Article 77
Droit d'introduire une réclamation auprès d'une autorité de contrôle
Mots clés liés à l'article 77
(7) Ces évolutions requièrent un cadre de protection des données solide et plus cohérent dans l'Union, assorti d'une application rigoureuse des règles, car il importe de susciter la confiance qui permettra à l'économie numérique de se développer dans l'ensemble du marché intérieur. Les personnes physiques devraient avoir le contrôle des données à caractère personnel les concernant. La sécurité tant juridique que pratique devrait être renforcée pour les personnes physiques, les opérateurs économiques et les autorités publiques.
(141) Toute personne concernée devrait avoir le droit d'introduire une réclamation auprès d'une seule autorité de contrôle, en particulier dans l'État membre où elle a sa résidence habituelle, et disposer du droit à un recours juridictionnel effectif conformément à l'article 47 de la Charte si elle estime que les droits que lui confère le présent règlement sont violés ou si l'autorité de contrôle ne donne pas suite à sa réclamation, la refuse ou la rejette, en tout ou en partie, ou si elle n'agit pas alors qu'une action est nécessaire pour protéger les droits de la personne concernée. L'enquête faisant suite à une réclamation devrait être menée, sous contrôle juridictionnel, dans la mesure appropriée requise par le cas d’espèce. L'autorité de contrôle devrait informer la personne concernée de l'état d'avancement et de l'issue de la réclamation dans un délai raisonnable. Si l'affaire requiert un complément d'enquête ou une coordination avec une autre autorité de contrôle, des informations intermédiaires devraient être fournies à la personne concernée. Afin de faciliter l'introduction des réclamations, chaque autorité de contrôle devrait prendre des mesures telles que la fourniture d'un formulaire de réclamation qui peut être également rempli par voie électronique, sans que d'autres moyens de communication soient exclus.
(142) Lorsqu'une personne concernée estime que les droits que lui confère le présent règlement sont violés, elle devrait avoir le droit de mandater un organisme, une organisation ou une association à but non lucratif, constitué conformément au droit d'un État membre, dont les objectifs statutaires sont d'intérêt public et qui est actif dans le domaine de la protection des données à caractère personnel, pour qu'il introduise une réclamation en son nom auprès d'une autorité de contrôle, exerce le droit à un recours juridictionnel au nom de personnes concernées ou, si cela est prévu par le droit d'un État membre, exerce le droit d'obtenir réparation au nom de personnes concernées. Un État membre peut prévoir que cet organisme, cette organisation ou cette association a le droit d'introduire une réclamation dans cet État membre, indépendamment de tout mandat confié par une personne concernée, et dispose du droit à un recours juridictionnel effectif s'il a des raisons de considérer que les droits d'une personne concernée ont été violés parce que le traitement des données à caractère personnel a eu lieu en violation du présent règlement. Cet organisme, cette organisation ou cette association ne peut pas être autorisé à réclamer réparation pour le compte d'une personne concernée indépendamment du mandat confié par la personne concernée.
(143) Toute personne physique ou morale a le droit de former un recours en annulation des décisions du comité devant la Cour de justice dans les conditions prévues à l'article 263 du traité sur le fonctionnement de l’Union européenne. Dès lors qu'elles reçoivent de telles décisions, les autorités de contrôle concernées qui souhaitent les contester doivent le faire dans un délai de deux mois à compter de la notification qui leur en a été faite, conformément à l'article 263 du traité sur le fonctionnement de l’Union européenne. Lorsque des décisions du comité concernent directement et individuellement un responsable du traitement, un sous-traitant ou l'auteur de la réclamation, ces derniers peuvent former un recours en annulation de ces décisions dans un délai de deux mois à compter de leur publication sur le site internet du comité, conformément à l'article 263 du traité sur le fonctionnement de l’Union européenne. Sans préjudice de ce droit prévu à l'article 263 du traité sur le fonctionnement de l’Union européenne, toute personne physique ou morale devrait disposer d'un recours juridictionnel effectif, devant la juridiction nationale compétente, contre une décision d'une autorité de contrôle qui produit des effets juridiques à son égard. Une telle décision concerne en particulier l'exercice, par l'autorité de contrôle, de pouvoirs d'enquête, d'adoption de mesures correctrices et d'autorisation ou le refus ou le rejet de réclamations. Toutefois, ce droit à un recours juridictionnel effectif ne couvre pas des mesures prises par les autorités de contrôle qui ne sont pas juridiquement contraignantes, telles que les avis émis ou les conseils fournis par une autorité de contrôle. Les actions contre une autorité de contrôle devraient être portées devant les juridictions de l'État membre sur le territoire duquel l'autorité de contrôle est établie et être menées conformément au droit procédural de cet État membre. Ces juridictions devraient disposer d'une pleine compétence, et notamment de celle d'examiner toutes les questions de fait et de droit relatives au litige dont elles sont saisies.Lorsqu'une réclamation a été rejetée ou refusée par une autorité de contrôle, l'auteur de la réclamation peut intenter une action devant les juridictions de ce même État membre. Dans le cadre des recours juridictionnels relatifs à l'application du présent règlement, les juridictions nationales qui estiment qu'une décision sur la question est nécessaire pour leur permettre de rendre leur jugement peuvent ou, dans le cas prévu à l'article 267 du traité sur le fonctionnement de l’Union européenne, doivent demander à la Cour de justice de statuer à titre préjudiciel sur l'interprétation du droit de l'Union, y compris le présent règlement. En outre, lorsqu'une décision d'une autorité de contrôle mettant en oeuvre une décision du comité est contestée devant une juridiction nationale et que la validité de la décision du comité est en cause, ladite juridiction nationale n'est pas habilitée à invalider la décision du comité et doit, dans tous les cas où elle considère qu'une décision est invalide, soumettre la question de la validité à la Cour de justice, conformément à l'article 267 du traité sur le fonctionnement de l’Union européenne tel qu'il a été interprété par la Cour de justice. Toutefois, une juridiction nationale peut ne pas soumettre une question relative à la validité d'une décision du comité à la demande d'une personne physique ou morale qui a eu la possibilité de former un recours en annulation de cette décision, en particulier si elle était concernée directement et individuellement par ladite décision, et ne l'a pas fait dans le délai prévu à l'article 263 du traité sur le fonctionnement de l’Union européenne.
(144) Lorsqu'une juridiction saisie d’une action contre une décision prise par une autorité de contrôle a des raisons de croire que des actions concernant le même traitement, portant par exemple sur le même objet, effectué par le même responsable du traitement ou le même sous-traitant, ou encore la même cause, sont introduites devant une juridiction compétente d'un autre État membre, il convient qu'elle contacte cette autre juridiction afin de confirmer l'existence de telles actions connexes. Si des actions connexes sont pendantes devant une juridiction d'un autre État membre, toute juridiction autre que celle qui a été saisie en premier peut surseoir à statuer ou peut, à la demande de l'une des parties, se dessaisir au profit de la juridiction saisie en premier si celle-ci est compétente pour connaître de l'action concernée et que le droit dont elle relève permet de regrouper de telles actions connexes. Sont réputées connexes, les actions qui sont à ce point étroitement liées qu'il y a intérêt à les instruire et à les juger en même temps afin d'éviter que ne soient rendues des décisions inconciliables, issues de procédures séparées.
(145) En ce qui concerne les actions contre un responsable du traitement ou un sous-traitant, le demandeur devrait pouvoir choisir d'intenter l'action devant les juridictions des États membres dans lesquels le responsable du traitement ou le sous-traitant dispose d'un établissement ou dans l'État membre dans lequel la personne concernée réside, à moins que le responsable du traitement ne soit une autorité publique d'un État membre agissant dans l'exercice de ses prérogatives de puissance publique.
La Directive imposait déjà aux États membres de mettre en place une procédure de réclamation auprès de l’autorité de contrôle. Ainsi, toute personne, ou une association la représentant, peuvent introduire toute demande relative à la protection de ses droits et libertés à l'égard du traitement de données à caractère personnel. Celle-ci peut notamment consister en une demande de vérification de la licéité d'un traitement. Aux termes de l’article 28, paragraphe 4, la personne doit être informée des suites données à sa réclamation ou, le cas échéant, de ce qu'une vérification a eu lieu.
Le GDPR
À l’instar de la Directive, l’article 77 du Règlement investit toute personne concernée par un traitement du droit d’introduire une plainte auprès d'une autorité de contrôle, si celle-ci estime que le traitement de données à caractère personnel la concernant n'est pas conforme aux règles européennes. Toute violation du Règlement est donc susceptible de justifier une telle plainte.
Dans sa première mouture, le second paragraphe de l’article 77 précisait également les organisations habilitées à déposer une réclamation au nom de la personne concernée, voir même indépendamment de toute réclamation de la personne concernée, en cas de violation de données à caractère personnel. Cet élément n’a toutefois pas été retenu dans la version finale du texte.
La détermination de l’autorité de contrôle à saisir n’est pas précisée de manière stricte. Selon le paragraphe 1er, la personne concernée peut introduire une réclamation tant auprès de l’autorité de contrôle dans lequel se trouve sa résidence habituelle, son lieu de travail que de celle exerçant sa compétence sur lieu où la violation aurait été commise.
Il incombe enfin à l’autorité de contrôle d’informer la personne concernée de l'état d'avancement et du résultat de la réclamation dans un délai raisonnable, et de lui indiquer son droit à un recours juridictionnel contre la décision de l’autorité de contrôle en vertu de l’article 78 du Règlement (§ 2).
La Directive
La Directive imposait déjà aux États membres de mettre en place une procédure de réclamation auprès de l’autorité de contrôle. Ainsi, toute personne, ou une association la représentant, peuvent introduire toute demande relative à la protection de ses droits et libertés à l'égard du traitement de données à caractère personnel. Celle-ci peut notamment consister en une demande de vérification de la licéité d'un traitement. Aux termes de l’article 28, paragraphe 4, la personne doit être informée des suites données à sa réclamation ou, le cas échéant, de ce qu'une vérification a eu lieu.
BelgiqueLa compétence de la Commission de la protection de la vie privée (CPVP) pour examiner les plaintes des personnes concernées par un traitement est prévue à l’article 31 de la loi du 8 décembre 1992. La CPVP dispose principalement d’une compétence d’avis : en cas de plainte, elle tente de parvenir à une solution amiable en invitant le responsable à respecter ses obligations, selon la procédure prévue par son Règlement d’ordre intérieur. À défaut d’accord, elle peut uniquement rendre un avis sur la violation de la loi du 8 décembre 1992 par le responsable. L’article 32 de la loi du 8 décembre 1992 prévoit également que la CPVP dénonce au Procureur les infractions dont elle a connaissance. Il appartient ensuite à la personne concernée de saisir, le cas échéant, le président du tribunal de première instance de son domicile, conformément à l’article 14 de la loi du 8 décembre 1992.
Difficultés probables ?
Dans les pays où l’autorité n’avait pas de pouvoir de décision, on peut s’attendre à une augmentation des plaintes, dès lors qu’elles pourront aboutir à une décision, susceptible de recours. Le problème est alors de savoir quelle sera la procédure à respecter devant l’autorité nationale –on peut cependant supposer qu’elle soit contradictoire- et d’éviter que sa lourdeur et/ou son coût ne découragent la personne concernée.
Sommaire
Union Européenne
Belgique
France
Union Européenne
Jurisprudence de la CJUE
C‑132/21 (12 janvier 2023), Budapesti Elektromos Művek
L’article 77, paragraphe 1, l’article 78, paragraphe 1, et l’article 79, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lus à la lumière de l’article 47 de la charte des droits fondamentaux de l’Union européenne,
doivent être interprétés en ce sens que :
ils permettent un exercice concurrent et indépendant des voies de recours prévues, d’une part, à cet article 77, paragraphe 1, et à cet article 78, paragraphe 1, ainsi que, d’autre part, à cet article 79, paragraphe 1. Il appartient aux États membres, en accord avec le principe de l’autonomie procédurale, de prévoir les modalités d’articulation de ces voies de recours afin que soient assurés l’effectivité de la protection des droits garantis par ce règlement, l’application cohérente et homogène des dispositions de ce dernier ainsi que le droit à un recours effectif devant un tribunal, visé à l’article 47 de la charte des droits fondamentaux.
Conclusions de l'avocat général
C-33/22 (16 janvier 2024) - Österreichische Datenschutzbehörde
1) L’article 16, paragraphe 2, première phrase, TFUE et l’article 2, paragraphe 2, sous a), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doivent être interprétés en ce sens que :
une activité ne saurait être considérée comme située en dehors du champ d’application du droit de l’Union et comme échappant dès lors à l’application de ce règlement pour la seule raison qu’elle est exercée par une commission d’enquête mise en place par le parlement d’un État membre dans l’exercice de son pouvoir de contrôle du pouvoir exécutif.
2) L’article 2, paragraphe 2, sous a), du règlement 2016/679, lu à la lumière du considérant 16 de ce règlement,
doit être interprété en ce sens que :
ne sauraient être considérées, en tant que telles, comme des activités relatives à la sécurité nationale situées en dehors du champ d’application du droit de l’Union, au sens de cette disposition, les activités d’une commission d’enquête mise en place par le parlement d’un État membre dans l’exercice de son pouvoir de contrôle du pouvoir exécutif, ayant pour objet d’enquêter sur les activités d’une autorité policière de protection de l’État en raison d’un soupçon d’influence politique sur cette autorité.
3) L’article 77, paragraphe 1, et l’article 55, paragraphe 1, du règlement 2016/679
doivent être interprétés en ce sens que :
lorsqu’un État membre a fait le choix, conformément à l’article 51, paragraphe 1, de ce règlement, d’instituer une seule autorité de contrôle, sans toutefois lui attribuer la compétence pour surveiller l’application dudit règlement par une commission d’enquête mise en place par le parlement de cet État membre dans l’exercice de son pouvoir de contrôle du pouvoir exécutif, ces dispositions confèrent directement à cette autorité la compétence pour connaître des réclamations relatives à des traitements de données à caractère personnel effectués par ladite commission d’enquête.
Conclusions de l'Avocat général
Arrêt rendu
C-768/21 (26 septembre 2024) - Land Hessen
L’article 57, paragraphe 1, sous a) et f), l’article 58, paragraphe 2, et l’article 77, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), doivent être interprétés en ce sens que : en cas de constatation d’une violation de données à caractère personnel, l’autorité de contrôle n’est pas tenue d’adopter une mesure correctrice, en particulier une amende administrative, au titre de cet article 58, paragraphe 2, lorsqu’une telle intervention n’est pas appropriée, nécessaire ou proportionnée pour remédier à l’insuffisance constatée et garantir le plein respect de ce règlement.
Conclusions de l'Avocat général
C-169/23 (28 novembre 2024) - Másdi
1) L’article 14, paragraphe 5, sous c), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doit être interprété en ce sens que :
l’exception à l’obligation d’information de la personne concernée par le responsable du traitement, prévue à cette disposition, concerne indistinctement toutes les données à caractère personnel que le responsable du traitement n’a pas collectées directement auprès de la personne concernée, que ces données aient été obtenues par le responsable du traitement auprès d’une personne autre que la personne concernée ou qu’elles aient été générées par le responsable du traitement lui-même, dans le cadre de l’exercice de ses missions.
2) L’article 14, paragraphe 5, sous c), et l’article 77, paragraphe 1, du règlement 2016/679
doivent être interprétés en ce sens que :
dans le cadre d’une procédure de réclamation, l’autorité de contrôle est compétente pour vérifier si le droit de l’État membre auquel est soumis le responsable du traitement prévoit des mesures appropriées pour protéger les intérêts légitimes de la personne concernée, aux fins de l’application de l’exception prévue à cet article 14, paragraphe 5, sous c). Cette vérification ne porte toutefois pas sur le caractère approprié des mesures que le responsable du traitement est tenu de mettre en œuvre, en vertu de l’article 32 de ce règlement, afin de garantir la sécurité des traitements de données à caractère personnel.
Arrêt rendu
Conclusions de l'Avocat général
Retour au sommaire
Belgique
Bruxelles – Section Cour des marchés n° 2020/AR/329 (2 septembre 2020)
L'article 57 du RGPD prévoit que l'autorité de contrôle ne doit "examiner le contenu de la réclamation" que "dans la mesure appropriée". Il n'y a donc pas d'obligation absolue mais un pouvoir discrétionnaire pour l'autorité de contrôle de procéder à une enquête de fond complète et à une évaluation de fond complète de la plainte.
Si l'autorité de contrôle considère qu'un traitement de l'affaire sur le fond n'est pas approprié (en raison de considérations politiques, par exemple), elle est autorisée à rejeter la plainte. La faculté de révocation fait en effet partie des suites qui peuvent être données à une réclamation conformément à l'article 95 §1, 3° loi du 3 décembre 2017.
Mais lorsque l'autorité de contrôle décide de rejeter une réclamation, elle doit motiver formellement et substantiellement cette décision . Une décision fondée sur des motifs erronés ou juridiquement inacceptables révèle un excès de pouvoir et est donc annulable.
Dans cette affaire, la Cour du marché de la Cour d'appel de Bruxelles a estimé que la décision de la chambre contentieuse de la DPA n'était pas dûment motivée car elle n'expliquait pas pourquoi il n'y avait pas d'"impact social large", ni comment et dans quelle mesure la plainte déontologique déposée auprès de l'autorité compétente avait le même objet que la plainte auprès de la DPA. Le motif établissant l'insuffisance des ressources financières à la disposition de la DPA n'a pas non plus été jugé concluant car il n'était étayé par aucune donnée. De plus, « [l'APD] est au service du citoyen et doit veiller à ce qu'il dépense correctement ses ressources » ; "les citoyens ne doivent pas et ne doivent pas être les victimes".
Le tribunal du marché a donc ordonné à la DPA de rendre une nouvelle décision concernant la plainte dans un délai raisonnable.
Retour au sommaireFrance
CE Fr., n°391000 (24 février 2017)
Il résulte des dispositions de l'article 11 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés que, sans préjudice des voies de recours ouvertes devant le juge judiciaire s'agissant des litiges opposant des particuliers aux exploitants d'un moteur de recherche, la CNIL est compétente pour connaître des plaintes formées à la suite d'une décision de refus de déréférencement opposée par l'exploitant d'un moteur de recherche et, le cas échéant, pour mettre en demeure celui-ci de faire droit à la demande de déréférencement. Ce pouvoir s'exerce, eu égard à la nature des droits individuels en cause, sous l'entier contrôle du juge de l'excès de pouvoir.
CE Fr., n°398442 (19 juin 2017)
L'auteur d'une plainte n'est pas recevable à demander l'annulation de la sanction prononcée par la CNIL à l'encontre d'un tiers à l'issue de l'instruction de la plainte qu'il a formée, en tant que celle-ci ne serait pas assez sévère. En revanche, l'auteur d'une plainte est recevable à déférer au juge de l'excès de pouvoir le refus de la CNIL de lui fournir les informations relatives aux suites données à sa plainte auxquelles il a droit en application des dispositions de l'article 11 2° c) de la loi n° 78-17 du 6 janvier 1978. Il résulte de ces dispositions que, lorsque la plainte conduit à sanctionner la personne mise en cause, la complète information de son auteur comprend nécessairement, y compris lorsque la sanction a été rendue publique, la communication de la nature des manquements retenus et de la teneur de la sanction prononcée, sous la réserve des secrets protégés par la loi.
Retour au sommaire|
Art. 77 1. Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. 2. L'autorité de contrôle auprès de laquelle la réclamation a été introduite informe l'auteur de la réclamation de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'un recours juridictionnel en vertu de l'article 78. |
Proposition 1
close
1. Sans préjudice de tout autre recours administratif ou judiciaire, toute personne concernée a le droit d’introduire une réclamation auprès d'une autorité de contrôle dans tout État membre si elle considère que le traitement de données à caractère personnel la concernant n'est pas conforme au présent règlement. 2. Tout organisme, organisation ou association qui œuvre à la protection des droits et des intérêts des personnes concernées à l’égard de la protection de leurs données à caractère personnel et qui a été valablement constitué conformément au droit d’un État membre a le droit d'introduire une réclamation auprès d’une autorité de contrôle dans tout État membre au nom d’une ou de plusieurs personnes concernées s'il considère que les droits dont jouit une personne concernée en vertu du présent règlement ont été violés à la suite du traitement de données à caractère personnel. 3. Indépendamment d’une réclamation introduite par une personne concernée, tout organisme, organisation ou association visé au paragraphe 2 a le droit de saisir une autorité de contrôle dans tout État membre d'une réclamation s'il considère qu'il y a eu violation de données à caractère personnel. |
Proposition 2
close
1. Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle unique, en particulier dans l'État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant n'est pas conforme au présent règlement. 2. (…) 3. (…) 4. (…) 5. L'autorité de contrôle auprès de laquelle la réclamation a été introduite informe la personne à l'origine de la réclamation de l'état d'avancement et de l'issue de la réclamation, y compris de la possibilité d'un recours juridictionnel en vertu de l'article 74 (...). |
Directive close
Art. 28 (…) 4. Chaque autorité de contrôle peut être saisie par toute personne, ou par une association la représentant, d'une demande relative à la protection de ses droits et libertés à l'égard du traitement de données à caractère personnel. La personne concernée est informée des suites données à sa demande. Chaque autorité de contrôle peut, en particulier, être saisie par toute personne d'une demande de vérification de la licéité d'un traitement lorsque les dispositions nationales prises en vertu de l'article 13 de la présente directive sont d'application. La personne est à tout le moins informée de ce qu'une vérification a eu lieu. |
Belgique
Aucune disposition spécifique |
Ancienne loi
close
Art. 31 § 1er. Sans préjudice de toute action devant les tribunaux et sauf si la loi en dispose autrement, la Commission examine les plaintes signées et dates qui lui sont adressées. Ces plaintes peuvent avoir trait à sa mission de protection de la vie privée à l'égard des traitements de données à caractère personnel ou à d'autres missions qui lui sont confiées par la loi § 2. La procédure est réglée par le règlement d'ordre intérieur. Celui-ci prévoit l'exercice d'un droit de défense. § 3. La Commission examine la recevabilité de la plainte. Si la plainte est recevable, la Commission accomplit toute mission de médiation qu'elle juge utile. En cas de conciliation des parties, fondée sur le respect de la vie privée, elle dresse un procès-verbal dans lequel la solution retenue est explicitée. En l'absence de conciliation, la Commission émet un avis sur la caractère fondé de la plainte. Son avis peut être accompagné de recommandations à l'intention du (responsable du traitement). § 4. Les décisions, avis et recommandations de la Commission sont motivés. § 5. La Commission communique sa décision, son avis ou ses recommandations au plaignant, au (responsable du traitement) et à toutes les autres parties à la cause. Une copie de la décision, de l'avis des recommandations est adressée au Ministre de la Justice. |