Cabinet d’avocats franco-belge, moderne et humain,
au service de la création et de l’innovation

9 pôles d’activités dédiés au
droit de la création et de l’innovation

Nos activités scientifiques & académiques

Faisons connaissance !

Un procès en vue ?
Lisez le guide destiné à mieux vous préparer

Le portail du droit des technologies, depuis 1997
Powered by

Un site pour tout savoir sur le RGPD
Powered by

arrow_back Retour à tous les articles

Article 78
Droit à un recours juridictionnel effectif contre une autorité de contrôle

Textes
officiels
Guidelines Jurisprudence Analyse du
droit européen
Afficher les considérants du Règlement liés à l'article 78 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 78 keyboard_arrow_up

(141) Toute personne concernée devrait avoir le droit d'introduire une réclamation auprès d'une seule autorité de contrôle, en particulier dans l'État membre où elle a sa résidence habituelle, et disposer du droit à un recours juridictionnel effectif conformément à l'article 47 de la Charte si elle estime que les droits que lui confère le présent règlement sont violés ou si l'autorité de contrôle ne donne pas suite à sa réclamation, la refuse ou la rejette, en tout ou en partie, ou si elle n'agit pas alors qu'une action est nécessaire pour protéger les droits de la personne concernée. L'enquête faisant suite à une réclamation devrait être menée, sous contrôle juridictionnel, dans la mesure appropriée requise par le cas d’espèce. L'autorité de contrôle devrait informer la personne concernée de l'état d'avancement et de l'issue de la réclamation dans un délai raisonnable. Si l'affaire requiert un complément d'enquête ou une coordination avec une autre autorité de contrôle, des informations intermédiaires devraient être fournies à la personne concernée. Afin de faciliter l'introduction des réclamations, chaque autorité de contrôle devrait prendre des mesures telles que la fourniture d'un formulaire de réclamation qui peut être également rempli par voie électronique, sans que d'autres moyens de communication soient exclus.

(147) Lorsque le présent règlement prévoit des règles de compétence spécifiques, notamment en ce qui concerne les procédures relatives aux recours juridictionnels, y compris ceux qui visent à obtenir réparation, contre un responsable du traitement ou un sous-traitant, les règles de compétence générales, telles que celles prévues dans le règlement (UE) n° 1215/2012 du Parlement européen et du Conseil1, ne devraient pas porter préjudice à l'application de telles règles juridictionnelles spécifiques.

Afficher les considérants de la Directive 95/46 liés à l'article 78 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 78 keyboard_arrow_up

(55) considérant que, en cas de non-respect des droits des personnes concernées par le responsable du traitement de données, un recours juridictionnel doit être prévu par les législations nationales; que les dommages que peuvent subir les personnes du fait d'un traitement illicite doivent être réparés par le responsable du traitement de données, lequel peut être exonéré de sa responsabilité s'il prouve que le fait dommageable ne lui est pas imputable, notamment lorsqu'il établit l'existence d'une faute de la personne concernée ou d'un cas de force majeure; que des sanctions doivent être appliquées à toute personne, tant de droit privé que de droit public, qui ne respecte pas les dispositions nationales prises en application de la présente directive.

Guidelines

Ici viendront les guidelines

Sommaire

Union Européenne

Belgique

France

Union Européenne

Jurisprudence de la CJUE

C‑132/21 (12 janvier 2023), Budapesti Elektromos Művek

L’article 77, paragraphe 1, l’article 78, paragraphe 1, et l’article 79, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lus à la lumière de l’article 47 de la charte des droits fondamentaux de l’Union européenne,

doivent être interprétés en ce sens que :

ils permettent un exercice concurrent et indépendant des voies de recours prévues, d’une part, à cet article 77, paragraphe 1, et à cet article 78, paragraphe 1, ainsi que, d’autre part, à cet article 79, paragraphe 1. Il appartient aux États membres, en accord avec le principe de l’autonomie procédurale, de prévoir les modalités d’articulation de ces voies de recours afin que soient assurés l’effectivité de la protection des droits garantis par ce règlement, l’application cohérente et homogène des dispositions de ce dernier ainsi que le droit à un recours effectif devant un tribunal, visé à l’article 47 de la charte des droits fondamentaux.

Arrêt de la cour

Conclusions de l'avocat général

Retour au sommaire

Belgique

Bruxelles – Section Cour des marchés n° 2021/AR/1044 (17 juillet 2021)

Selon la Cour, un recours contre une décision administrative ne peut être effectif que si le requérant n'est pas contraint de payer une amende ou de se conformer immédiatement à la décision contestée.

L'article 66 du RGPD prévoit la possibilité d'une "procédure d'urgence" lorsqu'une autorité de contrôle estime qu'il est urgent d'agir pour protéger les droits et libertés des personnes concernées. Par dérogation, l'autorité de contrôle peut adopter immédiatement des mesures provisoires destinées à produire des effets juridiques sur son propre territoire avec une durée de validité déterminée qui ne peut excéder trois mois. A la lecture de cet article (associé aux articles 60 et 62 du RGPD), on peut en déduire que le législateur européen n'a pas entendu rendre les décisions de la chambre contentieuse d'une APD provisoirement exécutoires.

Article 108, § 1er, al. 2 de la loi du 3 décembre 2017, qui prévoit l'exécution provisoire des décisions de l'APD belge, doit être interprétée strictement : pour suspendre les mesures adoptées par l'APD, le demandeur doit prouver et motiver que l'exécution immédiate de la mesure violerait le droit à un recours effectif tel qu'énoncé à l'article 47 de la charte des droits fondamentaux de l'UE (ci-après la « charte »).

Dans cette affaire, le tribunal statue par jugement interlocutoire que :

  • L’administration fiscale belge n'a avancé aucun élément concret, ni dans la requête ni à l'audience, pour justifier sa demande de sursis et, par conséquent, sa requête n'est pas fondée ;
  • la Cour prépare l'affaire pour l'audience sur le fond du mercredi 10 novembre 2021.

Arrêt rendu (néerlandais)

C. Const. Be., n°5/2023 (14 janvier 2023)

1. L’article 14, § 1er, alinéa 1er, des lois sur le Conseil d’État, coordonnées le 12 janvier 1973, ne viole pas les articles 10 et 11 de la Constitution.

2. L’article 108, § 1er, de la loi du 3 décembre 2017 « portant création de l’Autorité de protection des données » viole les articles 10 et 11 de la Constitution en ce que cette disposition ne comporte pas une règle en vertu de laquelle les personnes intéressées qui n’étaient pas parties à la procédure devant la chambre contentieuse de l’Autorité de protection des données peuvent introduire un recours devant la Cour des marchés contre la décision prise par la chambre contentieuse.

Arrêt rendu

Retour au sommaire

France

CE Fr., n°335140 (16 avril 2012)

Le requérant demande l'annulation d'une décision portant, selon lui, création d'un traitement de données à caractère personnel. Il produit à l'appui de sa demande des éléments qui ne permettent, en l'état, ni de regarder comme établie l'existence d'un tel traitement ni, par suite, d'identifier une éventuelle décision de le créer. Il appartient au requérant, s'il estime cependant que ces éléments sont de nature à faire présumer de l'existence d'un traitement de données personnelles et s'il s'y croit fondé, de demander à la CNIL de faire usage des pouvoirs qu'elle détient pour vérifier la licéité de traitements au regard des dispositions de la loi n° 78-17 du 6 janvier 1978.

Arrêt rendu

CE (fr) n° 452668 (8 avril 2022)

I. Sous le n° 452668, par une requête et un mémoire en réplique, enregistrés les 17 mai et 25 octobre 2021 au secrétariat du contentieux du Conseil d'Etat, le Syndicat national du marketing à la performance (SNMP) demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la question - réponse n° 12 de la série de 32 " questions - réponses sur les lignes directrices modificatives et la recommandation "cookies et autres traceurs" " mise en ligne sur le site de la Commission nationale de l'informatique et des libertés (CNIL) le 18 mars 2021 ;
2°) de mettre à la charge de la CNIL la somme de 5 000 euros au titre de l'article L. 761-1 du code de justice administrative.

[...]

Sur la fin de non-recevoir opposée par la CNIL :
[...]
7. Il appartient au juge de l'excès de pouvoir d'examiner les vices susceptibles d'affecter la légalité du document en tenant compte de la nature et des caractéristiques de celui-ci ainsi que du pouvoir d'appréciation dont dispose l'autorité dont il émane. Le recours formé à son encontre doit être accueilli notamment s'il fixe une règle nouvelle entachée d'incompétence, si l'interprétation du droit positif qu'il comporte en méconnaît le sens et la portée ou s'il est pris en vue de la mise en oeuvre d'une règle contraire à une norme juridique supérieure.

Lien 

Retour au sommaire

Le GDPR

Le Règlement va plus loin que la Directive : il ne s’agit plus d’une faculté laissée au pouvoir discrétionnaire des États membres d’organiser une procédure de recours, mais bien d’un droit reconnu à toute personne physique ou morale de former un recours juridictionnel effectif contre une décision juridiquement contraignante de l’autorité de contrôle qui la concerne. Le droit à un recours juridictionnel constitue un élément essentiel de la protection des personnes à l’égard des traitements de données à caractère personnel.

Ce droit à un recours juridictionnel s’ouvre déjà lorsque l’autorité de contrôle ne donne pas suite ou n’informe pas la personne concernée dans un délai de 3 mois, ou dans un délai plus court selon les prescriptions du droit national applicable, de l’état d’avancement ou de l’issue de sa réclamation (§ 2).

En principe, il appartient à la personne concernée de saisir les juridictions de l’État membre sur le territoire duquel l’autorité de contrôle est établie (§ 3).

Enfin, le texte européen fait obligation à l’autorité de contrôle de communiquer à la juridiction saisie d’une plainte contre une de ses décisions, l’avis ou la décision du Comité européen à la protection des données, qui aurait été rendu préalablement dans le cadre du mécanisme de cohérence (§ 4).

La Directive

On l’a vu (cfr. commentaire de l’article 77), sous l’empire de la Directive, les États membres devaient mettre en place une procédure permettant à tout citoyen, ou une association le représentant le cas échéant de saisir l’autorité de contrôle compétente, notamment pour vérifier la licéité d’un traitement le concernant.

La Directive prévoyait en outre que les décisions de l’autorité de contrôle « faisant grief » peuvent faire l’objet d’un recours juridictionnel.

Belgique

En droit belge, il n’existe pas de voie de recours de nature juridictionnelle contre une décision de la CPVP. Cela s’explique principalement par le caractère non conflictuel de la procédure de plainte devant la CPVP tel que prévu à l’article 31 de la loi du 8 décembre 1992 : en cas de plainte à la Commission, cette dernière s’efforcera de résoudre les litiges à l’amiable en invitant le responsable à respecter les obligations qui lui incombent. À défaut de solution, la Commission émettra un avis non liant sur le caractère fondé de la plainte.

Il appartiendra alors à la personne concernée d’éventuellement saisir le président du tribunal de première instance de son domicile pour exiger le respect des droits, conformément à la procédure spécifique mise en place par l’article 14 de la loi du 8 décembre 1992. Certains auteurs plaident d’ailleurs pour que la qualité d’autorité administrative soit reconnue à la CPVP afin que ses décisions soient soumises au contrôle du Conseil d’État (voir. E. DEGRAVE, L’E-gouvernement et la protection de la vie privée, Bruxelles, Larcier, 2014, p. 586 et suivants).

France

La qualité d’autorité d’administrative est reconnue à la CNIL qui dispose déjà de véritables pouvoirs de contrôle et de sanction, lui permettant notamment d’infliger des amendes administratives à l’issue d’une procédure de contrôle. Partant, les décisions de la CNIL peuvent faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à partir de leur notification. On peut donc en conclure qu’en droit français, un recours juridictionnel effectif est déjà en place contre les décisions de l’autorité de contrôle.

Difficultés probables

L’évolution est de taille. Plusieurs États ne permettaient pas un recours contre les décisions des autorités de contrôle, il est vrai souvent à défaut de pouvoir contraignant de celles-ci. Les États devront donc insérer ce recours dans leur droit interne, selon leurs spécificités procédures propres (tribunaux administratifs, judiciaires, etc. ).

Ainsi, en droit belge, l’implémentation de ce nouveau droit à un recours juridictionnel effectif impliquera obligatoirement de mettre en place une nouvelle procédure. 

On ne serait pas étonné que, comme dans d’autres matières (droit de la concurrence, droit de l’énergie, etc.), le recours soit confié à une chambre spécialisée de la Cour d’appel de Bruxelles (actuellement, la 18ème chambre). La spécialisation requise des magistrats chargés de connaître de ce nouveau recours et l’encombrement actuel de la 18ème chambre plaide cependant pour un renforcement de celle-ci ou de la création d’une autre chambre de ce type.

Règlement
1e 2e

Art. 78

1. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne.

2. Sans préjudice de tout autre recours administratif ou extrajudiciaire, toute personne concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de contrôle qui est compétente en vertu des articles 55 et 56 ne traite pas une réclamation ou n'informe pas la personne concernée, dans un délai de trois mois, de l'état d'avancement ou de l'issue de la réclamation qu'elle a introduite au titre de l'article 77.

3. Toute action contre une autorité de contrôle est intentée devant les juridictions de l'État membre sur le territoire duquel l'autorité de contrôle est établie.

4. Dans le cas d'une action intentée contre une décision d'une autorité de contrôle qui a été précédée d'un avis ou d'une décision du comité dans le cadre du mécanisme de contrôle de la cohérence, l'autorité de contrôle transmet l'avis ou la décision en question à la juridiction concernée.

Proposition 1 close

1. Toute personne physique ou morale a le droit de former un recours juridictionnel contre les décisions d'une autorité de contrôle qui la concernent.

2. Toute personne concernée a le droit de former un recours juridictionnel en vue d’obliger l'autorité de contrôle à donner suite à une réclamation, en l'absence d'une décision nécessaire pour protéger ses droits ou lorsque l’autorité de contrôle, n’informe pas la personne concernée, dans un délai de trois mois, de l'état d'avancement ou de l'issue de sa réclamation conformément à l'article 52, paragraphe 1, point b).

3. Les actions contre une autorité de contrôle sont intentées devant les juridictions de l’État membre sur le territoire duquel l'autorité de contrôle est établie.

4. Toute personne concernée affectée par une décision d'une autorité de contrôle d'un État membre autre que celui dans lequel elle a sa résidence habituelle peut demander à l'autorité de contrôle de l'État membre dans lequel elle a sa résidence habituelle d'intenter une action en son nom contre l'autorité de contrôle compétente de l'autre État membre.

5. Les États membres mettent à exécution les décisions définitives des juridictions visées au présent article.

Proposition 2 close

1. Sans préjudice de tout recours administratif ou extrajudiciaire, toute personne physique ou morale a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle qui la concerne.

2. Sans préjudice de tout recours administratif ou extrajudiciaire, chaque personne concernée a le droit de former un recours juridictionnel effectif lorsque l'autorité de contrôle compétente en vertu des articles 51 et 51 bis ne traite pas une réclamation ou n'informe pas la personne concernée, dans un délai de trois mois ou dans un délai plus court prévu par la législation de l'Union ou d'un État membre, de l'état d'avancement ou de l'issue de sa réclamation introduite conformément à l'article 73.

3. (...) Les actions contre une (...) autorité de contrôle sont intentées devant les juridictions de l'État membre sur le territoire duquel l'autorité de contrôle est établie.

3 bis. Dans le cas d'une action intentée contre une décision d'une autorité de contrôle qui a été précédée d'un avis ou d'une décision du comité européen de la protection des données dans le cadre du mécanisme de contrôle de la cohérence, l'autorité de contrôle transmet l'avis ou la décision en question à la juridiction concernée.

4. (…)

5. (…)

Directive close

Art. 28

(…)

3. (…)

Les décisions de l'autorité de contrôle faisant grief peuvent faire l'objet d'un recours juridictionnel.

France

Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés

Art. 19

Modifié par l'ordonnance n° 2018-1125 du 12 décembre 2018

I. - Les membres de la Commission nationale de l'informatique et des libertés ainsi que les agents de ses services habilités dans les conditions définies au dernier alinéa de l'article 10 ont accès, de 6 heures à 21 heures, pour l'exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d'un traitement de données à caractère personnel.

Le procureur de la République territorialement compétent en est préalablement informé.

Lorsqu'un traitement de données à caractère personnel est mis en œuvre, soit dans les parties de ces lieux, locaux, enceintes, installations ou établissements affectées au domicile privé, soit dans de tels lieux, locaux, enceintes, installations ou établissements entièrement affectés au domicile privé, la visite ne peut se dérouler qu'après l'autorisation du juge des libertés et de la détention du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter, dans les conditions prévues au II du présent article.

II. - Le responsable de ces lieux, locaux, enceintes, installations ou établissements est informé de son droit d'opposition à la visite. Lorsqu'il exerce ce droit, la visite ne peut se dérouler qu'après l'autorisation du juge des libertés et de la détention du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter, qui statue dans des conditions fixées par décret en Conseil d'Etat. Toutefois, lorsque l'urgence, la gravité des faits à l'origine du contrôle ou le risque de destruction ou de dissimulation de documents le justifie, la visite peut avoir lieu sans que le responsable des locaux en ait été informé, sur autorisation préalable du juge des libertés et de la détention. Dans ce cas, le responsable des lieux ne peut s'opposer à la visite.

La visite s'effectue sous l'autorité et le contrôle du juge des libertés et de la détention qui l'a autorisée, en présence de l'occupant des lieux ou de son représentant qui peut se faire assister d'un conseil de son choix ou, à défaut, en présence de deux témoins qui ne sont pas placés sous l'autorité des personnes chargées de procéder au contrôle.

L'ordonnance ayant autorisé la visite est exécutoire au seul vu de la minute. Elle mentionne que le juge ayant autorisé la visite peut être saisi à tout moment d'une demande de suspension ou d'arrêt de cette visite. Elle indique le délai et la voie de recours. Elle peut faire l'objet, suivant les règles prévues par le code de procédure civile, d'un appel devant le premier président de la cour d'appel. Celui-ci connaît également des recours contre le déroulement des opérations de visite dont la finalité est l'exercice effectif des missions prévues au III.

III. - Pour l'exercice des missions relevant de la Commission nationale de l'informatique et des libertés en application du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi, les membres et agents mentionnés au premier alinéa du I du présent article peuvent demander communication de tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie. Ils peuvent recueillir, notamment sur place ou sur convocation, tout renseignement et toute justification utiles et nécessaires à l'accomplissement de leur mission. Ils peuvent accéder, dans des conditions préservant la confidentialité à l'égard des tiers, aux programmes informatiques et aux données ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle. Le secret ne peut leur être opposé sauf concernant les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client, par le secret des sources des traitements journalistiques ou, sous réserve du deuxième alinéa du présent III, par le secret médical.

Le secret médical est opposable s'agissant des informations qui figurent dans un traitement nécessaire aux fins de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de service de santé. La communication des données médicales individuelles incluses dans cette catégorie de traitement ne peut alors se faire que sous l'autorité et en présence d'un médecin.

En dehors des contrôles sur place et sur convocation, ils peuvent procéder à toute constatation utile. Ils peuvent notamment, à partir d'un service de communication au public en ligne, consulter les données librement accessibles ou rendues accessibles, y compris par imprudence, par négligence ou par le fait d'un tiers, le cas échéant en accédant et en se maintenant dans des systèmes de traitement automatisé de données le temps nécessaire aux constatations. Ils peuvent retranscrire les données par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle.

Pour le contrôle de services de communication au public en ligne, les membres et agents mentionnés au premier alinéa du I peuvent réaliser toute opération en ligne nécessaire à leur mission sous une identité d'emprunt. A peine de nullité, leurs actes ne peuvent constituer une incitation à commettre une infraction. L'utilisation d'une identité d'emprunt est sans incidence sur la régularité des constatations effectuées conformément au troisième alinéa du présent III. Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, précise les conditions dans lesquelles ces membres et agents procèdent dans ces cas à leurs constatations.

Les membres et agents mentionnés au premier alinéa du I peuvent, à la demande du président de la commission, être assistés par des experts.

Il est dressé procès-verbal des vérifications et visites menées en application du présent article. Ce procès-verbal est dressé contradictoirement lorsque les vérifications et visites sont effectuées sur place ou sur convocation.

IV. - Pour les traitements intéressant la sûreté de l'Etat et qui sont dispensés de la publication de l'acte réglementaire qui les autorise en application du III de l'article 31, le décret en Conseil d'Etat qui prévoit cette dispense peut également prévoir que le traitement n'est pas soumis aux dispositions du présent article.

V. - Dans l'exercice de son pouvoir de contrôle portant sur les traitements relevant du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi, la Commission nationale de l'informatique et des libertés n'est pas compétente pour contrôler les opérations de traitement effectuées, dans l'exercice de leur fonction juridictionnelle, par les juridictions.

Ancienne loi
en France
close

En droit français, un arrêt du Conseil d'état reconnaît à la formation restreinte de la CNIL la qualité de tribunal, au sens de l'article 6 de la convention européenne des droits de l'homme.

En conséquence, les organismes mis en cause peuvent être assistés d'un avocat, peuvent accéder à leur dossier et être entendus lors de la formation restreinte (CE référé, 19 février 2008, n° 311974, SOCIETE PROFIL France).

A compter de la date de notification de la décision de la formation restreinte, l'organisme mis en cause dispose d'un délai de deux mois pour former un recours devant le Conseil d'État contre la décision de la CNIL.

(source : http://www.cnil.fr/linstitution/missions/sanctionner/les-sanctions-de-a-a-z/ .

Belgique

Loi du 03.12.17 portant création de l’Autorité de protection des données

Art. 108

§ 1er. La chambre contentieuse informe les parties de sa décision et de la possibilité de recours dans un délai de trente jours, à compter de la notification à la Cour des marchés.
  Sauf les exceptions prévues par la loi ou sauf si la chambre contentieuse en décide autrement par décision spécialement motivée, la décision est exécutoire par provision, nonobstant recours.
  La décision d'effacement des données conformément à l'article 100, § 1er, 10°, n'est pas exécutoire par provision.
  § 2 Un recours peut être introduit contre les décisions de la chambre contentieuse en vertu des articles 71 et 90 devant la Cour des marchés qui traite l'affaire selon les formes du référé conformément aux articles 1035 à 1038, 1040 et 1041 du Code judiciaire.

Ancienne loi
en Belgique
close

Pas de disposition correspondante

Ulys logo

Cabinet d’avocats moderne et humain,
au service de la création et de l’innovation

En savoir plus
Droit & Technologies logo white

Depuis 1997, le Portail du Droit des Technologies
Retrouvez-y les derniers actualités et des dossiers exclusifs.

En savoir plus
close

En poursuivant votre navigation sur notre site, vous acceptez l’utilisation de cookies afin de nous permettre d’améliorer votre expérience utilisateur. En savoir plus

OK