Nouvelles précisions sur le mécanisme de cohérence mis en place par le RGPD

19.02.2026

Dans un arrêt de grande chambre rendu le 10 février 2026, la Cour de justice de l’Union européenne se prononce sur l’autorité des décisions contraignantes du Comité européen de la protection des données (ci-après EDPB ou Comité) prises en application de l’article 65 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD).

Ces décisions sont cardinales pour le fonctionnement du mécanisme de cohérence du RGPD dans la mesure où elles sont l’aboutissement du travail de concertation des différentes autorités de contrôle nationales. À la question de savoir si leur légalité peut être contestée sur le fondement de l’article 263 du Traité sur le fonctionnement de l’Union européenne, la Cour de justice répond par l’affirmative.

L’affaire. En l’espèce, la Cour de justice donne raison à WhatsApp Ireland Ltd., alors que le Tribunal de l’Union (Trib. UE, ord., 7 déc. 2022, aff. T-709/21) avait jugé irrecevable le recours par lequel la société irlandaise cherchait à obtenir l’annulation de la décision contraignante 1/2021. Au fond, l’affaire concerne le traitement de données à caractère personnel par WhatsApp. L’Autorité de contrôle irlandaise ayant reçu différentes plaintes ainsi qu’une demande d’assistance de l’Autorité allemande avait, en sa qualité d’autorité cheffe de file, ouvert une enquête puis adopté un projet de décision. Celui-ci avait fait l’objet de plusieurs objections de la part des autres autorités nationales de contrôle. Aucun consensus ne se dégageant, l’autorité irlandaise a, comme elle le devait, saisi l’EDPB. Le Comité a pris position sur les questions ayant fait l’objet d’objections pertinentes et motivées et a adopté une décision contraignante qui a servi de base à la décision finale prise par l’Autorité de contrôle irlandaise. WhatsApp a attaqué la décision finale devant une juridiction irlandaise et a, en parallèle, saisi le Tribunal de l’Union européenne d’un recours contre la décision contraignante de l’EDPB. Dans d’autres procédures ultérieures concernant WhatsApp et plus largement le groupe Meta, on sait que c’est l’Autorité irlandaise elle-même qui a contesté les décisions prises par l’EDPB (v. F. Jault-Seseke, Quand l’Autorité de protection des données irlandaise conteste la mise en œuvre du mécanisme de coopération prévu par le RGPD, à propos de Trib. UE, 29 janv. 2025, aff. jtes T-70/23, T-84/23 et T-111/23, Dalloz actualité, 6 févr. 2025, obs. F. Jault-Seseke). Il y a là un jeu de pouvoir entre autorités de contrôle nationales, juridictions nationales et EDPB que la Cour de justice est appelée à arbitrer.

L’ordonnance du Tribunal de l’Union européenne, en bref. Le Tribunal avait jugé irrecevable le recours introduit par WhatsApp, en considérant que la décision du Comité n’était qu’un acte préparatoire ou intermédiaire à la décision finale de l’autorité de contrôle nationale. Il jugeait que WhatsApp bénéficiait d’une protection juridictionnelle effective dans la mesure où elle disposait d’un recours devant le juge national contre la décision finale et que le juge national pouvait interroger la Cour en appréciation de validité de la décision du Comité. Il jugeait aussi que, bien que la décision du Comité soit contraignante pour l’autorité nationale, elle laissait à celle-ci une certaine marge d’appréciation, elle ne modifiait pas, de façon caractérisée, la situation juridique de WhatsApp qui n’était pas directement concernée par la décision du Comité. Autrement dit, pour le Tribunal, la décision du Comité n’est pas autonome, elle n’est qu’une étape de la procédure. Enfin, le Tribunal invoquait « la logique du système des voies de recours juridictionnelles » établi par les traités et entendait au moyen de l’irrecevabilité du recours de WhatsApp pallier le risque de procédures juridictionnelles parallèles devant le juge de l’Union et le juge national, et même devant les juges de l’Union, puisque le juge national était susceptible de saisir la Cour pour qu’elle apprécie la validité de la décision (comme ce fut d’ailleurs le cas dans les autres procédures concernant Meta, v. supra). La Cour de justice contredit le Tribunal sur ces différents points.

La décision du Comité, un acte intermédiaire mais attaquable. La décision finale de l’autorité nationale met un terme à la procédure, à la différence de la décision contraignante du Comité qui n’est qu’un acte intermédiaire. Or, un tel acte intermédiaire est insusceptible de recours en annulation s’il est établi que son illégalité pourra être invoquée à l’appui d’un recours dirigé contre la décision finale. WhatsApp faisait néanmoins valoir en s’appuyant sur la jurisprudence de la Cour (CJCE 11 nov. 1981, IBM c/ Commission, aff. C-60/81 ; 12 juill. 2022, Nord Stream 2, aff. C-248/20) qu’un acte intermédiaire est attaquable lorsqu’il revêt un caractère définitif et qu’il est indépendant de la décision finale adoptée postérieurement. La Cour de justice lui donne raison. Elle constate que la décision contraignante fixe définitivement la position du Comité et épuise toutes les questions qu’il devait trancher (pt 72).

La décision du Comité, un acte produisant des effets juridiques à l’égard des tiers. En vertu de l’article 263, alinéa 1, du Traité sur le fonctionnement de l’Union européenne, la Cour contrôle « la légalité des actes des organes ou organismes de l’Union destinés à produire des effets juridiques à l’égard des tiers ». Il faut donc déterminer si la décision contraignante du Comité produit de tels effets. La Cour de justice, dans la ligne de son avocate générale, indique que le tiers visé par cette disposition n’est pas nécessairement la partie requérante. En conséquence, la situation juridique de WhatsApp n’a pas spécifiquement à être prise en compte et le caractère attaquable de l’acte doit être apprécié objectivement. La Cour constate (pt 71) que la décision (comme son nom l’indique d’ailleurs) est contraignante à l’égard de tiers : elle lie l’autorité de contrôle cheffe de file ainsi que toutes les autorités de contrôle concernées, dont la qualité de tiers par rapport au Comité est affirmée.

La recevabilité du recours de WhatsApp. La recevabilité du recours dépendait du point de savoir si WhatsApp était concernée directement et individuellement par la décision. Cette exigence résulte de l’article 263, alinéa 4, du Traité sur le fonctionnement de l’Union européenne. Le Comité faisait valoir que deux critères cumulatifs devraient être satisfaits pour qu’une personne physique ou morale, qui n’est pas destinataire d’un acte individuel, soit directement concernée par un acte de l’Union. Il faudrait que l’acte ait une incidence directe sur sa situation juridique mais aussi que le destinataire de l’acte, ici l’Autorité nationale irlandaise, n’ait aucun pouvoir d’appréciation. La Cour de justice constate, à la suite du Tribunal, que WhatsApp est individuellement concernée par la décision du Comité : cette décision a trait au projet de décision finale qui vise spécifiquement WhatsApp. Mais à la différence du Tribunal, la Cour juge que WhatsApp est également directement concernée par cette décision. S’appuyant sur sa jurisprudence passée, elle rappelle que ni l’absence d’opposabilité directe de l’acte attaqué à la partie requérante, ni la circonstance que cet acte n’est pas la dernière étape d’une procédure composite, ne font pas obstacle à ce que la partie requérante soit directement concernée. Ce qui importe est l’existence ou non d’un pouvoir d’appréciation du destinataire de l’acte (pt 95). Or, la décision contraignante prend parti sur le comportement de WhatsApp en retenant qu’elle a enfreint l’article 13 du RGPD (obligations d’information) et l’oblige à modifier sa relation contractuelle avec ses utilisateurs. Il importe peu que l’Autorité de contrôle irlandaise soit, en raison du mécanisme du guichet unique de l’article 56 du RGPD, le seul interlocuteur de WhatsApp. En effet, cette autorité ne dispose pas d’une complète liberté d’appréciation. Elle est, comme les autres autorités nationales, liée par la décision du Comité qu’elle doit répéter (not., quant à la violation de certaines dispositions du RGPD, quant à la qualification des données, mais aussi quant à la nécessité d’augmenter les amendes initialement prévues). L’affirmation ne saurait surprendre. Le caractère contraignant de la décision du Comité est l’essence même du mécanisme de cohérence du RGPD. La Cour de justice évoque en ce sens « un lien d’interdépendance entre la décision litigieuse et la décision finale » (pt 105) même s’il s’agit d’actes distincts. Il en résulte que WhatsApp est directement concernée par la décision litigieuse.

Le risque de procédures parallèles. La décision du Tribunal reposait pour partie, on l’a dit, sur la nécessité d’éviter le développement de procédures parallèles. Il redoutait que le recours en annulation de la décision contraignante devant le juge de l’Union n’interfère avec le recours, prévu par l’article 78 du RGPD, à l’encontre de la décision finale devant le juge national. La Cour de justice estime que le droit de l’Union comporte les outils de résolution du conflit. Elle précise qu’en cas de doute sur la validité de la décision contraignante, la juridiction nationale devrait au titre de l’obligation de coopération loyale surseoir à statuer jusqu’à ce que les juridictions de l’Union se soient de façon définitive prononcées sur le recours en annulation, voire poser une question préjudicielle à la Cour sur la validité de la décision. Elle s’appuie pour ce faire sur deux arrêts précédents (CJUE 14 déc. 2000, Masterfoods et HB, aff. C-344/98, spéc. pt 57, D. 2001. 1863 , note J. C. Fourgoux ; RTD com. 2001. 547, obs. S. Poillot-Peruzzetto ; RTD eur. 2002. 103, chron. L. Idot ; 25 juill. 2018, Georgsmarienhütte e.a., aff. C-135/16, spéc. pt 24). Elle ajoute qu’en cas de saisine concomitante du Tribunal (recours en annulation) et de la Cour (renvoi préjudiciel), la Cour par application du principe de bonne administration de la justice pourrait, en vertu des dispositions de son statut (art. 54, al. 3), suspendre la procédure pendante devant elle au profit de celle introduite devant le Tribunal.

Conclusion. Le recours en annulation de WhatsApp est déclaré recevable et il appartient désormais au Tribunal de l’Union européenne de statuer au fond. WhatsApp a donc gagné la première manche dans le litige qui l’oppose à l’EDPB. Mais rien ne permet de dire que la deuxième manche lui est d’ores et déjà acquise.

par Fabienne Jault-Seseke, Professeur à l’Université de Paris-Saclay (UVSQ), Dante, IUF

CJUE 10 févr. 2026, aff. C-97/23

Source