L’EDPB place la transparence de l’utilisation des données au cœur de son action coordonnée de 2026

Le Comité européen de la protection des données (EDPB) a retenu la transparence et le devoir d’informer comme thème de sa cinquième action coordonnée de contrôle. L’initiative portera sur les obligations prévues aux articles 12, 13 et 14 du Règlement général sur la protection des données (RGPD), qui définissent la manière dont les personnes doivent être informées lorsque leurs données sont traitées. Annoncé le 14 octobre 2025, le projet prévoit que les autorités participantes travailleront sur ce sujet au cours de l’année 2026. Il ne crée pas de nouvelle obligation : il coordonne l’attention des autorités autour de devoirs qui figurent déjà dans le RGPD. Source : EDPB.

Cette distinction est importante, car le titre d’une initiative de contrôle peut être confondu avec une réforme législative, une décision de justice ou une campagne de sanctions. Le communiqué n’annonce rien de tel. Il décrit une priorité commune pour les autorités de protection des données, qui pourront choisir volontairement de travailler sur le sujet ; leurs résultats nationaux seront ensuite réunis et analysés. La nouvelle concerne donc le thème retenu et la méthode de coordination, et non un constat sur le niveau de conformité des entreprises ou des administrations. À la date de cet article, l’annonce ne fournit aucun résultat des examens.

Dans le cadre du RGPD, informer ne consiste pas seulement à publier une longue politique sur un site internet. L’EDPB rattache cette action aux obligations d’information prévues aux articles 12, 13 et 14. L’article 12 porte sur la manière de fournir les informations et de communiquer avec les personnes ; les articles 13 et 14 concernent les informations à communiquer lorsque les données sont recueillies auprès de la personne elle-même ou obtenues d’une autre source. Le choix du thème vise donc à examiner comment les organisations expliquent les traitements de données, et pas uniquement à vérifier l’existence d’un document intitulé « vie privée ». Source : EDPB.

Le communiqué de l’autorité présente le droit d’être informé comme un élément central de la transparence et comme une condition permettant aux personnes de mieux maîtriser leurs données. Le sujet a ainsi des conséquences pratiques : une explication qui ne permet pas de comprendre ce qu’il advient des données peut empêcher quelqu’un d’évaluer ses possibilités ou d’exercer ses droits. Il s’agit d’une interprétation de l’objectif annoncé, et non d’un résultat tiré de contrôles déjà publiés. L’annonce ne désigne aucun secteur, aucune entreprise ni aucune pratique particulière comme étant en infraction ; lui attribuer des constats précis irait donc au-delà des éléments disponibles.

L’EDPB explique que, dans le cadre d’une action coordonnée, le Comité fixe un thème prioritaire sur lequel les autorités nationales peuvent travailler dans leurs domaines respectifs. La participation est volontaire. Dans un second temps, les résultats nationaux sont regroupés et analysés afin d’obtenir une vision plus large et d’orienter d’éventuels suivis au niveau national ou européen. L’annonce indique que la nouvelle action sera lancée au cours de 2026, sans préciser de date unique de début ni de calendrier commun de contrôle. Source : EDPB.

Cette organisation associe un thème commun à une mise en œuvre décentralisée. Elle ne correspond pas à une enquête unique dirigée depuis Bruxelles et ne signifie pas que toutes les autorités examineront les mêmes dossiers selon le même calendrier. Il convient également de distinguer trois étapes : le choix d’un thème, les travaux que chaque autorité décidera de mener, puis la publication ultérieure de conclusions agrégées. Le texte disponible confirme la première étape et décrit les autres comme des étapes prévues, mais il ne fournit pas encore de résultats pour ce cycle. Tout chiffre sur les organisations contrôlées ou les manquements détectés nécessiterait donc une source ultérieure spécifique.

Pour une organisation qui traite des données à caractère personnel, l’initiative signale une attention accrue des autorités à la façon dont les informations sont communiquées. Elle ne prouve pas qu’un contrôle a commencé dans son cas et ne remplace pas une analyse juridique individuelle. À titre d’orientation générale, il est raisonnable de vérifier si les explications relatives aux traitements sont compréhensibles et si les informations requises sont fournies au moment et dans le contexte appropriés. Il s’agit d’un conseil pratique déduit du thème annoncé, et non d’une liste de mesures prescrite par le communiqué. L’obligation applicable dépend toujours du RGPD et des circonstances du traitement.

Pour les utilisateurs, l’effet immédiat n’est ni une nouvelle fonctionnalité ni un mécanisme de réclamation supplémentaire annoncé par l’EDPB. L’importance de l’annonce tient au fait que les autorités ont décidé d’examiner ensemble si les personnes sont informées de l’utilisation de leurs données. Une personne qui souhaite comprendre comment une entreprise déterminée traite ses données ne trouvera pas la réponse dans cette seule actualité : elle devra consulter les informations publiées par l’organisation et, le cas échéant, s’adresser à l’autorité compétente. Le choix d’un thème de contrôle ne prouve pas, à lui seul, qu’une entité respecte ou enfreint la réglementation.

Le communiqué d’octobre 2025 constitue une source primaire sur la décision de l’EDPB et sur le dispositif annoncé. Ce n’est pas un rapport de résultats de l’action de 2026. La page précise que les résultats des actions nationales sont regroupés et analysés afin de produire des connaissances et de permettre des suites éventuelles, mais elle n’indique pas que chaque action donnera lieu à des sanctions et ne préjuge pas des conclusions qui seront tirées. En l’absence de publications ultérieures, ce document ne permet pas d’établir combien d’autorités participeront, quelles organisations elles examineront ni quels manquements elles constateront. Source : EDPB.

La lecture la plus juste est donc précise, mais limitée : l’Europe a choisi la transparence et l’information des personnes comme priorité d’une action coordonnée prévue en 2026. C’est un signal important pour ceux qui conçoivent les procédures de traitement et les explications relatives à la vie privée, mais ce n’est ni une modification de la réglementation ni un bilan de conformité. Les prochaines informations utiles porteront sur la mise en œuvre puis, plus tard, sur les résultats. D’ici là, distinguer ce qui a été annoncé de ce qui a été établi évite de transformer une priorité de contrôle en conclusion que la source ne justifie pas.