(2)Afin de permettre un fonctionnement harmonieux et efficace des mécanismes de coopération et de règlement des litiges prévus aux articles 60 et 65 du règlement (UE) 2016/679, il y a lieu d’établir des règles concernant la conduite de la procédure par les autorités de contrôle dans les situations transfrontalières, et par le comité lors du règlement des litiges, incluant le traitement des réclamations transfrontalières. Il y a également lieu, pour cette raison, d’établir des règles concernant l’exercice, par les parties faisant l’objet de l’enquête, du droit d’être entendues avant l’adoption de décisions par les autorités de contrôle et, s’il y a lieu, par le comité.

(3)Les réclamations sont une source d’information essentielle pour déceler les violations des règles de protection des données. Il est nécessaire de définir des procédures claires et efficientes pour le traitement des réclamations dans les situations transfrontalières, car une réclamation peut être traitée par une autorité de contrôle différente de celle auprès de laquelle elle a été introduite.

(4)Pour être recevable, une réclamation devrait contenir certaines informations précises. En conséquence, pour aider l’auteur de la réclamation à exposer les faits pertinents aux autorités de contrôle, un formulaire de réclamation devrait être fourni. Les informations prévues par ce formulaire ne devraient être requises qu’en cas de traitement transfrontalier au sens du règlement (UE) 2016/679, même si le formulaire peut être utilisé par les autorités de contrôle dans des situations qui ne concernent pas un traitement transfrontalier. Le formulaire peut être présenté par voie électronique ou postale. Une réclamation concernant un traitement transfrontalier ne pourra être qualifiée de réclamation au sens de l’article 77 du règlement (UE) 2016/679 qu’à la condition que soient fournies les informations prévues par ledit formulaire. Aucune autre information ne devrait être exigée pour qu’une réclamation soit jugée recevable. Il devrait être possible pour les autorités de contrôle de faciliter l’introduction de réclamations dans un format électronique convivial et en tenant compte des besoins des personnes handicapées, tant que les informations requises de la part de l’auteur de la réclamation correspondent à celles demandées sur le formulaire et qu’aucune information supplémentaire n’est requise pour que la réclamation soit jugée recevable.

(5)Les autorités de contrôle sont tenues de statuer sur les réclamations dans un délai raisonnable. Le caractère raisonnable du délai s’apprécie en fonction des circonstances propres à chaque situation et, en particulier, du contexte de celle-ci, des différentes étapes procédurales que l’autorité de contrôle chef de file doit suivre, du comportement des parties au cours de la procédure et de la complexité de la situation.

(6)Chaque réclamation traitée par une autorité de contrôle conformément à l’article 57, paragraphe 1, point f), du règlement (UE) 2016/679 doit être examinée avec toute la diligence requise, dans la mesure nécessaire et en tenant compte du fait que tout usage de ses pouvoirs par l’autorité de contrôle doit être approprié, nécessaire et proportionné en vue de garantir le respect du règlement (UE) 2016/679. Il revient à chaque autorité compétente de décider de la mesure dans laquelle une réclamation devrait être examinée. Tout en évaluant la mesure nécessaire à une enquête, les autorités de contrôle devraient viser à parvenir à une solution satisfaisante pour l’auteur de la réclamation, ce qui peut ne pas nécessairement exiger un examen exhaustif de tous les éléments juridiques et factuels possibles découlant de la réclamation mais offre à l’auteur de la réclamation une mesure réparatoire effective et rapide. L’appréciation de la mesure appropriée pour les mesures d’enquêtes requises pourrait être fondée sur la gravité de la violation alléguée, la nature systémique ou répétée de celle-ci, ou, s’il y a lieu, le fait que l’auteur de la réclamation a aussi exercé ses droits au titre de l’article 79 du règlement (UE) 2016/679.

(7)L’autorité de contrôle chef de file devrait communiquer à l’autorité de contrôle auprès de laquelle la réclamation a été introduite les informations sur l’état d’avancement de l’enquête nécessaires pour tenir l’auteur de la réclamation informé.

(8)L’autorité de contrôle compétente devrait donner à l’auteur de la réclamation accès aux documents sur la base desquels l’autorité de contrôle a conclu à titre préliminaire au rejet, total ou partiel, de la réclamation.

(9)Pour que les autorités de contrôle puissent rapidement mettre fin aux violations du règlement (UE) 2016/679 et apporter une réponse aux auteurs de réclamation, elles devraient s’efforcer, lorsqu’il y a lieu, de trouver une issue amiable aux réclamations. Le fait qu’une réclamation individuelle ait fait l’objet d’un règlement à l’amiable n’empêche pas l’autorité de contrôle compétente d’ouvrir une enquête d’office, par exemple en cas de violations systémiques ou répétées du règlement (UE) 2016/679.

(10)Pour garantir le bon fonctionnement des mécanismes de coopération et de contrôle de la cohérence établis au chapitre VII du règlement (UE) 2016/679, il importe que les situations transfrontalières soient traitées en temps opportun et dans l’esprit de coopération loyale et efficace qui sous-tend l’article 60 dudit règlement. L’autorité de contrôle chef de file devrait exercer ses compétences dans le cadre d’une coopération étroite avec les autres autorités de contrôle concernées. De même, les autorités de contrôle concernées devraient participer activement à l’enquête à un stade précoce en s’efforçant de parvenir à un consensus, en faisant pleinement usage des outils mis à disposition par le règlement (UE) 2016/679.

(11)Il est particulièrement important pour les autorités de contrôle de parvenir à un consensus sur les principaux aspects de l’enquête aussi rapidement que possible et avant la communication des allégations aux parties faisant l’objet de l’enquête et l’adoption du projet de décision visé à l’article 60 du règlement (UE) 2016/679, ce qui réduit le nombre de cas soumis au mécanisme de règlement des litiges visé à l’article 65 dudit règlement et, en fin de compte, permet le traitement rapide des situations transfrontalières.

(12)La coopération entre les autorités de contrôle devrait être basée sur un dialogue ouvert permettant aux autorités de contrôle concernées d’influencer de manière utile le cours de l’enquête en partageant leurs expériences et leurs avis avec l’autorité de contrôle chef de file, en tenant dûment compte de la marge de manœuvre laissée à chaque autorité de contrôle, notamment pour évaluer dans quelle mesure une réclamation devrait faire l’objet d’une enquête, ainsi que des diverses traditions qui existent dans les États membres. Pour ce faire, l’autorité de contrôle chef de file devrait fournir aux autorités de contrôle concernées un résumé des points essentiels dans lequel elle expose son avis préliminaire sur les principales questions soulevées dans l’enquête. Ce résumé devrait être fourni à un stade à la fois suffisamment précoce pour permettre la participation effective des autorités de contrôle concernées et suffisamment avancé pour que l’autorité de contrôle chef de file ait eu le temps de mûrir son avis sur le dossier. Les autorités de contrôle concernées devraient avoir la possibilité de formuler leurs observations sur un large éventail de questions, telles que la portée de l’enquête et l’identification d’appréciations factuelles et juridiques complexes. La portée de l’enquête déterminant les questions qui doivent être examinées par l’autorité de contrôle chef de file, les autorités de contrôle devraient s’efforcer de parvenir le plus tôt possible à un consensus sur celle-ci.

(13)Dans l’intérêt d’une coordination efficace et inclusive entre toutes les autorités de contrôle concernées et l’autorité de contrôle chef de file, les observations des autorités de contrôle concernées devraient être concises et formulées dans des termes suffisamment clairs et précis pour être facilement compréhensibles par toutes les autorités de contrôle. Les arguments juridiques devraient être structurés en fonction de la partie du résumé des points essentiels qu’ils concernent. Les observations des autorités de contrôle concernées peuvent être complétées par des documents supplémentaires. Toutefois, un simple renvoi, dans les observations d’une autorité de contrôle concernée, à des documents supplémentaires ne saurait pallier l’absence des arguments essentiels en droit ou en fait qui devraient figurer dans les observations. Les éléments essentiels de fait et de droit sur lesquels ces documents se fondent devraient ressortir, à tout le moins sommairement, mais d’une façon cohérente et compréhensible, du texte de l’observation elle-même.

(14)Les cas ne soulevant pas de problème litigieux ne nécessitent pas de discussions approfondies entre les autorités de contrôle pour parvenir à un consensus et pourraient, de ce fait, être traités plus rapidement. Lorsqu’aucune des autorités de contrôle concernées ne formule d’observations sur le résumé des points essentiels, l’autorité de contrôle chef de file devrait communiquer les conclusions préliminaires visées à l’article 14 dans un délai maximal de neuf mois.

(15)Les autorités de contrôle devraient utiliser tous les moyens nécessaires pour parvenir à un consensus dans un esprit de coopération loyale et effective. En conséquence, en cas de divergence d’opinions entre les autorités de contrôle concernées et l’autorité de contrôle chef de file concernant la portée d’une enquête menée sur la base d’une réclamation, notamment les dispositions du règlement (UE) 2016/679 dont la violation fera l’objet d’une enquête ou si les observations des autorités de contrôle concernées ont trait à une modification importante dans l’appréciation juridique ou technologique complexe, l’autorité concernée devrait utiliser tous les outils prévus aux articles 61 et 62 du règlement (UE) 2016/679.

(16)Si l’utilisation de ces outils ne permet pas aux autorités de contrôle de parvenir à un consensus sur la portée d’une enquête menée sur la base d’une réclamation, l’autorité de contrôle chef de file devrait demander au comité une décision contraignante d’urgence au titre de l’article 66, paragraphe 3, du règlement (UE) 2016/679. Pour ce faire, les circonstances permettant de considérer qu’il est urgent d’intervenir devraient être réputées réunies. L’autorité de contrôle chef de file devrait tirer des conclusions appropriées de la décision contraignante d’urgence du comité aux fins de l’établissement des conclusions préliminaires. La décision contraignante d’urgence adoptée par le comité ne saurait préjuger du résultat de l’enquête de l’autorité de contrôle chef de file ni de l’effectivité des droits des parties faisant l’objet de l’enquête d’être entendues. Plus précisément, le comité ne devrait pas étendre la portée de l’enquête de sa propre initiative.

(17)Afin de permettre à l’auteur de la réclamation d’exercer son droit à un recours juridictionnel effectif au titre de l’article 78 du règlement (UE) 2016/679, l’autorité de contrôle qui rejette une réclamation, en tout ou en partie, devrait le faire au moyen d’une décision susceptible d’être contestée devant une juridiction nationale.

(18)L’auteur de la réclamation devrait avoir la possibilité de faire connaître son point de vue avant que ne soit prise une décision qui ne lui est pas favorable. En conséquence, en cas de rejet total ou partiel d’une réclamation dans une situation transfrontalière, l’auteur de la réclamation devrait avoir la possibilité de faire connaître son point de vue avant la présentation d’un projet de décision au titre de l’article 60, paragraphe 3, du règlement (UE) 2016/679, d’un projet de décision révisé au titre de l’article 60, paragraphe 4, du règlement (UE) 2016/679 ou d’une décision contraignante du comité au titre de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679. L’auteur de la réclamation peut demander l’accès à la version non confidentielle des documents sur lesquels se fonde la décision de rejet total ou partiel de la réclamation.

(19)Il est nécessaire de clarifier la répartition des responsabilités entre l’autorité de contrôle chef de file et l’autorité de contrôle auprès de laquelle la réclamation a été introduite en cas de rejet d’une réclamation dans une situation transfrontalière. En tant que point de contact de l’auteur de la réclamation au cours de l’enquête, l’autorité de contrôle auprès de laquelle la réclamation a été introduite devrait recueillir l’avis de l’auteur de la réclamation sur le rejet proposé de celle-ci et être chargée de toutes les communications avec ce dernier. Toutes ces communications devraient être partagées avec l’autorité de contrôle chef de file. Étant donné que, en vertu de l’article 60, paragraphe 8 et 9, du règlement (UE) 2016/679, l’autorité de contrôle auprès de laquelle la réclamation a été introduite est chargée d’adopter la décision finale rejetant la réclamation, cette autorité de contrôle devrait également être chargée d’élaborer le projet de décision en vertu de l’article 60, paragraphe 3, du règlement (UE) 2016/679.

(21)Afin de garantir effectivement le droit à une bonne administration et les droits de la défense consacrés par la charte des droits fondamentaux de l’Union européenne (ci-après la «charte»), y compris le droit de chacun à être entendu avant que soit prise toute mesure individuelle susceptible de lui porter atteinte, il importe de prévoir des règles claires concernant l’exercice de ce droit.

(22)Les règles relatives à la procédure administrative appliquées par les autorités de contrôle pour assurer l’exécution du règlement (UE) 2016/679 devraient garantir que les parties faisant l’objet de l’enquête ont effectivement la possibilité de faire connaître leur point de vue sur la réalité et la pertinence des faits, objections et circonstances invoqués par l’autorité de contrôle tout au long de la procédure, leur permettant ainsi d’exercer leurs droits de la défense. Les conclusions préliminaires exposent la position préliminaire sur la violation alléguée du règlement (UE) 2016/679 à la suite de l’enquête. Elles constituent de ce fait une garantie procédurale fondamentale qui permet le respect du droit d’être entendu. Les parties faisant l’objet de l’enquête devraient recevoir les documents nécessaires pour se défendre efficacement et faire part de leurs observations sur les allégations formulées à leur encontre, en ayant accès au dossier administratif.

(23)Les conclusions préliminaires définissent la portée de l’enquête et donc la portée de toute décision finale future [le cas échéant, prise sur la base d’une décision contraignante rendue par le comité en vertu de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679] qui peut être adressée aux responsables du traitement ou aux sous-traitants. Elles devraient être rédigées en des termes qui, même succincts, sont suffisamment clairs pour permettre aux parties faisant l’objet de l’enquête d’identifier correctement la nature de la violation alléguée du règlement (UE) 2016/679. L’obligation de fournir aux parties faisant l’objet de l’enquête tous les éléments d’information nécessaires pour leur permettre de se défendre correctement est satisfaite si la décision finale ne fait pas grief aux parties faisant l’objet de l’enquête d’avoir commis des infractions autres que celles mentionnées dans les conclusions préliminaires et ne prend en considération que les faits sur lesquels les parties faisant l’objet de l’enquête ont eu l’occasion de faire connaître leur point de vue. La décision finale de l’autorité de contrôle chef de file ne doit toutefois pas nécessairement être une copie des constatations préliminaires. L’autorité de contrôle chef de file devrait être autorisée, dans la décision finale, à tenir compte des réponses des parties faisant l’objet de l’enquête aux conclusions préliminaires et, le cas échéant, au projet de décision révisé relevant de l’article 60, paragraphe 5, du règlement (UE) 2016/679 et à la décision de règlement du litige entre les autorités de contrôle adoptée en vertu de l’article 65, paragraphe 1, point a). L’autorité de contrôle chef de file devrait pouvoir procéder à sa propre appréciation des faits et des qualifications juridiques avancés par les parties faisant l’objet de l’enquête, soit pour abandonner les objections formulées lorsque l’autorité de contrôle les juge infondés, soit pour compléter et reformuler ses arguments, tant en fait qu’en droit, à l’appui des objections qu’elle maintient. Par exemple, la prise en compte d’un argument avancé par une partie faisant l’objet d’une enquête au cours de la procédure administrative, sans qu’elle ait eu la possibilité de s’exprimer à cet égard avant l’adoption de la décision finale, ne saurait constituer en soi une violation des droits de la défense.

(24)Les parties faisant l’objet de l’enquête devraient avoir le droit d’être entendues avant la présentation d’un projet de décision révisé en vertu de l’article 60, paragraphe 5, du règlement (UE) 2016/679 ou l’adoption d’une décision contraignante par le comité en vertu de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679.

(25)L’auteur de la réclamation devrait avoir la possibilité d’être associé à la procédure engagée par une autorité de contrôle en vue de définir ou de clarifier les questions relatives à une violation potentielle du règlement (UE) 2016/679. Le fait qu’une autorité de contrôle ait déjà ouvert une enquête concernant l’objet de la réclamation ou qu’elle traitera celle-ci dans le cadre d’une enquête menée d’office postérieure à la réception de la réclamation ne fait pas obstacle à la qualification d’une personne concernée en tant qu’auteur de la réclamation. Toutefois, une enquête menée par une autorité de contrôle sur une éventuelle violation du règlement (UE) 2016/679 par un responsable du traitement ou un sous-traitant ne constitue pas une procédure contradictoire entre l’auteur de la réclamation et les parties faisant l’objet de l’enquête. Il s’agit d’une procédure engagée par une autorité de contrôle, de sa propre initiative ou sur la base d’une réclamation, dans l’accomplissement des tâches qui lui incombent en vertu de l’article 57, paragraphe 1, du règlement (UE) 2016/679. Les parties faisant l’objet de l’enquête et l’auteur de la réclamation ne se trouvent donc pas dans la même situation procédurale et ce dernier ne peut invoquer le droit à un procès équitable lorsque la décision ne porte pas atteinte à sa situation juridique. La participation de l’auteur de la réclamation à la procédure à l’encontre des parties faisant l’objet de l’enquête ne saurait compromettre le droit de ces parties d’être entendues.

(26)L’auteur de la réclamation devrait avoir la possibilité de présenter par écrit son point de vue sur les conclusions préliminaires. Cependant, il ne devrait pas avoir accès aux secrets d’affaires ou autres informations confidentielles appartenant à d’autres parties associées à la procédure. L’auteur de la réclamation ne devrait pas avoir le droit d’avoir un accès généralisé au dossier administratif.

(27)Lorsqu’elles fixent des délais dans lesquels les parties faisant l’objet de l’enquête et l’auteur de la réclamation peuvent faire connaître leur point de vue sur les conclusions préliminaires, les autorités de contrôle devraient tenir compte de la complexité des questions soulevées dans les conclusions préliminaires, afin de veiller à ce que les parties faisant l’objet de l’enquête et l’auteur de la réclamation aient suffisamment l’occasion de faire connaître utilement leur point de vue sur les questions soulevées.

(28)L’échange de vues préalable à l’adoption d’un projet de décision implique un dialogue ouvert et un échange de vues approfondi au cours desquels les autorités de contrôle devraient tout mettre en œuvre pour trouver un consensus sur la voie à suivre dans le cadre d’une enquête. À l’inverse, le désaccord exprimé dans des objections pertinentes et motivées au titre de l’article 60, paragraphe 4, du règlement (UE) 2016/679, qui augmentent la possibilité de recourir à un règlement de litige entre autorités de contrôle au titre de l’article 65 du règlement (UE) 2016/679 et retardent l’adoption d’une décision finale par l’autorité de contrôle compétente, devrait avoir lieu dans le cas exceptionnel où les autorités de contrôle ne parviennent pas à un consensus et, si nécessaire, pour garantir une interprétation cohérente du règlement (UE) 2016/679. Ces objections devraient être utilisées avec parcimonie, lorsque des questions relatives à une application cohérente du règlement (UE) 2016/679 sont en jeu, étant donné que tout recours aux objections pertinentes et motivées retarde l’adoption d’une mesure réparatoire pour la personne concernée. La portée de l’enquête et les faits pertinents devant être déterminés avant la communication des conclusions préliminaires, ces points ne devraient pas être soulevés par les autorités de contrôle concernées dans des objections pertinentes et motivées. Ils pourraient toutefois être soulevés par les autorités de contrôle concernées dans les observations qu’elles peuvent formuler sur le résumé des points essentiels en vertu de l’article 9, paragraphe 3, avant la communication des conclusions préliminaires aux parties faisant l’objet de l’enquête.

(29)Dans l’intérêt d’un achèvement efficace et inclusif de la procédure de règlement des litiges, dans le cadre de laquelle toutes les autorités de contrôle devraient être en mesure de faire connaître leur point de vue, et compte tenu des contraintes de temps liées au règlement des litiges, la forme et la structure des objections pertinentes et motivées devraient satisfaire à certaines exigences. Par conséquent, les objections pertinentes et motivées devraient être d’une longueur limitée, devraient clairement identifier le désaccord avec le projet de décision et devraient être formulées dans des termes suffisamment clairs, cohérents et précis.

(30)L’accès au dossier administratif est prévu dans le cadre des droits de la défense et du droit à une bonne administration consacrés par la charte. Il conviendrait d’accorder l’accès au dossier administratif aux parties faisant l’objet de l’enquête lorsqu’elles sont informées des conclusions préliminaires et de fixer le délai dans lequel elles peuvent soumettre leur réponse écrite aux conclusions préliminaires.

(31)Lorsqu’elles accordent l’accès au dossier administratif, les autorités de contrôle devraient garantir la protection des secrets d’affaires et d’autres informations confidentielles. La catégorie des «autres informations confidentielles» comprend les informations autres que les secrets d’affaires, qui peuvent être considérées comme confidentielles dans la mesure où leur divulgation porterait gravement préjudice à un responsable du traitement, à un sous-traitant ou à une personne physique. Les autorités de contrôle devraient pouvoir demander aux parties faisant l’objet de l’enquête qui présentent ou ont présenté des documents ou des déclarations d’identifier les informations confidentielles qui y figurent.

(33)Lorsqu’elle transmet une question au mécanisme de règlement des litiges en vertu de l’article 65 du règlement (UE) 2016/679, l’autorité de contrôle chef de file devrait fournir au comité toutes les informations nécessaires pour lui permettre d’apprécier la recevabilité des objections pertinentes et motivées et de prendre la décision prévue à l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679. Une fois que le comité a reçu tous les documents nécessaires énumérés à l’article 23, son président devrait enregistrer la transmission de la question au sens de l’article 65, paragraphe 2, du règlement (UE) 2016/679.

(34)La décision contraignante du comité au titre de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679 devrait porter exclusivement sur les questions qui ont conduit au déclenchement de la procédure de règlement des litiges et être rédigée de manière à permettre à l’autorité de contrôle chef de file d’adopter sa décision finale sur la base de la décision du comité tout en conservant son pouvoir discrétionnaire.

(36)Afin de rationaliser la procédure d’adoption des avis d’urgence et des décisions contraignantes d’urgence du comité au titre de l’article 66, paragraphe 2, du règlement (UE) 2016/679, il est nécessaire de préciser les règles de procédure concernant le délai de présentation de la demande d’avis d’urgence ou de décision contraignante d’urgence, les documents à soumettre au comité et sur lesquels ce dernier devrait fonder sa décision, les destinataires auxquels l’avis ou la décision du comité devrait être adressé, et les conséquences de l’avis ou de la décision du comité.

(38)Le Contrôleur européen de la protection des données et le comité européen de la protection des données ont été consultés conformément à l’article 42, paragraphe 2, du règlement (UE) 2018/1725 et ont rendu un avis conjoint le [...],

Article 1

Objet

Le présent règlement établit des règles de procédure pour le traitement des réclamations et la conduite des enquêtes, tant sur les cas fondés sur des réclamations que sur les cas examinés d’office, menées par les autorités de contrôle dans le cadre de l’application transfrontalière du règlement (UE) 2016/679.

1)«parties faisant l’objet de l’enquête»: le ou les responsables du traitement et/ou le ou les sous-traitants faisant l’objet d’une enquête pour violation alléguée du règlement (UE) 2016/679 dans le contexte d’un traitement transfrontalier;

2)«résumé des points essentiels»: le résumé que l’autorité de contrôle chef de file doit fournir aux autorités de contrôle concernées, exposant les principaux faits pertinents et l’avis de l’autorité de contrôle chef de file sur le cas;

3)«conclusions préliminaires»: le document fourni par l’autorité de contrôle chef de file aux parties faisant l’objet de l’enquête, exposant les allégations, les faits pertinents, les preuves à l’appui, l’analyse juridique et, s’il y a lieu, les mesures correctrices proposées; «objections jugées pertinentes et motivées»:

1.Une réclamation fondée sur le règlement (UE) 2016/679 et relative à un traitement transfrontalier fournit les informations requises par le formulaire figurant en annexe. Aucune autre information ne doit être exigée pour qu’une réclamation soit recevable.

2.L’autorité de contrôle auprès de laquelle la réclamation a été introduite détermine si la réclamation concerne un traitement transfrontalier.

3.L’autorité de contrôle auprès de laquelle la réclamation a été introduite détermine dans un délai d’un mois si les informations requises par le formulaire sont complètes.

4.Après avoir évalué si les informations requises par le formulaire sont complètes, l’autorité de contrôle auprès de laquelle la réclamation a été introduite transmet la réclamation à l’autorité de contrôle chef de file.

5.Lorsque l’auteur de la réclamation demande la confidentialité lors de l’introduction de sa réclamation, il présente également une version non confidentielle de celle-ci.

6.L’autorité de contrôle auprès de laquelle la réclamation a été introduite accuse réception de celle-ci dans un délai d’une semaine. Cet accusé de réception est sans préjudice de l’évaluation de la recevabilité de la réclamation conformément au paragraphe 3.

II Introduction et traitement des réclamations

Enquêtes portant sur les réclamations

Chaque fois qu’elle évalue la mesure nécessaire dans laquelle une réclamation devrait faire l’objet d’une enquête, l’autorité de contrôle tient compte de toutes les circonstances pertinentes, y compris de l’ensemble des éléments suivants:

a)l’opportunité d’offrir une mesure réparatoire effective et en temps utile à l’auteur de la réclamation;

b)la gravité de la violation alléguée;

c)la nature systémique ou répétitive de la violation alléguée.

Une réclamation peut faire l’objet d’un règlement à l’amiable entre l’auteur de la réclamation et les parties faisant l’objet de l’enquête. Lorsque l’autorité de contrôle considère qu’un règlement à l’amiable de la réclamation a été trouvé, elle communique le projet de règlement à l’auteur de la réclamation. Si l’auteur de la réclamation ne s’oppose pas au règlement à l’amiable proposé par l’autorité de contrôle dans un délai d’un mois, la réclamation est réputée retirée.

Article 6

Traduction

Coopération au titre de l’article 60 du règlement (UE) 2016/679

Les dispositions de la présente section concernent les relations entre les autorités de contrôle et n’ont pas pour objet de conférer des droits aux personnes ou aux parties faisant l’objet de l’enquête.

1.L’autorité de contrôle chef de file informe régulièrement les autres autorités de contrôle concernées sur l’enquête et fournit aux autres autorités de contrôle concernées, dans les meilleurs délais, toutes les informations utiles dès qu’elles sont disponibles.

2.Les informations utiles au sens de l’article 60, paragraphes 1 et 3, du règlement (UE) 2016/679 comprennent, s’il y a lieu:

a)des informations sur l’ouverture d’une enquête relative à une violation alléguée du règlement (UE) 2016/679;

e)le résumé des points essentiels d’une enquête prévu à l’article 9;

f)des informations sur les mesures visant à établir une violation du règlement (UE) 2016/679 avant l’élaboration des conclusions préliminaires;

i)l’avis de l’auteur de la réclamation sur les conclusions préliminaires;

1.Une fois que l’autorité de contrôle chef de file s’est forgé un avis préliminaire sur les principales questions soulevées dans le cadre d’une enquête, elle rédige un résumé des points essentiels aux fins de la coopération prévue à l’article 60, paragraphe 1, du règlement (UE) 2016/679.

a)les principaux faits pertinents;

b)une définition préliminaire de la portée de l’enquête, en particulier des dispositions du règlement (UE) 2016/679 concernées par la violation alléguée qui fera l’objet de l’enquête;

c)le recensement des appréciations juridiques et technologiques complexes pertinentes pour l’orientation préliminaire de l’évaluation de ces points;

3.Les autorités de contrôle concernées peuvent formuler des observations sur le résumé des points essentiels. Ces observations doivent être transmises dans un délai de quatre semaines à compter de la réception dudit résumé.

4.Les observations formulées en application du paragraphe 3 répondent aux conditions suivantes:

a)le langage utilisé est suffisamment clair et contient des termes précis pour permettre à l’autorité de contrôle chef de file et, selon le cas, aux autorités de contrôle concernées d’élaborer leurs positions;

5.Le comité peut spécifier, dans son règlement intérieur, des restrictions concernant la longueur maximale des observations présentées par les autorités de contrôle concernées sur le résumé des points essentiels.

6.Lorsqu’aucune des autorités de contrôle concernées n’a formulé d’observations au titre du paragraphe 3 du présent article, la situation est considérée comme non contentieuse. En pareil cas, les conclusions préliminaires visées à l’article 14 sont communiquées aux parties faisant l’objet de l’enquête dans un délai de 9 mois à compter de l’expiration du délai prévu au paragraphe 3 du présent article.

Rejet total ou partiel des réclamations

1.Une autorité de contrôle concernée soumet une demande à l’autorité de contrôle chef de file en vertu de l’article 61 du règlement (UE) 2016/679, de l’article 62 du règlement (UE) 2016/679, ou des deux, lorsque, à la suite des observations formulées par les autorités de contrôle concernées en vertu de l’article 9, paragraphe 3, elle est en désaccord avec l’évaluation de l’autorité de contrôle chef de file concernant:

b)l’orientation préliminaire en lien avec les appréciations juridiques complexes recensées par l’autorité de contrôle chef de file conformément à l’article 9, paragraphe 2, point c);

c)l’orientation préliminaire en lien avec les appréciations technologiques complexes recensées par l’autorité de contrôle chef de file conformément à l’article 9, paragraphe 2, point c).

3.L’autorité de contrôle chef de file engage un dialogue avec les autorités de contrôle concernées sur la base de leurs observations relatives au résumé des points essentiels et, s’il y a lieu, en réponse aux demandes formulées au titre des articles 61 et 62 du règlement (UE) 2016/679, en s’efforçant de parvenir à un consensus. Le consensus sert de base à l’autorité de contrôle chef de file pour poursuivre l’enquête et rédiger les conclusions préliminaires ou, s’il y a lieu, fournir à l’autorité de contrôle auprès de laquelle la réclamation a été introduite sa motivation aux fins de l’article 11, paragraphe 2.

4.Lorsque, dans le cadre d’une enquête fondée sur une réclamation, il n’existe pas de consensus entre l’autorité de contrôle chef de file et une ou plusieurs autorités de contrôle concernées sur la question visée à l’article 9, paragraphe 2, point b), du présent règlement, l’autorité de contrôle chef de file demande au comité une décision contraignante d’urgence en vertu de l’article 66, paragraphe 3, du règlement (UE) 2016/679. Dans ce cas, les conditions pour demander une décision contraignante d’urgence au titre de l’article 66, paragraphe 3, du règlement (UE) 2016/679 sont présumées remplies.

5.Lorsqu’elle demande une décision contraignante d’urgence du comité en vertu du paragraphe 4 du présent article, l’autorité de contrôle chef de file fournit l’ensemble des éléments suivants:

a)les documents visés à l’article 9, paragraphe 2, points a) et b);

b)les observations de l’autorité de contrôle concernée qui est en désaccord avec la définition préliminaire de la portée de l’enquête par l’autorité de contrôle chef de file.

6.Le comité adopte une décision contraignante d’urgence sur la portée de l’enquête sur la base des observations des autorités de contrôle concernées et de la position de l’autorité de contrôle chef de file sur ces observations.

Article 11

Droit d’être entendu de l’auteur de la réclamation avant le rejet total ou partiel d’une réclamation

Article 12

Projet révisé de décision rejetant totalement ou partiellement une réclamation

Article 13

Décision rejetant totalement ou partiellement une réclamation

Décisions adressées aux responsables du traitement et aux sous-traitants

Conclusions préliminaires et réponse

1.Lorsque l’autorité de contrôle chef de file a l’intention de soumettre aux autres autorités de contrôle concernées un projet de décision au sens de l’article 60, paragraphe 3, du règlement (UE) 2016/679 constatant une violation du règlement (UE) 2016/679, elle rédige des conclusions préliminaires.

Les conclusions préliminaires présentent les allégations formulées de manière exhaustive et suffisamment claire pour permettre aux parties faisant l’objet de l’enquête de prendre connaissance du comportement visé par l’enquête de l’autorité de contrôle chef de file. En particulier, elles doivent exposer clairement tous les faits et l’ensemble de l’appréciation juridique opposés aux parties faisant l’objet de l’enquête, afin que ces dernières puissent exprimer leur point de vue sur les faits et les conclusions juridiques que l’autorité de contrôle chef de file entend établir dans le projet de décision au sens de l’article 60, paragraphe 3, du règlement (UE) 2016/679, et énumérer tous les éléments de preuve sur lesquels cette dernière se fonde.

Les conclusions préliminaires exposent les mesures correctrices que l’autorité de contrôle chef de file a l’intention d’appliquer.

Lorsque l’autorité de contrôle chef de file a l’intention d’imposer une amende, elle énumère dans ses conclusions préliminaires les éléments pertinents sur lesquels elle se fonde pour calculer l’amende. Plus spécifiquement, l’autorité de contrôle chef de file énumère les éléments essentiels de fait et de droit susceptibles d’entraîner l’imposition de l’amende ainsi que les éléments énumérés à l’article 83, paragraphe 2, du règlement (UE) 2016/679, y compris les circonstances aggravantes ou atténuantes qu’elle prendra en considération.

3.L’autorité de contrôle chef de file notifie les conclusions préliminaires à chacune des parties faisant l’objet de l’enquête.

4.Lorsqu’elle notifie les conclusions préliminaires aux parties faisant l’objet de l’enquête, l’autorité de contrôle chef de file fixe un délai dans lequel ces parties peuvent faire connaître leur point de vue par écrit. L’autorité de contrôle chef de file n’est pas tenue de tenir compte des avis écrits reçus après l’expiration de ce délai.

5.Lorsqu’elle notifie les conclusions préliminaires aux parties faisant l’objet de l’enquête, l’autorité de contrôle chef de file donne à ces parties accès au dossier administratif conformément à l’article 20.

6.Les parties faisant l’objet de l’enquête peuvent, dans leur réponse écrite aux conclusions préliminaires, exposer tous les faits et arguments juridiques dont elles ont connaissance et qui sont pertinents pour leur défense contre les allégations de l’autorité de contrôle chef de file. Elles joignent à leur réponse tout document attestant les faits exposés. Dans son projet de décision, l’autorité de contrôle chef de file ne traite que les allégations, y compris les faits et l’appréciation juridique reposant sur ceux-ci, au sujet desquelles les parties faisant l’objet de l’enquête ont eu la possibilité de présenter leurs observations.

Article 15

Transmission des conclusions préliminaires à l’auteur de la réclamation

Adoption d’une décision finale

Après avoir soumis le projet de décision aux autorités de contrôle concernées conformément à l’article 60, paragraphe 3, du règlement (UE) 2016/679 et lorsqu’aucune des autorités de contrôle concernées n’a formulé d’objection au projet de décision dans les délais visés à l’article 60, paragraphes 4 et 5, du règlement (UE) 2016/679, l’autorité de contrôle chef de file adopte sa décision et la notifie, conformément à l’article 60, paragraphe 7, du règlement (UE) 2016/679, à l’établissement principal ou à l’établissement unique du responsable du traitement ou du sous-traitant, selon le cas, et informe les autorités de contrôle concernées et le comité de la décision en question, en joignant un résumé des faits et motifs pertinents.

Article 17

Droit d’être entendu sur le projet de décision révisé

a)se fondent exclusivement sur des éléments factuels figurant dans le projet de décision; et

b)ne modifient pas la portée des allégations en soulevant des points équivalant à déterminer d’autres allégations de violation du règlement (UE) 2016/679 ou en modifiant la nature intrinsèque des allégations soulevées.

a)la longueur de chaque objection pertinente et motivée et de la position de l’autorité de contrôle chef de file sur toute objection de ce type ne dépasse pas trois pages et ne comprend pas d’annexes. Dans les cas impliquant des questions juridiques particulièrement complexes, la longueur maximale peut être portée à six pages, sauf si des circonstances particulières justifiant une longueur supérieure sont acceptées par le comité;

[...]

Transmission au mécanisme de règlement des litiges au titre de l’article 65 du règlement (UE) 2016/679

1.Si l’autorité de contrôle chef de file ne donne pas suite aux objections pertinentes et motivées ou estime que les objections ne sont pas pertinentes ou motivées, elle transmet la question au mécanisme de règlement des litiges prévu à l’article 65 du règlement (UE) 2016/679.

2.Lorsqu’elle transmet la question au mécanisme de règlement des litiges, l’autorité de contrôle chef de file fournit au comité tous les documents suivants:

b)un résumé des faits pertinents;

d)le point de vue exprimé par écrit par les parties faisant l’objet de l’enquête, selon le cas, conformément aux articles 14 et 17;

e)le point de vue exprimé par écrit par l’auteur de la réclamation, selon le cas, conformément aux articles 11, 12 et 15;

f)les objections pertinentes et motivées auxquelles l’autorité de contrôle chef de file n’a pas donné suite;

g)les motifs pour lesquels l’autorité de contrôle chef de file n’a pas donné suite aux objections pertinentes et motivées ou a considéré que les objections n’étaient ni pertinentes ni motivées.

3.Dans un délai de quatre semaines à compter de la réception des documents énumérés au paragraphe 2, le comité détermine les objections jugées pertinentes et motivées.

Article 23

Enregistrement concernant une décision relevant de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679

Article 24

Exposé des motifs préalable à l’adoption d’une décision au titre de l’article 65, paragraphe 1, point a), du règlement (UE) 2016/679

Article 25

Procédure relative à la décision fondée sur l’article 65, paragraphe 1, point b), du règlement (UE) 2016/679

c)le point de vue de l’autorité de contrôle qui transmet la question ou de la Commission sur la question de savoir si, selon le cas, une autorité de contrôle était tenue de communiquer le projet de décision au comité conformément à l’article 64, paragraphe 1, du règlement (UE) 2016/679, ou une autorité de contrôle n’a pas donné suite à un avis rendu par le comité conformément à l’article 64 du règlement (UE) 2016/679.

3.Le président du comité enregistre la transmission au plus tard une semaine après avoir reçu les documents visés aux paragraphes 1 et 2.

a)un résumé des faits pertinents;

b)une description de la mesure provisoire adoptée sur son propre territoire, sa durée et les motifs de son adoption, y compris une justification de l’urgence d’agir pour protéger les droits et libertés des personnes concernées;

c)une justification de la nécessité urgente d’adopter des mesures définitives sur le territoire de l’État membre de l’autorité de contrôle requérante, y compris une explication du caractère exceptionnel des circonstances nécessitant l’adoption des mesures concernées.

2.L’avis d’urgence du comité est adressé à l’autorité de contrôle qui a soumis la demande. Il est similaire à un avis au sens de l’article 64, paragraphe 1, du règlement (UE) 2016/679 et permet à l’autorité requérante de maintenir ou de modifier sa mesure provisoire conformément aux obligations de l’article 64, paragraphe 7, du règlement (UE) 2016/679.

Décision d’urgence relevant de l’article 66, paragraphe 2, du règlement (UE) 2016/679

1.Une demande de décision d’urgence du comité au titre de l’article 66, paragraphe 2, du règlement (UE) 2016/679 est introduite au plus tard trois semaines avant l’expiration des mesures provisoires adoptées en vertu de l’article 61, paragraphe 8, de l’article 62, paragraphe 7, ou de l’article 66, paragraphe 1, du règlement (UE) 2016/679. Cette demande contient tous les éléments suivants:

a)un résumé des faits pertinents;

b)la mesure provisoire adoptée sur le territoire de l’État membre de l’autorité de contrôle demandant la décision, sa durée et les motifs de son adoption, en particulier une justification de l’urgence d’agir pour protéger les droits et libertés des personnes concernées;

c)des informations sur toute mesure d’enquête prise sur son propre territoire et les réponses reçues de l’établissement local des parties faisant l’objet de l’enquête, ou toute autre information en possession de l’autorité de contrôle requérante;

d)une justification de la nécessité urgente d’adopter des mesures définitives sur le territoire de l’autorité de contrôle requérante, compte tenu du caractère exceptionnel des circonstances exigeant l’adoption de la mesure définitive, ou la preuve qu’une autorité de contrôle n’a pas répondu à une demande fondée sur l’article 61, paragraphe 3, ou de l’article 62, paragraphe 2, du règlement (UE) 2016/679;

f)s’il y a lieu, le point de vue de l’établissement local des parties faisant l’objet de l’enquête à l’encontre desquelles des mesures provisoires ont été prises en vertu de l’article 66, paragraphe 1, du règlement (UE) 2016/679.

2.La décision d’urgence visée au paragraphe 1 est adressée à l’autorité de contrôle qui a présenté la demande et permet à l’autorité requérante de maintenir ou de modifier sa mesure provisoire.

3.Lorsque le comité adopte une décision contraignante d’urgence indiquant que des mesures définitives devraient être adoptées, l’autorité de contrôle destinataire de la décision adopte ces mesures avant l’expiration des mesures provisoires adoptées en vertu de l’article 66, paragraphe 1, du règlement (UE) 2016/679.

4.L’autorité de contrôle qui a présenté la demande visée au paragraphe 1 notifie sa décision sur les mesures définitives à l’établissement du responsable du traitement ou du sous-traitant sur le territoire de son État membre et informe le comité. Dans le cas où l’autorité de contrôle chef de file n’est pas l’autorité requérante, cette dernière informe l’autorité de contrôle chef de file de la mesure définitive.

Article 29

Début des délais et définition du jour ouvrable

Les chapitres III et IV s’appliquent aux enquêtes menées d’office qui ont été ouvertes après l’entrée en vigueur du présent règlement et aux enquêtes menées sur la base d’une réclamation lorsque cette dernière a été introduite après l’entrée en vigueur du présent règlement.

Le chapitre V s’applique à tous les cas soumis au mécanisme de règlement des litiges en vertu de l’article 65 du règlement (UE) 2016/679 après l’entrée en vigueur du présent règlement.

Entrée en vigueur

1.Identification de la personne ou de l’entité introduisant la réclamation

Si l’auteur de la réclamation est une personne physique, veuillez fournir un moyen d’identification2.

2.Coordonnées3

L’adresse électronique, si la réclamation est envoyée par voie électronique.

L’adresse postale, si la réclamation est envoyée par la poste.

3.Entité dont le traitement des données à caractère personnel vous concernant viole le règlement (UE) 2016/679

Communiquez toutes les informations en votre possession pour faciliter l’identification de l’entité visée par votre réclamation.