Le Comité européen de la protection des données (CEPD), ou European Data Protection Board (EDPB) en anglais, est un organe européen indépendant doté de la personnalité juridique, institué par le Règlement général sur la protection des données (RGPD, articles 68 à 76) . Il a pris ses fonctions le 25 mai 2018, en remplacement du Groupe de l’article 29 .
Sa mission principale est de veiller à l’application cohérente du RGPD et de la directive « Police-Justice » (directive (UE) 2016/680 relative à la protection des données dans le domaine répressif) dans l’ensemble de l’Espace économique européen (EEE), et de promouvoir la coopération entre les autorités de contrôle nationales, y compris en matière d’application de la législation .
Composition
Le CEPD est composé :
- Des chefs des autorités de contrôle de chaque État membre de l’UE, ou de leurs représentants ;
- Du Contrôleur européen de la protection des données (CEPD), ou de son représentant.
Sans droit de vote : les représentants des autorités des États de l’EEE (Norvège, Islande, Liechtenstein) .
Sans droit de vote : la Commission européenne participe aux activités et réunions .
Le CEPD dispose d’un président et de deux vice-présidents, élus pour 5 ans à la majorité simple, mandat renouvelable une fois . Il s’appuie sur un Secrétariat mis à disposition par le Contrôleur européen de la protection des données (CEPD) .
Le CEPD se réunit une fois par mois en session plénière pour discuter des sujets stratégiques et adopter les documents . Les positions sont préparées par des groupes d’experts (13 groupes) et des groupes de travail (task forces, 3 groupes) .
Missions et pouvoirs
- Fournir des orientations générales
Le CEPD publie des lignes directrices, recommandations et bonnes pratiques pour clarifier le RGPD et la directive « Police-Justice », et promouvoir une compréhension commune des droits et obligations . - Assurer la cohérence
Le CEPD adopte des avis de cohérence (article 64 du RGPD) et des décisions contraignantes (article 65) pour garantir une interprétation et une application uniformes du RGPD, notamment dans les affaires transfrontalières . - Conseiller la Commission européenne
Le CEPD rend des avis sur toute question relative à la protection des données personnelles et sur les propositions législatives de l’UE . - Promouvoir la coopération
Le CEPD encourage les autorités nationales de protection des données à travailler ensemble, à échanger des informations et à partager les bonnes pratiques . - Résoudre les litiges
En cas de désaccord entre autorités nationales sur une affaire transfrontalière, le CEPD peut adopter une décision contraignante pour trancher .
Ce que le CEPD n’est pas
Ce n’est pas un organe de plainte : le CEPD ne traite pas les plaintes individuelles et ne mène pas d’enquêtes .
Ce n’est pas un autorité de contrôle : l’application du RGPD et les sanctions relèvent des autorités nationales de contrôle (comme la CNIL en France).
Ce n’est pas un organe de conseil individualisé : il ne fournit pas de conseils juridiques sur des cas spécifiques .
Ce n’est pas le CEPD (Contrôleur européen) : le CEPD (Comité) ne doit pas être confondu avec le Contrôleur européen de la protection des données (CEPD en français, EDPS en anglais), qui est l’autorité de contrôle indépendante veillant au respect du RGPD par les institutions et organes de l’UE.
Différence avec le CEPD (Contrôleur européen)
| CEPD (Comité) | CEPD (Contrôleur) |
|---|---|
| Organe de coordination (Comité européen) | Autorité de contrôle (Contrôleur européen) |
| Rassemble les autorités nationales | Contrôle les institutions de l’UE |
| Assure la cohérence du RGPD | Veille au respect du RGPD par les institutions de l’UE |
| Présidé par Anu Talus | Dirigé par un Contrôleur nommé |
Activités récentes (2025-2026)
- Déclaration d’Helsinki (juillet 2025) : le CEPD s’est engagé à renforcer la clarté du RGPD, le dialogue avec les entreprises et la coopération entre autorités.
- Lignes directrices sur la création de comptes en ligne (décembre 2025) : recommandations sur les conditions dans lesquelles les sites de commerce en ligne peuvent imposer la création d’un compte utilisateur.
- Avis sur les modèles d’IA : le CEPD a adopté des avis sur des sujets majeurs comme l’utilisation de données personnelles pour entraîner des modèles d’IA.
Analogie
Le CEPD, c’est comme une conférence des chefs d’orchestre de l’Union européenne. Chaque autorité nationale (CNIL, etc.) est un orchestre qui joue dans son pays.
Le CEPD ne joue pas de musique lui-même : il rassemble les chefs d’orchestre, leur donne une partition commune (les lignes directrices), s’assure qu’ils jouent tous au même tempo (cohérence), et tranche les désaccords (décisions contraignantes).
Il conseille aussi le compositeur (la Commission européenne) sur les nouvelles œuvres (propositions législatives). Et il remplace l’ancien chef d’orchestre (Groupe de l’article 29), avec plus de pouvoirs et une mission élargie.
À retenir
Le CEPD (ou EDPB) est l’organe européen indépendant chargé de garantir l’application cohérente du RGPD et de la directive « Police-Justice » dans l’EEE. Il rassemble les autorités nationales de protection des données et le Contrôleur européen. Il publie des lignes directrices, adopte des avis de cohérence et des décisions contraignantes, conseille la Commission européenne et promeut la coopération entre autorités. Il ne traite pas les plaintes individuelles (qui relèvent des autorités nationales) et ne doit pas être confondu avec le Contrôleur européen de la protection des données (CEPD/EDPS). C’est un pilier de la gouvernance européenne des données à l’ère du numérique.