Responsable de traitement et sous-traitants, intérêt légitime, règlement procédural : les derniers documents adoptés par le Comité européen de la protection des données
Lors de sa dernière session plénière, le Comité européen de la protection des données (CEPD) a adopté un nouvel avis concernant le recours à des sous-traitants, un projet de lignes directrices sur l’intérêt légitime, ainsi qu’une déclaration liée au futur règlement procédural de la Commission européenne.
Les 7 et 8 octobre 2024, le CEPD s’est réuni en session plénière et a adopté plusieurs documents importants.
L’avis concernant le recours à des sous-traitants
L'avis 22/2024 porte sur les situations dans lesquelles les responsables du traitement font appel à un ou plusieurs sous-traitants et sous-traitants ultérieurs. Cet avis aborde huit questions concernant l'interprétation de certaines obligations des responsables du traitement et la formulation des contrats de sous-traitance (application de l'article 28 du RGPD).
Le projet de lignes directrices sur l’intérêt légitime
Le CEPD a également adopté un projet de lignes directrices sur l’intérêt légitime. Celles-ci analysent les critères que les responsables du traitement doivent remplir pour traiter légalement des données personnelles sur la base de l' « intérêt légitime » (article 6.1f du RGPD). Elles prennent également en considération le récent arrêt de la Cour de justice de l’Union européenne (CJUE) en la matière (C-621/22, 4 octobre 2024). Ces lignes directrices sont soumises à consultation publique jusqu’au 20 novembre 2024.
La déclaration sur le futur règlement procédural de la Commission européenne
Le CEPD a adopté une déclaration sur les positions prises par le Parlement européen et le Conseil concernant la proposition de règlement de la Commission européenne destiné à rationaliser la coopération entre les autorités et améliorer l'application du RGPD. En pratique, ce projet de règlement établit des règles procédurales supplémentaires. Cette déclaration du CEPD accueille favorablement les modifications proposées le Parlement et le Conseil et formule des recommandations précises sur des améliorations à apporter au texte.. Cette déclaration fait suite à l’avis conjoint 01/2023 adopté un an plus tôt sur cette proposition.
Le programme de travail 2024-2025 du CEPD
Enfin, le CEPD a présenté son programme de travail 2024-2025, mettant en œuvre la stratégie du CEPD pour 2024-2027, adoptée en avril 2024. Un second programme sera préparé pour la période 2026-2027. Il est basé sur les priorités stratégiques fixées par le CEPD et prend également en compte les besoins identifiés par les parties prenantes.
Textes de référence
- Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) (PDF, 651 Ko) (en anglais)
- Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR (PDF, 705 Ko) (en anglais)
- Statement 4/2024 on the recent legislative developments on the Draft Regulation laying down additional procedural rules for the enforcement of the GDPR (PDF, 1 Mo) (en anglais)
- EDPB Work Programme 2024-2025 (PDF, 1 Mo) (en anglais)
