Ce qui a changé
- L'EDPB a rejeté la proposition de l'APD belge d'écarter la plainte de Noyb contre la VRT concernant la bannière de cookies sur le fondement des articles 77 et 80, paragraphe 1, du RGPD.
- L'EDPB a appliqué le test de la CJUE et a déterminé que les éléments objectifs et subjectifs requis pour prouver un abus de droit n'étaient pas établis.
- L'EDPB a ordonné à l'APD belge d'examiner l'affaire sur le fond et de soumettre un nouveau projet de décision aux autorités de contrôle concernées en vertu de l'article 60, paragraphe 3, du RGPD.
Les exploitants de sites web, les radiodiffuseurs publics et les autorités de protection des données opérant au sein de l'Union européenne doivent prendre acte d'une décision contraignante de règlement des litiges publiée par le Comité européen de la protection des données (EDPB) en vertu de l'article 65, paragraphe 1, point a), du Règlement général sur la protection des données (RGPD). La décision établit que les rejets de procédure fondés sur un prétendu abus de droit ne peuvent pas être maintenus sans établir les critères objectifs et subjectifs requis.
L'affaire découle d'une plainte déposée auprès de l'Autorité autrichienne de protection des données (APD) par l'organisation non gouvernementale autrichienne Noyb au nom d'un particulier. La plainte contestait l'utilisation de bannières de cookies sur le site web de la Vlaamse Radio- en Televisieomroeporganisatie (VRT), un organisme public de radiodiffusion basé en Belgique.
Agissant en tant qu'autorité de contrôle chef de file (LSA), l'APD belge a soumis un projet de décision proposant de rejeter la plainte. L'APD belge soutenait que le plaignant avait abusé de ses droits au titre de l'article 77 du RGPD et de l'article 80, paragraphe 1, du RGPD. Cependant, l'APD autrichienne, agissant en tant qu'autorité de contrôle concernée (CSA), a formulé une objection formelle. L'APD autrichienne a fait valoir que la LSA belge ne devait pas rejeter la plainte pour des motifs de procédure et était au contraire tenue de rendre une décision sur le fond de l'affaire. L'APD belge ayant choisi de ne pas suivre cette objection, elle a soumis l'affaire à l'EDPB dans le cadre du mécanisme de règlement des litiges.
Dans sa décision contraignante du 28 mai 2026, l'EDPB a déterminé que l'objection de l'APD autrichienne était pertinente et motivée au sens de l'article 4, point 24), du RGPD et des lignes directrices correspondantes de l'EDPB. En évaluant le bien-fondé de l'objection, l'EDPB a appliqué le test établi par la Cour de justice de l'Union européenne (CJUE) concernant le prétendu abus de droit. Il a estimé que les éléments objectifs et subjectifs requis pour démontrer un abus n'étaient pas établis. En conséquence, l'EDPB a enjoint à l'APD belge de ne pas rejeter la plainte, mais d'en évaluer le fond et de soumettre un nouveau projet de décision aux CSA conformément à l'article 60, paragraphe 3, du RGPD.
En outre, le communiqué de presse de l'EDPB a mentionné d'autres évolutions réglementaires à travers l'UE, notamment une amende de 403,000,000 EUR infligée par la Commission irlandaise de protection des données à Google concernant le traitement des données de géolocalisation, une amende de 100,000 EUR infligée par l'APD espagnole à Securitas Direct concernant l'accès aux droits des personnes concernées, ainsi que l'adoption des lignes directrices finales DSA-RGPD accompagnées de méthodologies harmonisées en matière de sanctions financières.
Qui peut être concerné
Responsables du traitement utilisant des bannières de cookies, organismes publics de radiodiffusion, ONG transfrontalières de protection de la vie privée et autorités de contrôle de la protection des données de l'UE.
Contexte transfrontalier
L'affaire concerne un mécanisme transfrontalier de règlement des litiges au titre de l'article 65, paragraphe 1, point a), du RGPD impliquant les autorités de contrôle de Belgique (LSA) et d'Autriche (CSA) au sujet d'une plainte déposée par une ONG autrichienne contre un radiodiffuseur belge.
Points à vérifier ensuite
- Publication du nouveau projet de décision de l'APD belge transmis aux autorités de contrôle concernées en vertu de l'article 60, paragraphe 3, du RGPD.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.
Préparé automatiquement avec l'assistance d'une IA à partir des sources officielles liées sur cette page. Les traductions et explications ne remplacent pas le texte officiel.