EDPB (European Data Protection Board / Comité européen de la protection des données)
L'essentiel
L'EDPB est l'instance qui réunit tous les régulateurs européens des données personnelles pour qu'ils disent la même chose. Il publie les interprétations officielles du RGPD que chaque autorité nationale applique ensuite, et quand deux pays ne sont pas d'accord sur un dossier — typiquement une grande plateforme installée en Irlande —, c'est lui qui tranche, et sa décision s'impose. Il ne vous contrôlera jamais et ne vous infligera jamais d'amende : c'est la CNIL qui s'en charge en France.
Détails Techniques
Organe de l'Union européenne doté de la personnalité juridique, institué par l'article 68 du règlement (UE) 2016/679 et opérationnel depuis le 25 mai 2018, composé du chef de chaque autorité de contrôle nationale et du Contrôleur européen de la protection des données. Il assure l'application cohérente du RGPD via les missions énumérées à l'article 70 : lignes directrices, recommandations et bonnes pratiques, avis au titre de l'article 64, décisions contraignantes de règlement des litiges au titre de l'article 65, procédure d'urgence de l'article 66, conseil à la Commission européenne et rapport annuel d'activité.
#Ce qu'est l'EDPB
L'EDPB — European Data Protection Board, en français Comité européen de la protection des données — est l'organe européen indépendant institué par l'article 68 du RGPD. Il est doté de la personnalité juridique et fonctionne depuis l'entrée en application du règlement, le 25 mai 2018. Il succède au G29, le groupe de travail « article 29 » créé sous l'empire de la directive 95/46/CE, avec une différence de nature : le G29 était consultatif, l'EDPB dispose d'un pouvoir de décision contraignante.
Sa raison d'être tient en une phrase : garantir une application cohérente du RGPD dans les vingt-sept États membres. Sans lui, le même traitement de données pourrait être jugé licite à Dublin et illicite à Berlin.
#Composition et rapport avec la CNIL
Le comité réunit le chef de chaque autorité de contrôle nationale, plus le Contrôleur européen de la protection des données. La Commission européenne participe aux travaux sans droit de vote. Le secrétariat est assuré par le CEPD. La présidence est assurée depuis 2023 par Anu Talus, à la tête de l'autorité finlandaise.
La CNIL n'est donc pas subordonnée à l'EDPB : elle en est membre et y vote. Le partage des rôles est net et souvent mal compris. L'EDPB produit de la doctrine et arbitre les désaccords entre autorités ; il ne sanctionne aucune entreprise. Les amendes, les mises en demeure et les contrôles restent la compétence exclusive des autorités nationales. Quand une décision européenne aboutit à une sanction, c'est l'autorité chef de file qui la notifie et l'encaisse, en application de la décision du comité.
#Ses pouvoirs réels
L'article 70 du RGPD énumère ses missions. Trois catégories comptent vraiment pour un DSI :
- Les lignes directrices et recommandations. Elles ne sont pas juridiquement contraignantes au sens strict, mais elles fixent l'interprétation retenue par toutes les autorités. En pratique, s'en écarter revient à assumer un risque de contrôle. Les plus structurantes concernent le consentement, la distinction responsable de traitement / sous-traitant, les mesures supplémentaires pour les transferts internationaux après Schrems II, les interfaces trompeuses et le calcul des amendes administratives.
- Les avis au titre de l'article 64, rendus notamment sur les codes de conduite, les règles d'entreprise contraignantes et les projets de décision des autorités nationales.
- Les décisions contraignantes de l'article 65, le vrai pouvoir dur du comité.
#Guichet unique et article 65
Pour un traitement transfrontalier, le RGPD organise un guichet unique : une autorité chef de file, celle de l'établissement principal du responsable de traitement, instruit le dossier et coordonne les autorités concernées. Ces dernières peuvent formuler des objections pertinentes et motivées sur le projet de décision.
Si le désaccord persiste, l'EDPB tranche par une décision contraignante qui s'impose à l'autorité chef de file. Ce mécanisme a produit certaines des sanctions les plus lourdes prononcées en Europe, en particulier contre des plateformes établies en Irlande, l'autorité irlandaise ayant été plusieurs fois amenée à relever le montant ou à élargir les manquements sur décision du comité. C'est le contrepoids institutionnel au forum shopping.
#IA et protection des données
Le sujet est devenu central. En décembre 2024, le comité a adopté un avis consacré au traitement de données personnelles dans le contexte des modèles d'intelligence artificielle, qui aborde frontalement trois points : dans quelles conditions un modèle peut être considéré comme anonyme, la recevabilité de l'intérêt légitime comme base légale pour l'entraînement, et les conséquences d'un entraînement conduit sur des données traitées illicitement.
Pour toute organisation qui entraîne, affine ou déploie un modèle en Europe, cet avis est un document de travail direct — au même titre que l'AI Act, avec lequel il s'articule sans se confondre : le RGPD régit la donnée personnelle, l'AI Act régit le système d'IA et ses risques. Les deux s'appliquent cumulativement. Notre service conformité traite cette double lecture, en lien avec l'analyse d'impact et le rôle du DPO.
#Termes associés
Applications Concrètes
« Une entreprise établie dans plusieurs États membres relève du guichet unique : une autorité chef de file instruit, les autorités concernées peuvent objecter, et l'EDPB arbitre si le désaccord persiste. La localisation de l'établissement principal devient un paramètre de gouvernance. »
« Après l'arrêt Schrems II, les recommandations du comité sur les mesures supplémentaires structurent l'analyse d'impact des transferts : cartographie, évaluation du droit du pays destinataire, mesures techniques et contractuelles complémentaires. »
« L'avis de décembre 2024 sert de grille de lecture : conditions d'anonymat d'un modèle, recevabilité de l'intérêt légitime pour l'entraînement, conséquences d'un jeu de données collecté illicitement. À croiser avec les obligations de l'AI Act. »
Questions fréquentes sur l'EDPB
La CNIL est l'autorité de contrôle française : elle contrôle, met en demeure et sanctionne les organismes relevant de sa compétence. Le CEPD, ou Contrôleur européen de la protection des données, supervise les traitements mis en œuvre par les institutions et organes de l'Union eux-mêmes. L'EDPB est le comité qui réunit toutes les autorités nationales et le CEPD pour harmoniser l'interprétation du RGPD et arbitrer les litiges entre autorités. Une entreprise n'a jamais l'EDPB comme interlocuteur direct : son interlocuteur est son autorité nationale ou, en transfrontalier, son autorité chef de file.
Formellement non : ce sont des actes de droit souple, sans force contraignante autonome, et un juge national ou la Cour de justice de l'Union peut s'en écarter. En pratique, toutes les autorités de contrôle s'y réfèrent lors de leurs contrôles et de leurs décisions de sanction. S'en écarter n'est pas illégal, mais c'est une position qu'il faut être capable de défendre par écrit, avec une analyse juridique documentée. Pour la plupart des organisations, aligner sa doctrine interne sur celle du comité reste la stratégie la moins coûteuse.
C'est le mécanisme de règlement des litiges entre autorités. Dans un dossier transfrontalier, l'autorité chef de file rédige un projet de décision et le soumet aux autorités concernées. Si l'une d'elles formule une objection pertinente et motivée que la chef de file refuse de suivre, le dossier remonte à l'EDPB, qui tranche à la majorité qualifiée. Sa décision s'impose alors à l'autorité chef de file, qui doit adopter sa décision finale en conséquence. Plusieurs des amendes RGPD les plus élevées prononcées en Europe résultent directement de ce mécanisme.
Son avis adopté en décembre 2024 traite du traitement de données personnelles dans le contexte des modèles d'IA. Il examine à quelles conditions un modèle peut être regardé comme anonyme — la réponse est : au cas par cas, et la charge de la démonstration pèse sur le responsable de traitement —, la possibilité de fonder l'entraînement sur l'intérêt légitime après un test de mise en balance rigoureux, et les conséquences juridiques d'un modèle entraîné sur des données collectées illicitement. C'est aujourd'hui la référence de travail pour cadrer un projet d'IA en Europe.
Non, jamais directement. Le pouvoir de sanction appartient aux autorités de contrôle nationales, qui notifient la décision, fixent le montant dans les plafonds de l'article 83 et en assurent le recouvrement. L'EDPB peut en revanche imposer à une autorité, par une décision de l'article 65, de retenir un manquement ou de revoir le montant qu'elle envisageait. Il publie également des lignes directrices sur le calcul des amendes, qui harmonisent la méthode de fixation entre les États membres.
Ce sont deux corps de règles distincts qui s'appliquent en même temps. Le RGPD, dont l'EDPB est le gardien doctrinal, régit le traitement de données à caractère personnel, quel que soit l'outil employé. L'AI Act régit les systèmes d'IA selon leur niveau de risque, y compris lorsqu'aucune donnée personnelle n'est en jeu, et repose sur une gouvernance propre. Une même solution d'IA peut donc devoir satisfaire simultanément une analyse d'impact RGPD et des obligations de documentation technique, de transparence et de gestion des risques au titre de l'AI Act. Les traiter séparément conduit à refaire deux fois le même travail d'inventaire.