Introduction
Par un arrêt du 10 février 2026, la Cour de justice de l’Union européenne clarifie le régime juridictionnel des décisions adoptées par le Comité européen de la protection des données dans le cadre du mécanisme de cohérence du Règlement général sur la protection des données. La question centrale était de savoir si ces décisions, prises sur le fondement de l’article 65 du RGPD, pouvaient être directement contestées devant le juge de l’Union.
🟠 Une décision produisant des effets juridiques propres
La CJUE opère un revirement par rapport à l’analyse du Tribunal en considérant que la décision du CEPD ne constitue pas un simple acte préparatoire.
Elle souligne que cette décision :
- tranche des questions de droit déterminantes,
- lie les autorités nationales sans marge d’appréciation,
- et modifie directement la situation juridique du responsable de traitement.
Dès lors, elle produit des effets juridiques obligatoires indépendamment de la décision nationale qui en assure la mise en œuvre.
🟠 Une distinction entre décision européenne et décision nationale
La Cour insiste sur la distinction entre :
- la décision du CEPD, adoptée au niveau européen,
- et la décision finale de l’autorité nationale de contrôle.
Bien qu’interdépendantes, ces deux décisions constituent des actes distincts, dotés d’une portée propre. Cette autonomie justifie que la décision du CEPD puisse être attaquée séparément.
🟠 L’ouverture d’un recours en annulation
Sur cette base, la CJUE reconnaît aux responsables de traitement une voie de recours directe contre les décisions du CEPD, sur le fondement de l’article 263 TFUE, conformément au considérant 143 du RGPD.
L’arrêt consacre ainsi une garantie juridictionnelle supplémentaire, venant compléter le recours ouvert contre les décisions nationales (article 78 RGPD).
🟠 Une recevabilité strictement encadrée
Ce recours reste toutefois soumis aux conditions classiques du contentieux de l’Union, notamment celles issues de l’arrêt Plaumann.
Le requérant doit démontrer qu’il est :
- directement concerné par la décision,
- et individuellement affecté.
Ce dernier critère pourrait constituer un filtre important, limitant l’accès au juge dans certaines hypothèses.
Conclusion
Par cet arrêt, la CJUE consacre la justiciabilité autonome des décisions du CEPD et renforce les droits procéduraux des entreprises dans le cadre du RGPD. Elle confirme, en parallèle, le rôle structurant du Comité dans l’application uniforme du droit européen des données, au prix d’une judiciarisation accrue du mécanisme de cohérence.