Règlement (UE) 2025/2518 : un code de procédure européen pour les traitements transfrontaliers

Le règlement (UE) 2025/2158 du 26 novembre 2025, publié au Journal officiel de l’Union européenne du 12 décembre 2025, vise à réparer les difficultés pratiques et juridiques rencontrées dans l’application transfrontalière du RGPD. Son objectif principal est d’harmoniser les procédures entre autorités de protection des données (« APD »), de renforcer les droits procéduraux et de fluidifier la coopération entre autorités.

Contexte général : améliorer la coopération transfrontalière du RGPD

Le RGPD repose sur un système décentralisé :

• Une autorité de contrôle chef de file est compétente pour les traitements transfrontaliers,
• Les autorités concernées participent aux enquêtes,
• Le Comité européen de la protection des données (« EDPB » en anglais) règle les désaccords via le mécanisme prévu à l’article 65 du RGPD.

Dans la pratique, ce système souffrait de lenteurs, divergences d’interprétation et blocages.

Le nouveau règlement vise donc à :

• Définir des règles procédurales uniformes
• Clarifier les étapes d’enquête et fixer des délais
• Renforcer la coopération entre APD
• Protéger les droits des parties : plaignants et responsable du traitement.

Gestion uniforme des réclamations

Définition et recevabilité

Le règlement précise ce qu’est une réclamation recevable si :

• Elle doit concerner les données personnelles du plaignant,
• Elle contient des informations minimales définies au niveau européen.

Les conditions formelles relèvent encore du droit national : langue, signature, formulaire…

Une simple demande d’information ou un signalement général n’est pas une réclamation.

Pour les réclamations déposées par des associations (art. 80 RGPD), le règlement impose des preuves d’habilitation.

Transmission et rôle des autorités

L’APD saisie détermine si le cas est transfrontalier. Si la réponse est positive, la plainte est transmise à l’autorité chef de file. La décision sur la recevabilité rendue par l’APD initiale s’impose à l’autorité chef de file.

Le règlement prévoit aussi que les APD facilitent la soumission d’une réclamation (formulaires, accessibilité handicap…).

Informations manquantes

En cas de dossier incomplet, l’APD saisie contacte le plaignant, lequel dispose d’un délai pour communiquer les éléments demandés. En cas de non-réponse dans le délai imparti, la demande est réputée irrecevable.

Enquêtes plus rapides, plus coopératives, plus transparentes

Délais et coopération

Le règlement fixe des délais pour la plupart des étapes, afin d’éviter les procédures trop longues. Ainsi, l’autorité de contrôle chef de file doit présenter un projet de décision dans un délai de 15 mois à compter de la confirmation de sa compétence.

Aussi, les APD doivent coopérer :

• De manière loyale et active
• Dès le début de l’enquête
• Grâce à un échange d’informations pertinent et continu.

L’absence de respect strict des délais ne rend toutefois pas nulle la procédure.

Procédure de résolution précoce (« early resolution »)

Cette procédure permet de clôturer rapidement une affaire si

• La violation alléguée a cessé,
• Le plaignant n’objecte pas,
• Les preuves montrent que la plainte devient sans objet.

Dans de tels cas, l’affaire peut être clôturée rapidement, tout en laissant à l’autorité chef de file le pouvoir d’enquêter davantage en cas de risque systémique.

Cette procédure vise principalement les violations des droits des personnes (chapitre III RGPD).

Procédure de « coopération simple »

Pour les affaires non complexes, l’autorité chef de file peut utiliser une voie accélérée, à condition qu’il n’existe aucune incertitude juridique, factuelle ou systémique.

Cela n’est pas applicable si l’affaire concerne de nombreux Etats, porte sur une question générale d’interprétation, concerne un grand nombre de personnes, ou comporte des risques élevés.

Résumé préliminaire des points essentiels

Il s’agit d’une étape clé du nouveau dispositif. L’autorité chef de file rédige un résumé préliminaire exposant les faits principaux, les potentielles violations et éventuellement des mesures correctrices envisagées.

Les autorités concernées peuvent commenter et discuter ce résumé. Cette étape est pensée pour favoriser la convergence des vues en amont.

Désaccords entre autorités

En cas de désaccord sur le champ de l’enquête, les conditions d’urgence de l’article 66(3) RGPD sont présumées remplies et l’EDPB doit être saisie pour une décision d’urgence.

Droits procéduraux du responsable du traitement et du plaignant

Garanties pour les parties faisant l’objet de l’enquête

Le règlement insiste sur le respect des :

• Droits de la défense,
• Droit d’être entendu,
• Droits d’accès au dossier administratif (avec protection des informations confidentielles).

Les responsables du traitement doivent pouvoir :

• Recevoir les conclusions préliminaires,
• Accéder aux documents nécessaires pour préparer leur défense,
• Commenter par écrit dans un délai approprié.

Le principe est simple : la décision finale ne peut retenir que des infractions sur lesquelles les parties ont été entendues.

Rôle du plaignant

Le plaignant :

• Peut communiquer uniquement avec l’APD initiale,
• Doit être informé de l’état d’avancement,
• Peut exprimer son point de vue avant un rejet total ou partiel,
• Peut répondre, bien que de manière limitée, aux conclusions préliminaires,
• Ne peut pas accéder aux secrets d’affaires ou éléments confidentiels.

Le règlement clarifie la répartition des tâches en cas de rejet. En effet, l’autorité chef de file prépare le projet de décision, l’APD initiale notifie et dialogue avec le plaignant.

Le règlement des litiges par l’EDPB

Le texte précise les documents à transmettre l’EDPB, les exigences de forme des objections pertinentes et motivées, les délais, les cas applicables (art. 65 et art. 66 RGPD).

La décision contraignante du comité doit cibler uniquement les aspects ayant provoqué le litige.

Outils numériques, publicité des décisions, et sécurité juridique

Outil électronique commun

Le règlement prévoit la mise en place d’un outil sécurisé de communication entre APD, permettant des échanges rapides et la collecte de statistiques pour l’EDPB.

Publicité des décisions

Les APD doivent publier ou rendre accessibles les décisions adoptées dans le cadre des mécanismes RGPD, éventuellement anonymisées.

Application dans le temps

Pour éviter l’insécurité juridique, les nouvelles règles de procédure ne s’appliquent pas aux enquêtes déjà en cours, mais s’appliquent :

• Aux enquêtes d’office ouvertes 15 mois après l’entrée en vigueur,
• Aux enquêtes sur plainte si cette plainte est introduite 15 mois après l’entrée en vigueur,
• Aux litiges soumis au CEPD dans les 15 mois.

Le règlement (UE) 2025/2518 constitue le premier véritable « code de procédure » du RGPD, destiné à résoudre les difficultés rencontrées en matière de :

• Divergences d’interprétation entre APD,
• Lenteur des procédures transfrontalières,
• Manque d’harmonisation procédurale,
• Respect des droits fondamentaux,
• Incohérences dans le traitement des plaintes.

Ce règlement renforce ainsi la prévisibilité, la rapidité, la transparence, la sécurité juridique, l’équilibre entre droits du plaignant et droits de la défense, l’efficacité du système européen de protection des données.

FAQ sur le règlement (UE) 2025/2518

À qui s’adresse le règlement UE 2025/2518 ?

Ce règlement concerne toutes les autorités de protection des données européennes, les entreprises traitant des données personnelles transfrontalières et les citoyens qui souhaitent faire valoir leurs droits.

Le règlement change-t-il le fonctionnement du RGPD ?

Il ne modifie pas le RGPD lui-même, mais établit des règles procédurales uniformes pour faciliter l’application transfrontalière et la coopération entre autorités.

Qu’est-ce qu’une “early resolution” ?

C’est une procédure accélérée permettant de clôturer rapidement une plainte lorsque la violation alléguée a cessé et que le plaignant n’objecte pas.

Les décisions de l’EDPB sont-elles contraignantes pour toutes les APD ?

Oui, mais uniquement sur les points précis ayant provoqué le désaccord. Les autres parties de l’affaire restent sous la compétence habituelle de l’autorité chef de file.

Les nouvelles règles s’appliquent-elles aux enquêtes en cours ?

Non, elles ne s’appliquent pas aux enquêtes déjà ouvertes, mais concernent toutes les nouvelles enquêtes d’office ou sur plainte introduites 15 mois après l’entrée en vigueur.

Comment le règlement améliore-t-il la transparence ?

Les APD doivent publier leurs décisions, parfois anonymisées, et utiliser un outil électronique commun pour échanger et collecter des statistiques, renforçant ainsi la sécurité juridique et la prévisibilité.