L'organe indépendant chargé d'assurer l'application cohérente et uniforme du RGPD au sein de l'Union européenne.
Définition complète
Le Comité européen de la protection des données (CEPD) est l'autorité centrale de coordination du RGPD. Il regroupe les représentants de toutes les autorités de contrôle nationales (comme la CNIL en France) ainsi que le délégué européen à la protection des données. Son rôle principal est de garantir que le règlement est interprété et appliqué de la même manière dans tous les États membres de l'UE, évitant ainsi que chaque pays n'impose des règles divergentes.
Sur le plan juridique, le CEPD tire sa légitimité de l'article 65 du RGPD. Il a le pouvoir d'émettre des lignes directrices et des recommandations qui, bien que non contraignantes au sens strict d'une loi, servent de référence absolue pour les autorités de contrôle et les tribunaux. Si une PME souhaite savoir comment appliquer concrètement une notion floue du RGPD (comme le 'consentement' ou le 'droit à l'oubli'), les directives du CEPD constituent la source d'interprétation la plus fiable.
Enfin, le CEPD intervient dans le cadre du « mécanisme de cohérence » (articles 63 à 66). Lorsqu'un litige oppose deux autorités nationales sur un dossier transfrontalier, le CEPD peut rendre une décision contraignante pour trancher le différend et harmoniser la sanction ou la mesure corrective appliquée à l'entreprise concernée.
Exemple concret en PME
Une PME française exporte ses services en Allemagne et en Espagne. En cas de plainte d'un client espagnol, la CNIL et l'autorité espagnole pourraient avoir des vues différentes sur la validité du formulaire de consentement. Le CEPD intervient alors pour harmoniser la décision, garantissant que la PME ne subisse pas des exigences contradictoires selon le pays européen où elle opère.
L'erreur fréquente à éviter
L'erreur classique est de confondre le CEPD avec la CNIL. La CNIL est l'autorité de contrôle qui sanctionne et conseille les entreprises en France. Le CEPD, lui, ne traite pas les dossiers individuels des PME, mais définit la doctrine et les règles d'interprétation que la CNIL applique ensuite sur le terrain.