Avis, Autorité de protection des données, 2026-02-03

Avis n°12/2026 du 3 février 2026
Objet : Avis sur la proposition de loi « modifiant la loi du 3 décembre 2017 portant création de l’Autorité de protection des données et modifiant la loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel en ce qui concerne les décisions anticipées » (DOC 56, 0218/001) (CO-A-2026-011)
Mots-clés : : ruling – rescrit – décision anticipée –missions des autorités de protection des données - sécurité juridique – article 23 RGPD - principe de légalité - mécanisme de cohérence et rôle du CEPD – indépendance et impartialité de l’Autorité – attribution de pouvoirs à une autorité indépendante – bacs à sable réglementaires – budget Version originale
Le Service d’Autorisation et d’Avis de l’Autorité de protection des données (ci-après « l’Autorité »),
Vu la loi du 3 décembre 2017 portant création de l'Autorité de protection des données , en particulier les articles 23 et 26 (ci-après « LCA ») ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après « RGPD ») ;
Vu la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel (ci-après « LTD ») ;
Vu la demande d'avis de Monsieur Peter De Roover, Président du Parlement fédéral, reçue le 14 janvier 2026;
Émet, le 3 février 2026, l'avis suivant :
I. Objet de la demande
1. Le Président du Parlement fédéral sollicite l’avis de l’Autorité sur la proposition de loi « modifiant la loi du 3 décembre 2017 portant création de l’Autorité de protection des données et modifiant la loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel en ce qui concerne les décisions anticipées » (DOC 56, 0218/001) (ci-après, dénommée « la proposition de loi »).
2. La proposition de loi - qui s’inspire largement du rescrit (ruling) en matière fiscale et de la loi qui l’encadre, à savoir, le titre III de la loi du 24 décembre 2002 modifiant le régime des sociétés en matière d’impôts sur les revenus et instituant un système de décision anticipée en matière fiscale - vise à conférer à l’Autorité de protection des données une nouvelle mission consistant à adopter des décisions anticipées1 (« privacy rulings ») sur « toutes les demandes relatives à l’application des principes fondamentaux et des lois qui ressortissent de sa compétence telle que visée à l’article 4 » de sa loi organique et prévoit que les décisions anticipées de l’Autorité lieront tous ses services et seront prises pour une durée déterminée qui ne peut en principe excéder 5 ans.
3. Ainsi qu’il ressort des développements préalables à la proposition de loi, leurs auteurs visent à « améliorer la sécurité juridique pour le futur responsable du traitement des données et garantir le respect de la vie privée dès la phase du projet de traitement ».
4. L’analyse de l’Autorité s’articule en plusieurs observations générales liées (i) à la nécessité et à l’opportunité de la mise en place d’un « privacy ruling » comparable au ruling fiscal, (ii) à la compatibilité de cette mission additionnelle tant avec le cadre institutionnel et matériel du RGPD qu’avec la Constitution, (iv) à la comparaison de ce « privacy ruling » avec le mécanisme de « bac à sable réglementaire » de l’autorité de contrôle anglaise (ICO), (v) ainsi qu’à son énorme impact budgétaire .
II. Examen
5. La proposition de loi définit la décision anticipée comme un acte juridique par lequel l’Autorité détermine comment les lois qui ressortissent de sa compétence, telle que visée à l’article 4 de sa loi organique, s’appliqueront à une situation particulière ou à un traitement de données à caractère personnel envisagé n’ayant pas encore produit d’effets.
6. Le caractère juridiquement contraignant pour l’Autorité de la décision anticipée, qui la « lie pour l’avenir », soulève tout d’abord des questions fondamentales de compatibilité avec le RGPD, tant au regard du fait que le droit à la protection des données à caractère personnel constitue un droit fondamental (et que sa régulation implique une relation triangulaire entre, non seulement, l’Autorité de contrôle et le responsable du traitement mais également les personnes concernées) qu’au vu des missions et obligations imposées aux autorités de contrôle et aux responsables du traitement et sous-traitants par le RGPD.
A. Nécessité et opportunité de la mise en place d’un « privacy ruling » à l’instar du ruling en matière fiscale - risque d’atteinte à l’essence du droit fondamental à la protection des données.
7. Même si les décisions anticipées étaient publiées de manière anonyme (cf. infra à ce sujet les points 78 à 79 de l’avis), ce qui permettrait à un public plus large que le demandeur d’en prendre connaissance et d’être ainsi informé de la teneur des interprétations de la norme conférées par l’Autorité de protection des données, la vocation première d’un ruling est d’émettre une prise de position formelle de l’administration, qui lui est opposable, sur l’application d’une norme à une situation de fait décrite loyalement dans la demande présentée par une personne qui a sollicité le ruling pour la protection de ses seuls intérêts, généralement financiers2.
8. Contrairement aux relations administratives en matière fiscale qui se caractérisent par une relation bilatérale (entre l’Etat et le contribuable) de nature patrimoniale (liée à l’impôt à payer), la régulation des traitements de données à caractère personnel se caractérise par une relation triangulaire (l’Autorité de protection des données, le responsable du traitement et son sous-traitant, et, ce que semble omettre la proposition de loi, les personnes appartenant aux catégories de personnes concernées par le traitement de données) et extrapatrimoniale (la défense du respect d’un droit fondamental). Contrairement au prélèvement de l’impôt qui prend place dans le cadre de cette relation bilatérale pécuniaire, exclusive des droits des tiers, en matière de régulation des traitements de données à caractère personnel, il n’est pas question uniquement du régulateur et du responsable du traitement mais également des personnes concernées par le traitement. Instaurer un procédé du ruling en cette dernière matière se heurte donc au respect des droits des tiers (étant donné que les personnes dont les données s(er)ont traitées n’auront pas eu l’occasion de prendre connaissance du projet de traitement et de faire valoir leurs arguments sur les aspects qu’ils estiment problématiques) et à l’interdiction pour le régulateur ou l’administration de s’engager à l’avance sur l’exercice de son pouvoir de décision/contrôle unilatéral(e) sans pouvoir prendre en compte les arguments des personnes à propos desquelles des données seront traitées3. L’Autorité ne peut en effet pas engager à l’avance ses organes de la chaine contentieuse quant à l’exercice de leur pouvoir de décision/contrôle unilatéral(e). De plus, ainsi que relevé par le Conseil d’Etat français dans son étude approfondie de 2013 sur le rescrit4 (ruling), ce mécanisme n’est pas généralisable à toutes les matières du droit. Il est difficilement concevable dans des domaines où, comme celui du droit au respect de la vie privée et de la protection des données à caractère personnel, sont en jeu des intérêts fondamentaux, telle que la protection des libertés fondamentales ou encore des droits et/ou intérêts des tiers tels que les personnes concernées au sens du RGPD.
9. D’ailleurs, à la connaissance de l’Autorité, aucun législateur européen n’a confié une telle mission à son autorité de contrôle.
B. Analyse de la nécessité, de l’opportunité et de la compatibilité de la mise en place d’un « privacy ruling » au regard du cadre matériel et institutionnel du RGPD.
10. Si l’article 58.6 du RGPD permet aux États membres de confier des pouvoirs additionnels aux autorités de contrôle, cette faculté ne saurait justifier ni l’introduction d’un mécanisme altérant l’équilibre matériel et institutionnel du RGPD, ni la reconnaissance implicite d’un pouvoir de « pré-interprétation contraignante » du droit de l’Union dans une matière touchant à un droit fondamental.
11. Un pouvoir additionnel doit rester accessoire, compatible et fonctionnellement subordonné tant au RGPD qu’aux missions imposées aux autorités de contrôle par le RGPD, ce qui n’est pas le cas en l’espèce. En outre, ainsi que l’Autorité l’explicite ci-après, conférer une mission de décision anticipée (ruling) à une autorité de contrôle est également incompatible avec son rôle et son statut, avec l’article 23 du RGPD ainsi qu’avec plusieurs principes de régulation mis en place par le RGPD.
a. Missions actuelles de l’APD opérant un encadrement des responsables du traitement et un certain degré de sécurité juridique
12. Le mécanisme du « privacy ruling » serait tout d’abord, dans une certaine mesure, redondant avec certaines missions déjà exercées par l’Autorité. Le RGPD confère en effet déjà des missions spécifiques à l’Autorité de protection de données qui lui permettent d’accompagner les responsables du traitement dans les choix qu’ils posent au regard de leur projet de traitement de données à caractère personnel et ce, également dès la phase de la conception de leur projet :
i. Dans le cadre de sa mission de sensibilisation des responsables du traitement et des sous-traitants, son service de 1ère ligne aide les responsable du traitement dans la bonne application de leurs obligations en vertu du RGPD via la publication de dossiers thématiques, outils, documents-types, questions fréquentes et autres contenus sur son site web;
ii. Le Secrétariat Général de l’Autorité est compétent pour émettre des avis préalables sur...