Règlement (UE) 2025/2518 du Parlement européen et du Conseil du 26 novembre 2025 établissant des règles de procédure supplémentaires relatives à l’application du règlement (UE) 2016/679

JOUE Série L du 12 décembre 2025

Le règlement 2016/679 du 27 avril 2016 prévoit des règles destinées à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD).
Il a notamment instauré un système de mise en œuvre décentralisée qui vise à garantir sa bonne application dans les situations qui concernent un traitement transfrontalier. Dans ce cas, le système nécessite une coopération entre les autorités de contrôle afin de parvenir à un consensus. Lorsque les autorités de contrôle ne parviennent pas à un tel consensus, le règlement prévoit l’intervention du comité européen de la protection des données pour régler le litige.
Le règlement RGPD prévoit également le droit pour chaque personne concernée de bénéficier d’un recours juridictionnel effectif lorsqu’une autorité de contrôle compétente ne traite pas une réclamation.
Afin d’assurer un fonctionnement harmonieux et efficace des mécanismes de coopération et de règlement des litiges respectivement prévus aux articles 60 et 65 du RGPD, ce texte définit des règles procédurales pour le traitement des réclamations et la conduite des enquêtes. Elles concernent tant les cas fondés sur des réclamations que les cas examinés d’office, menées par les autorités de contrôle lorsque ces situations concernent un traitement transfrontalier.
De nouveaux principes destinés à améliorer l’efficacité du règlement RGPD sont, ainsi, posés :
– le traitement d’une réclamation donne toujours lieu à une décision susceptible de recours juridictionnel effectif (article 3) ;
– les réclamations concernant un traitement transfrontalier sont harmonisées. En ce sens, le texte fixe les informations devant être fournies par le demandeur pour qu’une réclamation soit recevable (notamment coordonnées de l’auteur de la réclamation, description de l’exigence non respectée). Les autorités ne peuvent pas imposer la délivrance d’éléments supplémentaires pour recevoir la réclamation (article 4) ;
– la résolution précoce d’une réclamation est possible, sous conditions, lorsque l’autorité de contrôle établit que la violation du manquement a cessé. Cette nouvelle procédure s’applique pour le traitement de certaines réclamations relatives à la violation de la réglementation des données à caractère personnel. En particulier, l’auteur de la réclamation doit être informé de la possibilité de présenter une objection à la résolution précoce dans un délai de quatre semaines à compter de la réception de cette information (article 5) ;
– les procédures transfrontalières sont assorties de délais :
– concernant la procédure de coopération, l’autorité de contrôle chef de file est tenue de présenter un projet de décision dans un délai de quinze mois à compter de la confirmation de sa compétence ou d’une décision contraignante prise par le comité européen de la protection des données. A titre exceptionnel, l’autorité de contrôle peut prolonger une fois ce délai, pour une période ne dépassant pas douze mois, en raison de la complexité de l’affaire (article 12) ;
– lorsque la procédure de coopération simple s’applique, l’autorité de contrôle chef de file dispose d’un délai de douze mois pour présenter un projet de décision (article 12).
Le texte définit les différentes procédures, précise leurs finalités et singularités et fixe les modalités de leur réalisation.
Ces dispositions entrent en vigueur le 1er janvier 2026 et sont applicables à compter du 2 avril 2027.
Des dispositions transitoires sont prévues. En application de celles-ci, les nouvelles règles de procédure s’appliquent aux enquêtes menées d’office qui ont été ouvertes après le 2 avril 2027 et aux enquêtes menées sur la base d’une réclamation lorsque cette dernière a été introduite après le 2 avril 2027. Elles s’appliquent à tous les cas soumis au mécanisme de règlement des litiges et à la procédure d’urgence après le 2 avril 2027.