrices proposées; «objections jugées pertinentes et motivées»:

3)

«conclusions préliminaires»: le document fourni par l’autorité de contrôle chef de file aux parties exposant les allégations, les faits pertinents, les preuves à l’appui, l’analyse juridique et, s’il y a lieu, les mesures correctrices proposées; «objections jugées pertinentes et motivées»:

4 bis)

«version confidentielle d’un document»: un document contenant des informations confidentielles ou sensibles qui peuvent faire l’objet d’une protection juridique contre la divulgation en vertu du droit ou des règles en matière de protection des données nationaux ou de l’Union applicables;

4 ter)

«version non confidentielle d’un document»: une version d’un document dont les informations confidentielles ou sensibles ont été expurgées et qui peut être fournie à l’auteur de la réclamation sans enfreindre les lois ou les règles en matière de protection des données nationales ou de l’Union.

a)

de voir leur cas traité impartialement et équitablement, et d’être traitées de la même manière, même si elles relèvent d’autorités de contrôle différentes dans des territoires différents («procédure équitable»);

b)

d’être entendues avant que soit prise toute mesure qui leur ferait grief, y compris avant l’adoption de la décision de retenir ou de rejeter totalement ou partiellement une réclamation («droit d’être entendu»);

c)

d’avoir accès au dossier commun, à l’exception de toute délibération interne de l’autorité de contrôle ou délibération entre ces autorités («transparence procédurale»).

a)

détermine, à titre préliminaire, si la réclamation concerne un traitement transfrontalier de données à caractère personnel de l’auteur de la réclamation, en tenant compte au moins des éléments suivants:

i)

le responsable du traitement ou sous-traitant concerné pour le traitement en cause;

ii)

le nombre d’établissements du responsable du traitement ou du sous-traitant dans l’Union;

iii)

le lieu de l’établissement principal;

iv)

les activités des établissements situés dans plus d’un État membre;

v)

l’incidence substantielle ou l’incidence substantielle probable sur les personnes concernées dans plus d’un État membre.

b)

détermine quelle autorité de contrôle est l’autorité de contrôle chef de file présumée en vertu de l’article 56, paragraphe 1, du règlement (UE) 2016/679 et si le cas est de nature locale au sens de l’article 56, paragraphe 2, du règlement (UE) 2016/679;

c)

prend l’une des mesures suivantes:

i)

transmet la réclamation à l’autorité de contrôle chef de file présumée en vertu de l’article 56, paragraphe 1, du règlement (UE) 2016/679 et en informe l’auteur de la réclamation. L’évaluation de la recevabilité de la réclamation, effectuée par l’autorité de contrôle auprès de laquelle la réclamation a été introduite, est contraignante pour l’autorité de contrôle chef de file; ou

ii)

traite la réclamation au titre de l’article 56, paragraphe 2, du règlement (UE) 2016/679.

II

Introduction et traitement des réclamations

II

Réclamations et procédures d’office

a)

l’opportunité d’offrir une mesure réparatoire effective et en temps utile à l’auteur de la réclamation;

a)

soit offerte à l’auteur de la réclamation une mesure réparatoire effective et en temps utile;

b)

la gravité de la violation alléguée ;

b)

soit réalisé l’examen des éléments de fait et de droit pertinents nécessaires pour statuer conjointement sur la réclamation et rendre une décision au titre de l’article 60, paragraphes 7, 8 et 9, du règlement (UE) 2016/679 ;

c)

la nature systémique ou répétitive de la violation alléguée .

c)

soit réalisé l’examen de tout autre élément nécessaire à l’application efficace du règlement (UE) 2016/679, y compris l’exercice d’office des pouvoirs en vertu de l’article 58, paragraphe 2, de l’article 83 ou de l’article 84 du règlement (UE) 2016/679, en particulier en cas de violations systémiques, graves ou répétées .

a)

de huit semaines lorsque des observations au titre de l’article 9, paragraphe 3, sont présentées en ce qui concerne un résumé des points essentiels ou un résumé actualisé des points essentiels;

b)

de huit semaines lorsque l’autorité de contrôle chef de file a l’intention d’infliger des amendes ou d’autres sanctions;

c)

du délai entre une demande au titre de l’article 26 bis, paragraphes 1 ou 2, et la décision du comité;

d)

de la durée de toute prolongation autorisée par le comité en vertu de l’article 26 bis, paragraphe 3.

a)

si les conditions d’un règlement à l’amiable au titre du paragraphe 1 bis sont remplies, et

b)

si une enquête d’office doit être ouverte en vertu du paragraphe 1 ter.

a)

la partie faisant l’objet de l’enquête est récidiviste;

b)

la partie faisant l’objet de l’enquête a conclu un grand nombre d’autres règlements à l’amiable;

c)

l’objet général de la réclamation porte sur un grand nombre de personnes concernées autres que l’auteur de la réclamation, s’étend sur une longue période ou présente un caractère grave; ou

d)

l’exercice des pouvoirs est nécessaire pour assurer une mise en œuvre efficace, proportionnée et dissuasive du règlement (UE) 2016/679.

a)

une déclaration indiquant qu’il s’agit d’une autorité de contrôle concernée, et

b)

un résumé des points essentiels conformément à l’article 9.

a)

informe l’autorité de contrôle concernée qu’elle a ouvert une procédure d’office;

b)

informe l’autorité de contrôle concernée que l’article 56, paragraphe 2, du règlement (UE) 2016/679 s’applique à l’affaire en question et que, conformément à l’article 56, paragraphe 3, dudit règlement, elle n’a pas l’intention de traiter elle-même l’affaire; ou

c)

rejette la demande si elle estime qu’elle n’est pas l’autorité de contrôle chef de file ou qu’il n’y a à première vue pas de violation du règlement (UE) 2016/679.

a)

de huit semaines lorsque des observations au titre de l’article 9, paragraphe 3, sont présentées contre un résumé des points essentiels ou un résumé actualisé des points essentiels;

b)

de huit semaines lorsque l’autorité de contrôle chef de file a l’intention d’infliger des amendes ou d’autres sanctions;

c)

du délai entre une demande au titre de l’article 26 bis et la décision du comité;

d)

de la durée de toute prolongation autorisée par le comité en vertu de l’article 26 bis, paragraphe 3.

a)

la traduction de la réclamation et du point de vue de l’auteur de la réclamation dans la langue employée par l’autorité de contrôle chef de file aux fins de l’enquête;

b)

la traduction des documents fournis par l’autorité de contrôle chef de file dans la langue employée pour la communication avec l’auteur de la réclamation, lorsqu’il est nécessaire de lui fournir ces documents conformément au présent règlement ou au règlement (UE) 2016/679.

a)

des informations sur l’ouverture d’une enquête relative à une violation alléguée du règlement (UE) 2016/679 ;

a)

des informations sur l’ouverture d’une enquête d’office ou d’une procédure de réclamation ;

e)

le résumé des points essentiels d’une enquête prévu à l’article 9;

e)

la publication ou la mise à jour du résumé des points essentiels d’une enquête prévu à l’article 9;

e bis)

tout commentaire sur un résumé des points essentiels au titre de l’article 9, paragraphe 3.

f)

des informations sur les mesures visant à établir une violation du règlement (UE) 2016/679 avant l’élaboration des conclusions préliminaires;

f)

des informations sur les mesures visant à établir une violation du règlement (UE) 2016/679 avant l’élaboration des conclusions préliminaires et du projet de décision ;

i)

l’avis de l’auteur de la réclamation sur les conclusions préliminaires;

i)

l’avis de l’auteur de la réclamation sur la version non confidentielle des conclusions préliminaires et, le cas échéant, sur d’autres aspects de l’enquête ayant fait l’objet d’observations écrites formelles de la part de l’auteur de la réclamation ;

k bis)

tout projet de décision au titre de l’article 60, paragraphe 3, du règlement (UE) 2016/679 ou tout projet de décision révisé au titre de l’article 60, paragraphe 5, dudit règlement;

k ter)

toute objection pertinente et motivée au titre de l’article 60, paragraphe 4, du règlement (UE) 2016/679;

k quater)

tout recours juridictionnel formé au cours d’une procédure au titre de l’article 60 du règlement (UE) 2016/679 ou contre une décision au titre de l’article 60, paragraphes 7 à 9, dudit règlement.

a)

les principaux faits pertinents;

a)

les faits pertinents;

b)

une définition préliminaire de la portée de l’enquête, en particulier des dispositions du règlement (UE) 2016/679 concernées par la violation alléguée qui fera l’objet de l’enquête ;

b)

une définition préliminaire de la portée de l’enquête, en particulier des dispositions du règlement (UE) 2016/679 concernées par la violation alléguée et, le cas échéant, une indication du fait qu’elles semblent ou non être violées ;

c)

le recensement des appréciations juridiques et technologiques complexes pertinentes pour l’orientation préliminaire de l’évaluation de ces points ;

c)

des évaluations préliminaires factuelles ou juridiques , qui tiennent compte de tous les points de vue pertinents exprimés par les parties lors de l’élaboration du résumé et qui incluent la jurisprudence européenne pertinente, ainsi que les lignes directrices, recommandations et bonnes pratiques publiées par le comité ;

a)

le langage utilisé est suffisamment clair et contient des termes précis pour permettre à l’autorité de contrôle chef de file et, selon le cas, aux autorités de contrôle concernées d’élaborer leurs positions;

b)

les arguments juridiques sont exposés de manière succincte et structurés en fonction de la partie du résumé des points essentiels auxquels ils se rapportent;

c)

les observations de l’autorité de contrôle concernée peuvent être étayées par des documents qui peuvent compléter les observations sur des points précis.

b)

l’orientation préliminaire en lien avec les appréciations juridiques complexes recensées par l’autorité de contrôle chef de file conformément à l’article 9, paragraphe 2, point c);

b)

les appréciations préliminaires factuelles ou juridiques recensées par l’autorité de contrôle chef de file conformément à l’article 9, paragraphe 2, point c);

c)

l’orientation préliminaire en lien avec les appréciations technologiques complexes recensées par l’autorité de contrôle chef de file conformément à l’article 9, paragraphe 2, point c).

c bis)

la définition préliminaire d’éventuelles mesures correctrices, conformément à l’article 9, paragraphe 2, point d).

a)

les documents visés à l’article 9, paragraphe 2, points a) et b) ;

a)

les informations pertinentes visées à l’article 9, paragraphe 2, y compris toute mise à jour éventuelle ;

b)

les observations de l’autorité de contrôle concernée qui est en désaccord avec la définition préliminaire de la portée de l’enquête par l’autorité de contrôle chef de file.

b)

les observations des autorités de contrôle concernées qui sont en désaccord avec la définition préliminaire de la portée de l’enquête ou avec l’évaluation factuelle ou juridique des éléments du résumé des points essentiels visés à l’article 9, paragraphe 2, par l’autorité de contrôle chef de file.

b bis)

l’accès au dossier commun.

a)

le nom de l’autorité de contrôle qui a pris la décision;

b)

la date de la décision;

c)

un résumé impartial des faits pertinents de l’affaire et leur source;

d)

les motifs juridiques de la décision;

e)

les mesures correctrices, sanctions ou autres mesures appliquées; et

f)

des informations sur le droit à un recours juridictionnel effectif en vertu de l’article 78 du règlement (UE) 2016/679 et de tout droit procédural national applicable.

1

septies. Les informations fournies aux parties en vertu de l’article 60, paragraphes 7 à 9, du règlement (UE) 2016/679 comprennent une copie de la décision juridiquement contraignante, ainsi que des informations sur un recours juridictionnel disponible conformément à l’article 78 du règlement (UE) 2016/679.

1

octies. Les autorités de contrôle publient toutes les décisions juridiquement contraignantes qu’elles adoptent dans les meilleurs délais, au plus tard trois mois après leur adoption, à moins que les nouvelles décisions ne s’écartent pas sensiblement des décisions publiées précédemment. Conformément au droit national en vigueur, les autorités de contrôle peuvent occulter les noms des parties, toute autre information pouvant permettre l’identification des parties ou toute autre information protégée par le droit applicable.

a)

se fondent exclusivement sur des éléments factuels figurant dans le projet de décision ; et

a)

se fondent sur des éléments factuels figurant dans le projet de décision , sur les éléments de preuve figurant dans le dossier commun, ou sur tout élément de preuve supplémentaire présenté en même temps que l’objection pertinente et motivée;

b)

ne modifient pas la portée des allégations en soulevant des points équivalant à déterminer d’autres allégations de violation du règlement (UE) 2016/679 ou en modifiant la nature intrinsèque des allégations soulevées.

b)

ne modifient pas la portée de l’affaire telle que définie dans la dernière version du résumé des points essentiels; et

b bis)

identifient clairement les éléments du projet de décision qui devraient être modifiés, en indiquant, si possible, le libellé exact ou une description suffisamment précise de la modification proposée du projet de décision.

a)

la longueur de chaque objection pertinente et motivée et de la position de l’autorité de contrôle chef de file sur toute objection de ce type ne dépasse pas trois pages et ne comprend pas d’annexes. Dans les cas impliquant des questions juridiques particulièrement complexes, la longueur maximale peut être portée à six pages, sauf si des circonstances particulières justifiant une longueur supérieure sont acceptées par le comité;

a bis)

le résumé des points essentiels;

b)

un résumé des faits pertinents;

b)

un résumé des faits pertinents , y compris la description des activités de traitement, la description de l’organisation du responsable du traitement et le lieu où sont prises les décisions pertinentes sur les finalités et les moyens du traitement des données à caractère personnel ;

d)

le point de vue exprimé par écrit par les parties faisant l’objet de l’enquête, selon le cas , conformément aux articles 14 et 17 ;

d)

les points de vue exprimés par écrit par les parties, conformément à l’article 14;

e)

le point de vue exprimé par écrit par l’auteur de la réclamation, selon le cas, conformément aux articles 11, 12 et 15;

f)

les objections pertinentes et motivées auxquelles l’autorité de contrôle chef de file n’a pas donné suite;

f)

les objections pertinentes et motivées auxquelles l’autorité de contrôle chef de file n’a pas donné suite et les objections que l’autorité de contrôle chef de file a rejetées comme n’étant ni pertinentes ni motivées ;

g)

les motifs pour lesquels l’autorité de contrôle chef de file n’a pas donné suite aux objections pertinentes et motivées ou a considéré que les objections n’étaient ni pertinentes ni motivées.

g)

les motifs pour lesquels l’autorité de contrôle chef de file n’a pas donné suite aux objections ou a rejeté que les objections parce qu’elles n’étaient ni pertinentes ni motivées;

g bis)

l’accès au dossier commun.