Par un arrêt du 10 février 2026 (affaire C-97/23), la Cour de justice de l’Union européenne (CJUE) précise que les organisations disposent d’un droit de recours direct contre une décision contraignante du Comité européen de la protection des données (« CEPD » ou EDPB en anglais) sur laquelle repose la décision de l’autorité nationale prise à son encontre. Lien vers le communiqué de presse.

Link to Bref rappel du contexte légal pertinent pour l’affaire Bref rappel du contexte légal pertinent pour l’affaire

Afin d’assurer une application cohérente du RGPD dans l’ensemble de l’Union européenne, lorsqu’une organisation effectue des traitements transfrontaliers de données qui concernent des personnes dans plusieurs États membres de l’UE, le RGPD prévoit un mécanisme de coopération entre les autorités de contrôle compétentes lorsqu’elles ont l’intention d’adopter des mesures produisant des effets juridiques concernant ce traitement.

En principe (mais pas toujours), la procédure est dirigée par l’autorité de contrôle de l’État membre dans lequel l’organisation concernée dispose de son « établissement principal ». Au sens du RGPD, il s’agit de « l’autorité de contrôle chef de file ».

L’autorité chef de file peut solliciter et obtenir l’assistance des autres « autorités de contrôle concernées » ou mener des opérations conjointes avec elles. Elle soumet généralement un projet de décision (par exemple un projet de mesure corrective ou décision de sanction) aux autres autorités concernées, lesquelles peuvent formuler des « objections pertinentes et motivées » en cas de désaccord.

En l’absence d’accord, une procédure de « règlement des litiges » est engagée. Dans ce cadre, l’EDPB peut adopter une décision juridiquement contraignante, à la majorité des deux tiers de ses membres (ou à la majorité simple en cas d’échec d’un premier vote). Cette décision doit être motivée, adressée à l’autorité de contrôle chef de file ainsi qu’aux autres autorités concernées, et est contraignante à leur égard. Elle doit également être publiée sur le site internet de l’EDPB.

L’autorité chef de file doit ensuite adopter sa décision finale sur la base de la décision contraignante de l’EDPB, sans retard excessif et au plus tard dans le délai d’un mois suivant la notification de celle-ci. Cette décision finale doit être notifiée par l’autorité chef de file à l’organisation concernée et doit faire référence à la décision de l’EDPB en l’annexant.

Historiquement, si l’organisation concernée souhaitait contester un élément de la décision de l’autorité de contrôle nationale fondé sur une décision contraignante de l’EDPB, elle devait introduire un recours devant ses juridictions nationales. Si ces juridictions le jugeaient pertinent, elles pouvaient à leur tour saisir la CJUE d’une ou plusieurs questions préjudicielles relatives aux dispositions du RGPD appliquées par l’autorité de contrôle dans sa décision.

Cette situation laissait à la juridiction nationale saisie du litige la seule responsabilité de déterminer à la fois la nécessité d’une demande de décision préjudicielle auprès de la CJUE et le choix des questions qu’elle décidait de soumettre à la CJUE. Notamment, la juridiction pouvait, à sa discrétion, décider de ne pas saisir la CJUE.

Dans l’affaire C-97/23 P, la CJUE a précisé que les décisions contraignantes de l’EDPB peuvent être contestées directement par l’organisation sur le fondement de l’article 263 du Traité sur le fonctionnement de l’Union européenne (TFUE). Elle a ainsi jugé recevable le recours en annulation introduit par une société contre la décision contraignante de l’EDPB.  Cela représente une voie de recours importante pour les organisations confrontées à une décision locale fondée sur une décision contraignante de l’EDPB. En effet, dans le cas où une organisation peut contester directement la décision contraignante de l’EDPB, elle aura la maîtrise du renvoi à la CJUE, ainsi que du contenu de son recours et de l’argumentation juridique soumise à la CJUE.

Link to Bref résumé des faits Bref résumé des faits

À la suite de plaintes concernant les activités de traitement de données personnelles d’une application de messagerie (la « Société »), la Commission irlandaise pour la protection des données (Data Protection Commission – « DPC ») a ouvert une enquête relative au respect, par cette Société, de ses obligations de transparence prévues par le RGPD.

En qualité d’autorité de contrôle chef de file, la DPC a transmis un projet de décision aux autres autorités de contrôle concernées. Six autorités ont formulé des objections pertinentes et motivées (l’autorité fédérale allemande ainsi que les autorités de contrôle de Finlande, de France, d’Italie, des Pays-Bas et de Norvège). Le litige a donc été porté devant l’EDPB pour qu’il rende une décision contraignante.

L’EDPB a adopté sa décision contraignante, estimant notamment que certaines dispositions du RGPD avaient été violées et exigeant de la DPC qu’elle modifie les mesures correctrices proposées, y compris en augmentant le montant de l’amende administrative.

Sur cette base, la DPC a adopté sa décision finale imposant à la Société une amende d’un montant plus élevé qu’initialement prévu.

La Société a alors introduit un recours en annulation contre la décision de l’EDPB devant le Tribunal de l’Union européenne. Le Tribunal a jugé ce recours irrecevable, estimant que la décision de l’EDPB constituait un acte intermédiaire dépourvu d’effet juridique direct à l’égard de la Société, laquelle ne pouvait contester que la décision de la DPC devant une juridiction nationale. La Société a formé un pourvoi contre cette ordonnance devant la Cour de justice. (La CJUE se compose de deux juridictions : la « Cour de justice » et le « Tribunal ».)

Link to Arrêt de Grande Chambre de la CJUE du 10 février 2026 (affaire C-97/23 P) Arrêt de Grande Chambre de la CJUE du 10 février 2026 (affaire C-97/23 P)

La CJUE a jugé que la décision contraignante de l’EDPB pouvait effectivement faire l’objet d’un recours direct devant les juridictions de l’Union européenne. Elle a notamment considéré que la décision de l’EDPB :

  • constitue un acte émanant d’un organe de l’Union européenne et présente un caractère contraignant à l’égards de tiers, à savoir, en l’espèce la DPC et les autres autorités de contrôle concernées ;
  • fixe définitivement la position de l’EDPB et statue de manière exhaustive sur l’ensemble des questions qui lui sont soumises ; elle ne peut donc être qualifiée d’acte intermédiaire qui ne serait pas susceptible de recours ; et
  • concerne directement La Société, en ce qu’elle affecte directement sa situation juridique sans laisser de marge d’appréciation à la DPC (notamment, s’agissant des constatations de violations du RGPD et de l’obligation d’augmenter l’amende administrative).

Par conséquent, la CJUE a déclaré le recours en annulation recevable. La Cour de justice a donc annulé l’ordonnance du Tribunal et renvoyé l’affaire devant celui-ci afin qu’il examine le fond (y compris la question de savoir si la Société a violé les dispositions concernées du RGPD).

Par ailleurs, la Société a également introduit un recours contre la décision de la DPC devant les juridictions irlandaises, ce qui devrait conduire à un renvoi préjudiciel devant la CJUE. La Cour précise à ce sujet que :

« le principe de bonne administration de la justice peut justifier, en cas de saisine concomitante du Tribunal, dans le cadre d’un recours en annulation, et de la Cour, dans le cadre d’un renvoi préjudiciel, que la Cour fasse usage, si elle le considère approprié, de l’article 54, troisième alinéa, du statut de la Cour de justice de l’Union européenne afin de suspendre la procédure pendante devant elle au profit de celle introduite devant le Tribunal »

Cet arrêt constitue indéniablement une décision majeure qui ouvre la voie à la contestation directe des décisions de l’EDPB au niveau européen (CJUE) et avec d’avantage de contrôle sur la demande, sans passer exclusivement par le biais d’une procédure plus complexe et incertaine au niveau national.

Vous pouvez contacter les associés de Squire Patton Boggs si vous souhaitez plus d’informations sur les possibilités qui s’offrent à vous pour contester une décision d’une autorité de contrôle ou de l’EDPB.