Aller au contenu
Rechercher

Contrôleur européen de la protection des données

Un article de Wikipédia, l'encyclopédie libre.
Page d’aide sur l’homonymie

Pour les articles homonymes, voir CEPD.

Page d’aide sur l’homonymie

Pour l'organisme européen qui est désigné par le même sigle et s'occupe du même sujet, voir Comité européen de la protection des données.

Contrôleur européen
de la protection des données
Logo de l'organisation
Logo de l'EDPS.
Situation
Création Janvier 2004
Siège Bruxelles (Belgique)
Coordonnées 50° 50′ 28″ N, 4° 22′ 14″ E
Organisation
Base légale
Contrôleur Drapeau de la Pologne Wojciech Wiewiórowski
Site web edps.europa.eu

Carte
modifier 

Le Contrôleur européen de la protection des données (CEPD) (en anglais European Data Protection Supervisor, EDPS) est une autorité de contrôle indépendante dépendant de l'Union européenne qui a pour mission première d’assurer que les institutions et organes européens respectent le droit à la vie privée et à la protection des données lorsqu’ils traitent des données à caractère personnel et élaborent de nouvelles politiques.

Le , Wojciech Wiewiórowski a pris ses fonctions de contrôleur européen de la protection des données. Il a été nommé pour un mandat de cinq ans par décision conjointe du Parlement européen et du Conseil[1].

Le Règlement (UE) 2018/1725[2] définit les fonctions et les compétences du Contrôleur européen de la protection des données (Chapitre VI) ainsi que l’indépendance institutionnelle du CEPD en tant qu’autorité de contrôle. Il définit également les règles en matière de protection des données au sein des institutions de l’UE.

Dans la pratique, les activités du CEPD peuvent se diviser en trois fonctions principales: supervision, consultation et coopération.

Supervision

[modifier | modifier le code]

Dans la fonction de supervision, la principale activité consiste à superviser le traitement des données à caractère personnel effectué au sein des institutions et organes européens. Pour ce faire, le CEPD agit en partenariat avec le Délégué à la protection des données (DPD) présent dans chaque institution et organe européen. Le DPD notifie au CEPD les opérations de traitement portant sur des données personnelles sensibles ou susceptibles de présenter d’autres risques particuliers. Le CEPD analyse ensuite ce traitement par rapport au règlement sur la protection des données et délivre un avis de contrôle préalable. Dans la majorité des cas, cet exercice donne lieu à une série de recommandations devant être appliquées par l’institution ou l’organe concerné afin d'assurer le respect des règles de protection des données.

En 2009, par exemple, le CEPD a adopté plus de cent avis de contrôle préalable, portant essentiellement sur des questions telles que les données médicales, l'évaluation du personnel, le recrutement, la gestion du temps de travail, les outils d’enregistrement téléphonique et les enquêtes de sécurité. Ces avis sont publiés sur le site web du CEPD et leur mise en œuvre fait l’objet d’un suivi systématique.

La mise en application du règlement sur la protection des données au sein de l’administration de l’UE est également soumise au strict contrôle d’un inventaire périodique d’indicateurs de performance, auquel participe la totalité des institutions et des organes européens. Outre cet exercice de contrôle général, le CEPD effectue des inspections sur place afin d’évaluer le niveau réel de conformité.

Dans sa fonction de supervision, le CEPD enquête également sur les réclamations soumises par des membres du personnel de l’UE ou par toute autre personne estimant que ses données à caractère personnel n’ont pas été traitées correctement par une institution ou un organe européen. À titre d'exemples, les réclamations peuvent porter sur des violations alléguées de la vie privée, l'accès aux données, le droit de rectification, l'effacement de données et la collecte excessive ou l'utilisation illégale de données par le responsable du traitement.

Le CEPD a également élaboré d’autres formes de supervision, telles que les conseils portant sur les mesures administratives et la rédaction de directives thématiques.

Consultation

[modifier | modifier le code]

Dans le cadre de sa fonction de consultation, le CEPD conseille la Commission européenne, le Parlement européen et le Conseil de l'Union européenne sur des questions relatives à la protection des données dans toute une série de domaines d'action. Ce rôle consultatif porte sur des propositions de nouvelle législation ainsi que sur d'autres initiatives pouvant affecter la protection des données personnelles au sein de l'UE. Cette activité se traduit généralement par un avis formel, mais le CEPD peut aussi fournir des conseils sous forme d'observations ou de documents stratégiques. Les développements technologiques ayant une incidence sur la protection des données sont également contrôlés dans le cadre de cette activité.

Parmi les questions importantes auxquelles le CEPD a récemment porté une attention particulière, citons l'accord TFTP-SWIFT sur l'accès aux informations financières, la révision de la directive « Vie privée et communications électroniques », les développements concernant le programme de Stockholm sur les politiques en matière de justice et d'affaires intérieures, l'examen des règlements de Dublin et d'Eurodac en matière d'asile et l'accès public aux documents.

Par ailleurs, le CEPD suit attentivement l'actuel réexamen du cadre juridique de la protection des données visant à moderniser la directive sur la protection des données[3] pour l'adapter à la mondialisation et aux nouveaux défis technologiques. La réalisation de cet objectif déterminant figurera en priorité à l'ordre du jour du CEPD dans les prochaines années.

Dans le cadre de sa fonction consultative, le CEPD intervient également dans des affaires portées devant la Cour de justice de l'Union européenne lorsqu'elles relèvent de ses compétences. Il est ainsi intervenu en dans une affaire concernant la relation entre transparence et protection des données[4].

Coopération

[modifier | modifier le code]

Le CEPD coopère avec d’autres autorités chargées de la protection des données afin de promouvoir une approche cohérente au niveau de la protection des données dans toute l’Europe.

La principale plate-forme de coopération entre les autorités chargées de la protection des données en Europe est celle du Groupe de travail de l’article 29 sur la protection des données. Le CEPD participe aux activités du Groupe, qui joue un rôle important dans l’application uniforme de la directive sur la protection des données. Le CEPD et le Groupe ont coopéré activement pour toute une série de questions, en particulier en ce qui concerne la mise en œuvre de la directive sur la protection des données et les nouveaux défis posés par les nouvelles technologies. Le CEPD a par ailleurs résolument soutenu les initiatives prises pour assurer que les flux de données internationaux respectent les principes européens en matière de protection des données.

L’une des tâches coopératives essentielles du CEPD porte sur Eurodac, où les responsabilités de supervision sont partagées avec des autorités de protection des données nationales.

Le CEPD collabore avec des autorités chargées de la protection des données au sein de l’ancien « troisième pilier » — secteur de la coopération policière et judiciaire — et avec le Groupe de travail « Police et justice ».

La coopération se traduit également par une participation à deux conférences annuelles importantes sur la protection des données : une conférence européenne qui réunit les autorités chargées de la protection des données au sein des États membres de l’UE et du Conseil de l’Europe, ainsi qu’une conférence internationale qui met en présence un vaste éventail d’experts en protection des données, issus des secteurs public et privé.

Avis sur la demande américaine d'accès direct aux données biométriques des européens souhaitant voyager aux États-Unis

[modifier | modifier le code]

Début 2026, dans un contexte de 'tensions' entre la seconde administration Trump et la société Anthropic, cette dernière étant menacée de se voir bannie des marchés publics américains stratégiques si elle refuse de lever les garde‑fous éthiques encadrant l'usage de son IA, Claude, que Donald Trump souhaite voir utilisable à « toutes fins légales », y compris pour la surveillance de personnes ou le pilotage d'armes autonomes létales, usages qu'Anthropic refusait jusque‑là d'autoriser[5],[6]. Dans le même temps, OpenAI déclare soutenir publiquement la position d'Anthropic, tout en annonçant peu après la signature d'un contrat avec le Pentagone[7].

En réponse à une demande de Washington, l'Union européenne prépare un accord dits de « partenariats renforcés pour la sécurité des frontières » (Enhanced Border Security Partnerships, EBSP) qui permettraient aux autorités américaines, notamment au Département de la sécurité intérieure (DHS), d'accéder directement à certaines données du profil de chaque voyageur voulant accéder aux Etats-Unis, dans les bases de données biométriques nationales des États membres ; ces accords offriraient à la police aux frontières américaine (ICE) un accès aux empreintes digitales, aux scans faciaux et à d'autres données personnelles sensibles de nombreux citoyens européens, en contrepartie du maintien de l'exemption de visa pour ces derniers[8].

Le Contrôleur européen de la protection des données, Wojciech Wiewiórowski, appelle à un encadrement strict de ces transferts, afin que les données ne soient utilisées qu'aux fins précisées dans les traités, dans le respect des principes de nécessité et de proportionnalité ; il rappelle qu'il s'agirait du premier accord de l'UE autorisant un transfert direct et massif de données personnelles vers les autorités frontalières d'un pays tiers[9].

Selon un pré‑projet interne de l'UE (révélé par le média Euractiv) sur lequel les États membres n'ont pas ou très peu officiellement réagi, l'administration américaine pourrait alors également conserver, repartager et réutiliser les données personnelles des voyageurs européens ; Euractiv, tout comme le Contrôleur européen de la protection des données, exprime de fortes inquiétudes à propos de ce dispositif, dans un contexte où le cadre transatlantique de protection des données (Data Privacy Framework) est déjà fragilisé par les interventions de la seconde administration Trump sur les organes de contrôle américains (et alors que de précédents accords de transfert de données UE–États‑Unis ont déjà été annulés par la justice européenne pour insuffisance de garanties. Après une première proposition plus large, l'UE envisage d'interdire les transferts de données à grande échelle en s'appuyant sur un modèle d'échange à deux étapes, qui limiterait dans un premier temps le partage automatique aux seules informations d'identité de base ; néanmoins, l'administration Trump envisagerait d'exiger des voyageurs qu'ils fournissent jusqu'à cinq ans d'historique sur les réseaux sociaux avant leur arrivée, ce qui alimente les craintes d'une surveillance accrue des voyageurs européens[10].

W. Wiewiórowski met également en avant les risques accrus et nouveaux, posés par les outils d'IA générative et liés au CLOUD Act, une loi à portée extraterritoriale votée en 2018 par le Congrès américain, qui autorise les instances de justice américaines (fédérales ou locales, y compris municipales) à contraindre les fournisseurs de services établis sur le territoire des États-Unis à livrer les données stockées sur leurs serveurs, même lorsque les datacenters/Clouds concernés sont situés hors du territoire des États-Unis, ce qui place cette loi américaine en conflit direct avec le RGPD ; ces deux instruments sont perçus comme des vecteurs potentiels de surveillance généralisée des Européens et de leurs données[11],[12]. W. Wiewiórowski rappelle aussi que les autorités de protection des données de l'UE conservent le pouvoir d'interdire des transferts de données jugés illégaux, et il souligne que seule l'Union, et non les États membres pris isolément, peut négocier d'égal à égal avec Washington un accord cadre sur ces questions.

Seuls le Danemark et l'Irlande échapperaient à ce dispositif : le premier en raison d'une clause d'exemption (opt‑out) des traités de l'UE dans le domaine de la justice et des affaires intérieures, la seconde parce qu'elle ne fait pas partie de l'espace Schengen de libre circulation des personnes. L'accord entre les États‑Unis et l'UE fixerait uniquement les types de bases de données et les catégories de données auxquelles les autorités américaines pourraient accéder ; une seconde phase de négociations bilatérales, entre Washington et chaque État membre, déterminerait précisément quelles bases de données nationales et quelles catégories de données de citoyens seraient rendues accessibles aux autorités américaines[13].

De nombreux eurodéputés, en particulier issus des groupes de gauche et du centre, jugent ce projet inacceptable et demandent ou redemandent en 2026 à la Commission européenne de définir plus clairement ses « lignes rouges » à ne pas dépasser dans ces négociations, dénonçant la menace américaine d'imposer des visas aux Européens avec des conditions jugées contraires à la souveraineté, ainsi qu'au respect de la vie privée des citoyens européens ; ils exigent que tout accord respecte strictement le droit européen en matière de transfert de données[14]. L'entrepreneur Adam Juchniewicz, PDG de Bitcitizen et ancien employé fédéral américain ayant travaillé douze ans au DHS, estime que les États‑Unis n'accepteraient jamais un accord équivalent en sens inverse et décrit « l'ironie et l'hypocrisie » de ce projet d'arrangement.

De son côté, l'Union européenne déploie également un système de contrôle algorithmique préalable des entrées aux frontières extérieures de l'UE, le dispositif ETIAS.

Mandats

[modifier | modifier le code]
MandatContrôleurContrôleur adjoint
2004-2009Peter HustinxJoaquín Bayo Delgado
2009-2014Peter HustinxGiovanni Buttarelli
2014-2019Giovanni ButtarelliWojciech Wiewiórowski
08/2019-12/2019Wojciech WiewiórowskiWojciech Wiewiórowski
2020-Wojciech Wiewiórowski

Notes et références

[modifier | modifier le code]
(en) Cet article est partiellement ou en totalité issu de l’article de Wikipédia en anglais intitulé « European Data Protection Supervisor » (voir la liste des auteurs).
  1. ↑ « EDPS press release ».
  2. ↑ « L_2018295FR.01003901.xml », sur eur-lex.europa.eu (consulté le ).
  3. ↑ (directive 95/46/CE)
  4. ↑ (affaire "Bavarian Lager").
  5. ↑ (en-GB) Nick Robins-Early, « Anthropic says it ‘cannot in good conscience' allow Pentagon to remove AI checks », The Guardian,‎ (ISSN 0261-3077, lire en ligne, consulté le ).
  6. ↑ (en-GB) « Anthropic boss rejects Pentagon demand to drop AI safeguards », sur bbc.com, (consulté le ).
  7. ↑ (en) Shannon Bond, « OpenAI announces Pentagon deal after Trump bans Anthropic », NPR,‎ (lire en ligne, consulté le ).
  8. ↑ (en) heise online, « New negotiations on access to EU biometric data by US authorities », sur heise online, (consulté le ).
  9. ↑ (en-US) Ahmad Abbas, « US Demands Access to EU Citizens' Fingerprints and Political Data; Brussels Prepares to Comply », sur IMI Daily, (consulté le ).
  10. ↑ Nicoletta Ionta et Maximilian Henning (2026) « EU willing to let US immigration save, share travellers' data under visa deal », Euractiv, 14 janvier 2024, consulté le 8 mars 2026.
  11. ↑ (en) Camille Fischer, « The CLOUD Act: A Dangerous Expansion of Police Snooping on Cross-Border Data », sur Electronic Frontier Foundation, (consulté le ).
  12. ↑ (en) « CLOUD Act - What It Means for EU Data Sovereignty », sur wire.com (consulté le ).
  13. ↑ Maximilian Henning (2026) « EU countries gear up to let US tap their citizens' biometrics ; US wants fingerprints and facial scans for visa-free travel, EU governments cave », Euractiv, 6 janvier 2026, consulté le 8 mars 2026, en ligne.
  14. ↑ Maximilian Henning (2026) « US data deal threats ‘unacceptable', say left and centre MEPs. Legislators band together to call on the Commission to clarify 'red lines' in ongoing visa-waiver talks », Euractiv, 6 mars 2026, consulté le 8 mars 2026, en ligne.

Voir aussi

[modifier | modifier le code]

Bibliographie

[modifier | modifier le code]

Textes législatifs

[modifier | modifier le code]

Documents du CEPD

[modifier | modifier le code]

Autres documents pertinents

[modifier | modifier le code]

Articles connexes

[modifier | modifier le code]

Liens externes

[modifier | modifier le code]
Ce document provient de « https://fr.wikipedia.org/w/index.php?title=Contrôleur_européen_de_la_protection_des_données&oldid=234774546 ».
Contrôleur européen de la protection des données
Ajouter un sujet
Morty Proxy This is a proxified and sanitized view of the page, visit original site.