L'article 66 du Règlement général sur la protection des données (RGPD) institue une procédure d'urgence permettant au Comité européen de la protection des données (CEPD) d'adopter des décisions contraignantes dans des délais très courts lorsqu'une autorité de contrôle considère qu'il existe un besoin urgent d'agir pour protéger les droits et libertés des personnes concernées. Cette disposition constitue un mécanisme de sauvegarde essentiel du système de coopération européen.
Dans certaines situations, les délais normaux du mécanisme de contrôle de la cohérence, qui peuvent s'étendre sur plusieurs semaines voire plusieurs mois, ne permettraient pas de réagir suffisamment rapidement face à des violations graves ou à des risques imminents pour les droits des personnes. La procédure d'urgence prévue à l'article 66 offre une réponse adaptée à ces situations exceptionnelles, permettant une intervention rapide et coordonnée des autorités de contrôle.
L'article 66 s'inscrit dans le cadre du chapitre VII consacré à la coopération et à la cohérence, et complète les mécanismes prévus aux articles 64 et 65 en offrant une voie accélérée pour les situations nécessitant une action immédiate.
Texte officiel de l'article 66 du RGPD
L'article 66 du RGPD dispose notamment que :
« 1. Dans des circonstances exceptionnelles, lorsqu'une autorité de contrôle concernée considère qu'il est urgent d'intervenir pour protéger les droits et libertés de personnes concernées, elle peut, par dérogation au mécanisme de contrôle de la cohérence visé aux articles 63, 64 et 65 ou à la procédure visée à l'article 60, adopter immédiatement des mesures provisoires destinées à produire des effets juridiques sur son propre territoire pour une durée déterminée n'excédant pas trois mois. L'autorité de contrôle communique sans délai ces mesures et les motifs de leur adoption aux autres autorités de contrôle concernées, au comité et à la Commission.
2. Lorsqu'une autorité de contrôle a pris une mesure en application du paragraphe 1 et considère qu'il est nécessaire d'adopter d'urgence des mesures définitives, elle peut demander un avis d'urgence ou une décision d'urgence du comité en motivant cette demande.
3. Toute autorité de contrôle peut demander un avis d'urgence ou une décision d'urgence, selon le cas, du comité lorsqu'une autorité de contrôle compétente n'a pas pris de mesure appropriée dans une situation où il est urgent d'intervenir pour protéger les droits et libertés de personnes concernées, en motivant sa demande, y compris les raisons pour lesquelles il est urgent d'intervenir.
4. Par dérogation à l'article 64, paragraphe 3, et à l'article 65, paragraphe 2, un avis d'urgence ou une décision d'urgence visés aux paragraphes 2 et 3 du présent article sont adoptés dans un délai de deux semaines à la majorité simple des membres du comité. »
Ce texte établit un mécanisme accéléré permettant aux autorités de contrôle de prendre des mesures rapides pour protéger les droits des personnes concernées en cas d'urgence.
Adoption de mesures provisoires nationales
L'article 66, paragraphe 1, autorise une autorité de contrôle à adopter immédiatement des mesures provisoires sur son propre territoire, par dérogation aux mécanismes ordinaires de coopération et de cohérence, lorsqu'elle considère qu'il est urgent d'intervenir pour protéger les droits et libertés des personnes concernées. Ces mesures peuvent produire des effets juridiques pour une durée déterminée n'excédant pas trois mois.
Cette faculté constitue une exception importante au principe de coopération préalable entre autorités, justifiée par la nécessité de pouvoir agir rapidement face à des situations critiques. L'urgence peut résulter de divers facteurs : une violation massive de données en cours, un traitement manifestement illicite causant un préjudice grave aux personnes, ou encore une menace imminente pour la sécurité des données.
L'autorité qui adopte de telles mesures provisoires doit immédiatement les communiquer, ainsi que les motifs de leur adoption, aux autres autorités de contrôle concernées, au CEPD et à la Commission européenne. Cette obligation de communication garantit la transparence de l'action unilatérale et permet aux autres acteurs du système de protection des données d'en prendre connaissance.
Demande d'avis ou de décision d'urgence par l'autorité ayant agi
L'article 66, paragraphe 2, prévoit que l'autorité de contrôle ayant adopté une mesure provisoire en application du paragraphe 1 peut demander au CEPD d'adopter un avis d'urgence ou une décision d'urgence si elle considère qu'il est nécessaire d'adopter d'urgence des mesures définitives. Cette demande doit être motivée, l'autorité devant expliquer les raisons pour lesquelles une intervention urgente demeure nécessaire au-delà de la mesure provisoire initiale.
Ce mécanisme permet de transformer une action provisoire unilatérale en une décision européenne coordonnée, garantissant ainsi que la réponse à la situation d'urgence soit cohérente à l'échelle de l'Union et ne se limite pas au territoire d'un seul État membre.
Demande d'avis ou de décision d'urgence en cas d'inaction
L'article 66, paragraphe 3, prévoit qu'une autorité de contrôle peut également demander un avis d'urgence ou une décision d'urgence du CEPD lorsqu'une autorité de contrôle compétente n'a pas pris de mesure appropriée dans une situation où il est urgent d'intervenir pour protéger les droits et libertés des personnes concernées.
Cette disposition vise à remédier aux situations où l'autorité normalement compétente, par exemple l'autorité chef de file dans le cadre d'un traitement transfrontalier, ne prend pas les mesures nécessaires malgré l'urgence de la situation. Elle permet à toute autre autorité de saisir le CEPD pour qu'il intervienne et garantisse la protection effective des personnes concernées.
Délai accéléré d'adoption par le CEPD
L'article 66, paragraphe 4, prévoit un délai fortement accéléré pour l'adoption des avis ou décisions d'urgence par le CEPD. Par dérogation aux délais normaux de huit semaines (article 64) ou d'un mois (article 65), les avis et décisions d'urgence doivent être adoptés dans un délai de deux semaines à la majorité simple des membres du comité.
Cette réduction importante des délais et de la majorité requise reflète le caractère exceptionnel de la procédure d'urgence. Elle permet au CEPD de réagir rapidement face à des situations critiques, tout en maintenant un processus collégial garantissant la qualité de la décision adoptée.
Conditions d'application de la procédure d'urgence
La procédure d'urgence ne peut être activée que dans des circonstances exceptionnelles, lorsqu'il existe un besoin urgent d'intervenir pour protéger les droits et libertés des personnes concernées. L'appréciation de l'urgence relève de l'autorité de contrôle qui envisage d'adopter des mesures provisoires ou de saisir le CEPD.
Toutefois, cette appréciation n'est pas totalement discrétionnaire. L'autorité doit motiver sa demande, incluant les raisons pour lesquelles elle considère qu'il est urgent d'intervenir. Cette motivation fait l'objet d'un examen par le CEPD, qui peut apprécier le bien-fondé de la qualification d'urgence lors de l'adoption de son avis ou de sa décision.
Articulation avec les autres dispositions du RGPD
L'article 66 constitue une dérogation aux mécanismes ordinaires de coopération et de cohérence prévus aux articles 60, 63, 64 et 65. Il permet de court-circuiter les procédures normales lorsque l'urgence l'exige, tout en maintenant un cadre européen d'intervention via la saisine du CEPD.
Il doit également être lu en lien avec l'article 55, paragraphe 1, qui prévoit que chaque autorité de contrôle est compétente pour exercer ses missions sur le territoire de son État membre. Les mesures provisoires prévues à l'article 66, paragraphe 1, s'inscrivent dans ce cadre de compétence territoriale, tout en constituant une exception au mécanisme du guichet unique.
Enfin, l'article 66 s'articule avec l'article 58, qui définit les pouvoirs des autorités de contrôle. Les mesures provisoires adoptées au titre de l'article 66 doivent s'inscrire dans le cadre des pouvoirs conférés aux autorités par l'article 58, notamment les pouvoirs correcteurs prévus au paragraphe 2.
Jurisprudence relative à l'article 66
La procédure d'urgence prévue à l'article 66 du RGPD a été utilisée à plusieurs reprises depuis l'entrée en application du règlement, témoignant de son utilité pratique face à des situations critiques. Plusieurs autorités de contrôle européennes ont adopté des mesures provisoires sur leur territoire pour faire face à des violations graves ou à des risques imminents pour les droits des personnes.
Le Comité européen de la protection des données a également été saisi de demandes d'avis ou de décision d'urgence dans certaines affaires sensibles. Ces interventions ont permis d'apporter une réponse rapide et coordonnée à des problématiques transfrontalières nécessitant une action immédiate.
La jurisprudence relative à l'article 66 demeure toutefois limitée, la procédure d'urgence conservant un caractère exceptionnel. Les autorités de contrôle privilégient généralement les mécanismes ordinaires de coopération, ne recourant à la procédure d'urgence que lorsque les circonstances le justifient véritablement.
Recommandations de la CNIL et du CEPD
Le Comité européen de la protection des données insiste sur le caractère exceptionnel de la procédure d'urgence prévue à l'article 66. Il recommande aux autorités de contrôle de n'y recourir que lorsque les circonstances le justifient véritablement, afin de préserver l'efficacité des mécanismes ordinaires de coopération et de cohérence.
La CNIL souligne que la procédure d'urgence constitue un outil important pour protéger les droits des personnes dans des situations critiques. Elle rappelle toutefois que l'adoption de mesures provisoires unilatérales doit s'accompagner d'une communication rapide aux autres autorités concernées et, le cas échéant, d'une saisine du CEPD pour obtenir une décision européenne coordonnée.
Le CEPD recommande aux autorités de contrôle de documenter soigneusement les circonstances justifiant le recours à la procédure d'urgence, afin de permettre un examen approfondi du bien-fondé de cette qualification par le comité. Il encourage également une communication proactive entre autorités pour identifier rapidement les situations nécessitant une intervention urgente.
Implications pratiques pour les responsables de traitement
Pour les responsables de traitement, la procédure d'urgence prévue à l'article 66 implique qu'ils peuvent faire l'objet de mesures provisoires immédiates de la part d'une autorité de contrôle, sans bénéficier des délais ordinaires de la procédure de coopération. Ces mesures peuvent avoir un impact significatif sur leurs opérations, pouvant aller jusqu'à la limitation ou l'interdiction temporaire d'un traitement.
Les organisations doivent donc être préparées à réagir rapidement en cas d'adoption de telles mesures, en mettant en place des procédures d'urgence permettant de suspendre ou de modifier un traitement dans des délais très courts. La coopération avec l'autorité de contrôle et la mise en œuvre rapide des mesures demandées constituent des éléments essentiels pour limiter l'impact de la procédure d'urgence.
Les responsables de traitement doivent également être conscients que les mesures provisoires adoptées au titre de l'article 66, paragraphe 1, ont une durée limitée à trois mois maximum. Toutefois, ces mesures peuvent être suivies d'une décision définitive du CEPD ou de l'autorité de contrôle, prolongeant les effets de l'intervention initiale.
L'article 66 du RGPD constitue un mécanisme de sauvegarde essentiel permettant aux autorités de contrôle de réagir rapidement face à des situations d'urgence menaçant les droits et libertés des personnes concernées. En autorisant l'adoption de mesures provisoires immédiates et en prévoyant une procédure accélérée devant le CEPD, il garantit que le système de protection des données puisse s'adapter aux circonstances exceptionnelles tout en maintenant un cadre européen coordonné. Cette procédure constitue un équilibre entre la nécessité d'une action rapide et l'importance d'une approche harmonisée à l'échelle de l'Union.