arrow_back Retour à tous les articles

Article 77
Droit d'introduire une réclamation auprès d'une autorité de contrôle

Textes officiels D'où vient-on ? Où va-t-on ? Difficultés probables
Afficher les considérants du Règlement liés à l'article 77 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 77 keyboard_arrow_up

(7) Ces évolutions requièrent un cadre de protection des données solide et plus cohérent dans l'Union, assorti d'une application rigoureuse des règles, car il importe de susciter la confiance qui permettra à l'économie numérique de se développer dans l'ensemble du marché intérieur. Les personnes physiques devraient avoir le contrôle des données à caractère personnel les concernant. La sécurité tant juridique que pratique devrait être renforcée pour les personnes physiques, les opérateurs économiques et les autorités publiques.

(141) Toute personne concernée devrait avoir le droit d'introduire une réclamation auprès d'une seule autorité de contrôle, en particulier dans l'État membre où elle a sa résidence habituelle, et disposer du droit à un recours juridictionnel effectif conformément à l'article 47 de la Charte si elle estime que les droits que lui confère le présent règlement sont violés ou si l'autorité de contrôle ne donne pas suite à sa réclamation, la refuse ou la rejette, en tout ou en partie, ou si elle n'agit pas alors qu'une action est nécessaire pour protéger les droits de la personne concernée. L'enquête faisant suite à une réclamation devrait être menée, sous contrôle juridictionnel, dans la mesure appropriée requise par le cas d’espèce. L'autorité de contrôle devrait informer la personne concernée de l'état d'avancement et de l'issue de la réclamation dans un délai raisonnable. Si l'affaire requiert un complément d'enquête ou une coordination avec une autre autorité de contrôle, des informations intermédiaires devraient être fournies à la personne concernée. Afin de faciliter l'introduction des réclamations, chaque autorité de contrôle devrait prendre des mesures telles que la fourniture d'un formulaire de réclamation qui peut être également rempli par voie électronique, sans que d'autres moyens de communication soient exclus.

(142) Lorsqu'une personne concernée estime que les droits que lui confère le présent règlement sont violés, elle devrait avoir le droit de mandater un organisme, une organisation ou une association à but non lucratif, constitué conformément au droit d'un État membre, dont les objectifs statutaires sont d'intérêt public et qui est actif dans le domaine de la protection des données à caractère personnel, pour qu'il introduise une réclamation en son nom auprès d'une autorité de contrôle, exerce le droit à un recours juridictionnel au nom de personnes concernées ou, si cela est prévu par le droit d'un État membre, exerce le droit d'obtenir réparation au nom de personnes concernées. Un État membre peut prévoir que cet organisme, cette organisation ou cette association a le droit d'introduire une réclamation dans cet État membre, indépendamment de tout mandat confié par une personne concernée, et dispose du droit à un recours juridictionnel effectif s'il a des raisons de considérer que les droits d'une personne concernée ont été violés parce que le traitement des données à caractère personnel a eu lieu en violation du présent règlement. Cet organisme, cette organisation ou cette association ne peut pas être autorisé à réclamer réparation pour le compte d'une personne concernée indépendamment du mandat confié par la personne concernée.

(143) Toute personne physique ou morale a le droit de former un recours en annulation des décisions du comité devant la Cour de justice dans les conditions prévues à l'article 263 du traité sur le fonctionnement de l’Union européenne. Dès lors qu'elles reçoivent de telles décisions, les autorités de contrôle concernées qui souhaitent les contester doivent le faire dans un délai de deux mois à compter de la notification qui leur en a été faite, conformément à l'article 263 du traité sur le fonctionnement de l’Union européenne. Lorsque des décisions du comité concernent directement et individuellement un responsable du traitement, un sous-traitant ou l'auteur de la réclamation, ces derniers peuvent former un recours en annulation de ces décisions dans un délai de deux mois à compter de leur publication sur le site internet du comité, conformément à l'article 263 du traité sur le fonctionnement de l’Union européenne. Sans préjudice de ce droit prévu à l'article 263 du traité sur le fonctionnement de l’Union européenne, toute personne physique ou morale devrait disposer d'un recours juridictionnel effectif, devant la juridiction nationale compétente, contre une décision d'une autorité de contrôle qui produit des effets juridiques à son égard. Une telle décision concerne en particulier l'exercice, par l'autorité de contrôle, de pouvoirs d'enquête, d'adoption de mesures correctrices et d'autorisation ou le refus ou le rejet de réclamations. Toutefois, ce droit à un recours juridictionnel effectif ne couvre pas des mesures prises par les autorités de contrôle qui ne sont pas juridiquement contraignantes, telles que les avis émis ou les conseils fournis par une autorité de contrôle. Les actions contre une autorité de contrôle devraient être portées devant les juridictions de l'État membre sur le territoire duquel l'autorité de contrôle est établie et être menées conformément au droit procédural de cet État membre. Ces juridictions devraient disposer d'une pleine compétence, et notamment de celle d'examiner toutes les questions de fait et de droit relatives au litige dont elles sont saisies.Lorsqu'une réclamation a été rejetée ou refusée par une autorité de contrôle, l'auteur de la réclamation peut intenter une action devant les juridictions de ce même État membre. Dans le cadre des recours juridictionnels relatifs à l'application du présent règlement, les juridictions nationales qui estiment qu'une décision sur la question est nécessaire pour leur permettre de rendre leur jugement peuvent ou, dans le cas prévu à l'article 267 du traité sur le fonctionnement de l’Union européenne, doivent demander à la Cour de justice de statuer à titre préjudiciel sur l'interprétation du droit de l'Union, y compris le présent règlement. En outre, lorsqu'une décision d'une autorité de contrôle mettant en oeuvre une décision du comité est contestée devant une juridiction nationale et que la validité de la décision du comité est en cause, ladite juridiction nationale n'est pas habilitée à invalider la décision du comité et doit, dans tous les cas où elle considère qu'une décision est invalide, soumettre la question de la validité à la Cour de justice, conformément à l'article 267 du traité sur le fonctionnement de l’Union européenne tel qu'il a été interprété par la Cour de justice. Toutefois, une juridiction nationale peut ne pas soumettre une question relative à la validité d'une décision du comité à la demande d'une personne physique ou morale qui a eu la possibilité de former un recours en annulation de cette décision, en particulier si elle était concernée directement et individuellement par ladite décision, et ne l'a pas fait dans le délai prévu à l'article 263 du traité sur le fonctionnement de l’Union européenne.

(144) Lorsqu'une juridiction saisie d’une action contre une décision prise par une autorité de contrôle a des raisons de croire que des actions concernant le même traitement, portant par exemple sur le même objet, effectué par le même responsable du traitement ou le même sous-traitant, ou encore la même cause, sont introduites devant une juridiction compétente d'un autre État membre, il convient qu'elle contacte cette autre juridiction afin de confirmer l'existence de telles actions connexes. Si des actions connexes sont pendantes devant une juridiction d'un autre État membre, toute juridiction autre que celle qui a été saisie en premier peut surseoir à statuer ou peut, à la demande de l'une des parties, se dessaisir au profit de la juridiction saisie en premier si celle-ci est compétente pour connaître de l'action concernée et que le droit dont elle relève permet de regrouper de telles actions connexes. Sont réputées connexes, les actions qui sont à ce point étroitement liées qu'il y a intérêt à les instruire et à les juger en même temps afin d'éviter que ne soient rendues des décisions inconciliables, issues de procédures séparées.

(145) En ce qui concerne les actions contre un responsable du traitement ou un sous-traitant, le demandeur devrait pouvoir choisir d'intenter l'action devant les juridictions des États membres dans lesquels le responsable du traitement ou le sous-traitant dispose d'un établissement ou dans l'État membre dans lequel la personne concernée réside, à moins que le responsable du traitement ne soit une autorité publique d'un État membre agissant dans l'exercice de ses prérogatives de puissance publique.

Afficher les considérants de la Directive 95/46 liés à l'article 77 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 77 keyboard_arrow_up

La Directive imposait déjà aux États membres de mettre en place une procédure de réclamation auprès de l’autorité de contrôle. Ainsi, toute personne, ou une association la représentant, peuvent introduire toute demande relative à la protection de ses droits et libertés à l'égard du traitement de données à caractère personnel. Celle-ci peut notamment consister en une demande de vérification de la licéité d'un traitement. Aux termes de l’article 28, paragraphe 4, la personne doit être informée des suites données à sa réclamation ou, le cas échéant, de ce qu'une vérification a eu lieu.

Guidelines

Ici viendront les guidelines

D'où vient-on ?

La Directive imposait déjà aux États membres de mettre en place une procédure de réclamation auprès de l’autorité de contrôle. Ainsi, toute personne, ou une association la représentant, peuvent introduire toute demande relative à la protection de ses droits et libertés à l'égard du traitement de données à caractère personnel. Celle-ci peut notamment consister en une demande de vérification de la licéité d'un traitement. Aux termes de l’article 28, paragraphe 4, la personne doit être informée des suites données à sa réclamation ou, le cas échéant, de ce qu'une vérification a eu lieu.

Belgique

La compétence de la Commission de la protection de la vie privée (CPVP) pour examiner les plaintes des personnes concernées par un traitement est prévue à l’article 31 de la loi du 8 décembre 1992. La CPVP dispose principalement d’une compétence d’avis : en cas de plainte, elle tente de parvenir à une solution amiable en invitant le responsable à respecter ses obligations, selon la procédure prévue par son Règlement d’ordre intérieur. À défaut d’accord, elle peut uniquement rendre un avis sur la violation de la loi du 8 décembre 1992 par le responsable. L’article 32 de la loi du 8 décembre 1992 prévoit également que la CPVP dénonce au Procureur les infractions dont elle a connaissance. Il appartient ensuite à la personne concernée de saisir, le cas échéant, le président du tribunal de première instance de son domicile, conformément à l’article 14 de la loi du 8 décembre 1992.

France

La loi Informatique et Libertés et Libertés confère à Commission nationale de l’informatique et des libertés (CNIL) la compétence de recevoir les plaintes de toute personne physique ou morale relative à la mise en œuvre des traitements de données à caractère personnel (art. 11). La CNIL dispose à l’heure actuelle d’un véritable pouvoir de sanction ; conformément aux articles 45 et suivants de la loi Informatique et Libertés et Libertés, la formation restreinte de la CNIL peut, à l’issue d’une procédure contradictoire, prononcer une sanction pécuniaire, une injonction de cesser le traitement, un avertissement, ordonner le « verrouillage » de certaines données, etc. En cas d’atteinte grave et immédiate, la CNIL peut, par l’intermédiaire du président de la formation restreinte de la CNIL, demander à la juridiction compétente d’ordonner, au besoin sous astreinte, toute mesure de sécurité nécessaire à la sauvegarde de ces droits et libertés.

Le législateur français a introduit une disposition supplémentaire dans la loi organique 2011/333 du 29 mars 2011 relative au Défenseur des droits. Dans le cadre de sa mission de protection des libertés et des droits des citoyens, le Défenseur des droits peut être saisi (gratuitement) par une personne et transmettre une réclamation à une « autre autorité indépendant investie d’une mission de protection des droits et libertés » et « accompagner cette transmission de ses observations et demander à être informé des suites données à celle-ci ». Il est associé à sa demande et aux travaux de la CNIL. (article 9 de la loi du 29 mars 2011).

Où va-t-on ?

À l’instar de la Directive, l’article 77 du Règlement investit toute personne concernée par un traitement du droit d’introduire une plainte auprès d'une autorité de contrôle, si celle-ci estime que le traitement de données à caractère personnel la concernant n'est pas conforme aux règles européennes. Toute violation du Règlement est donc susceptible de justifier une telle plainte.

Dans sa première mouture, le second paragraphe de l’article 77 précisait également les organisations habilitées à déposer une réclamation au nom de la personne concernée, voir même indépendamment de toute réclamation de la personne concernée, en cas de violation de données à caractère personnel. Cet élément n’a toutefois pas été retenu dans la version finale du texte. 

La détermination de l’autorité de contrôle à saisir n’est pas précisée de manière stricte. Selon le paragraphe 1er, la personne concernée peut introduire une réclamation tant auprès de l’autorité de contrôle dans lequel se trouve sa résidence habituelle, son lieu de travail que de celle exerçant sa compétence sur lieu où la violation aurait été commise.

Il incombe enfin à l’autorité de contrôle d’informer la personne concernée de l'état d'avancement et du résultat de la réclamation dans un délai raisonnable, et de lui indiquer son droit à un recours juridictionnel contre la décision de l’autorité de contrôle en vertu de l’article 78 du Règlement (§ 2).

Difficultés probables

Dans les pays où l’autorité n’avait pas de pouvoir de décision, on peut s’attendre à une augmentation des plaintes, dès lors qu’elles pourront aboutir à une décision, susceptible de recours. Le problème est alors de savoir quelle sera la procédure à respecter devant l’autorité nationale –on peut cependant supposer qu’elle soit contradictoire- et d’éviter que sa lourdeur et/ou son coût ne découragent la personne concernée.

Règlement
1e 2e

Art. 77

1. Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement.

2. L'autorité de contrôle auprès de laquelle la réclamation a été introduite informe l'auteur de la réclamation de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'un recours juridictionnel en vertu de l'article 78.

Proposition 1 close

1. Sans préjudice de tout autre recours administratif ou judiciaire, toute personne concernée a le droit d’introduire une réclamation auprès d'une autorité de contrôle dans tout État membre si elle considère que le traitement de données à caractère personnel la concernant n'est pas conforme au présent règlement.

2. Tout organisme, organisation ou association qui œuvre à la protection des droits et des intérêts des personnes concernées à l’égard de la protection de leurs données à caractère personnel et qui a été valablement constitué conformément au droit d’un État membre a le droit d'introduire une réclamation auprès d’une autorité de contrôle dans tout État membre au nom d’une ou de plusieurs personnes concernées s'il considère que les droits dont jouit une personne concernée en vertu du présent règlement ont été violés à la suite du traitement de données à caractère personnel.

3. Indépendamment d’une réclamation introduite par une personne concernée, tout organisme, organisation ou association visé au paragraphe 2 a le droit de saisir une autorité de contrôle dans tout État membre d'une réclamation s'il considère qu'il y a eu violation de données à caractère personnel.

Proposition 2 close

1. Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle unique, en particulier dans l'État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant n'est pas conforme au présent règlement.

2. (…)

3. (…)

4. (…)

5. L'autorité de contrôle auprès de laquelle la réclamation a été introduite informe la personne à l'origine de la réclamation de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'un recours juridictionnel en vertu de l'article 74 (...).

Directive

Art. 28

(…)

4. Chaque autorité de contrôle peut être saisie par toute personne, ou par une association la représentant, d'une demande relative à la protection de ses droits et libertés à l'égard du traitement de données à caractère personnel. La personne concernée est informée des suites données à sa demande.

Chaque autorité de contrôle peut, en particulier, être saisie par toute personne d'une demande de vérification de la licéité d'un traitement lorsque les dispositions nationales prises en vertu de l'article 13 de la présente directive sont d'application. La personne est à tout le moins informée de ce qu'une vérification a eu lieu.

France

 Art. 11

(….).

c) Elle reçoit les réclamations, pétitions et plaintes relatives à la mise en œuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci ;

La loi organique 2011/333 art 9 al 1er réfère au rôle du Défenseur des droits en la matière.

Belgique

Art. 31

§ 1er. Sans préjudice de toute action devant les tribunaux et sauf si la loi en dispose autrement, la Commission examine les plaintes signées et dates qui lui sont adressées. Ces plaintes peuvent avoir trait à sa mission de protection de la vie privée à l'égard des traitements de données à caractère personnel ou à d'autres missions qui lui sont confiées par la loi

§ 2. La procédure est réglée par le règlement d'ordre intérieur. Celui-ci prévoit l'exercice d'un droit de défense.

§ 3. La Commission examine la recevabilité de la plainte. Si la plainte est recevable, la Commission accomplit toute mission de médiation qu'elle juge utile. En cas de conciliation des parties, fondée sur le respect de la vie privée, elle dresse un procès-verbal dans lequel la solution retenue est explicitée. En l'absence de conciliation, la Commission émet un avis sur la caractère fondé de la plainte. Son avis peut être accompagné de recommandations à l'intention du (responsable du traitement).

§ 4. Les décisions, avis et recommandations de la Commission sont motivés.

§ 5. La Commission communique sa décision, son avis ou ses recommandations au plaignant, au (responsable du traitement) et à toutes les autres parties à la cause.

Une copie de la décision, de l'avis des recommandations est adressée au Ministre de la Justice.

Ulys logo

Cabinet d’avocats moderne et humain,
au service de la création et de l’innovation

En savoir plus
Droit & Technologies logo white

Depuis 1997, le Portail du Droit des Technologies
Retrouvez-y les derniers actualités et des dossiers exclusifs.

En savoir plus
close

En poursuivant votre navigation sur notre site, vous acceptez l’utilisation de cookies afin de nous permettre d’améliorer votre expérience utilisateur. En savoir plus

OK