Monsieur le Président,

Je vous écris pour donner suite à la réponse de la Commission européenne du 21 juin 2022 dans le cadre de la présente enquête [C(2022) 3686 final].

La réponse de la Commission est utile à plusieurs égards. Il souligne les attentes de la Commission compte tenu du rôle particulier des autorités irlandaises en ce qui concerne la mise en œuvre du RGPD. La réponse mentionne également que la Commission s’attend à ce que sa principale source d’information (le comité européen de la protection des données) améliore bientôt la manière dont elle présente les données liées au RGPD.

La réponse de la Commission contient des informations relativement spécifiques sur les sources d’information, mais pas un compte rendu détaillé et complet des informations réelles qu’elle a recueillies jusqu’à présent.

La présente enquête porte sur la mise en œuvre d’un droit fondamental des citoyens et, plus particulièrement, vise à déterminer si la Commission fait suffisamment pour veiller à ce que le RGPD soit pleinement appliqué à l’égard des grandes entreprises technologiques irlandaises. L’objectif est de vérifier si la Commission s’est informée de manière adéquate pour parvenir aux conclusions nécessaires. Afin de contribuer à ce processus, la Commission est invitée à répondre aux questions figurant à l’annexe ci-jointe.

Si la Commission juge utile d'organiser une autre réunion entre ses services et mon équipe d'enquête, ce serait possible.

Je vous saurais gré de bien vouloir répondre à cette lettre au plus tard le 30 septembre 2022. La Commission souhaitera peut-être également répondre aux observations du plaignant sur sa réponse, dont une copie est jointe en annexe.

Je vous prie d'agréer, Monsieur, l'expression de mes sincères

Emily O'Reilly

Médiateur européen

Strasbourg, le 19 juillet 2022

Pièces jointes:

· annexe

· les observations du plaignant sur la réponse de la Commission

· Lettre du plaignant du 16 mars 2022 à la DPC irlandaise

ANNEXE

Le rôle de la Commission – y compris pour la collecte d’informations – est distinct de celui de l’EDPB

La Commission a souligné que sa principale source d’informations sur la mise en œuvre du RGPD est l’EPDB.

La Médiatrice apprécie que le comité européen de la protection des données ait un rôle spécifique à jouer en matière de coordination à l’échelle de l’Union afin de garantir une application cohérente du RGPD. Les informations qu’elle recueille sont clairement importantes en ce qui concerne le travail que la Commission effectue pour surveiller la mise en œuvre du RGPD.

La Commission reste néanmoins autonome dans son rôle spécifique de contrôle de la violation du RGPD. Si les données produites par le CEPD – dans le but propre et distinct de promouvoir l’application cohérente du RGPD – ne sont pas pleinement pertinentes pour le rôle de la Commission, celle-ci est pleinement compétente pour demander, auprès de toute source, les données pertinentes. Il s’agit notamment de définir les données spécifiques détaillées demandées, la manière dont elles doivent être présentées et toute clarification connexe.

La Commission est invitée à formuler des observations sur ces points.

Le commissaire irlandais à la protection des données semble avoir été jusqu'à présent une source d'information essentielle.

Les données spécifiques que la Commission a fournies jusqu’à présent ou mentionnées dans la présente enquête figurent dans les documents énumérés ci-dessous [1]. La Commission est invitée à vérifier si la liste est complète.

1. «Aperçu des ressources mises à la disposition des autorités chargées de la protection des données par les États membres et des mesures d’exécution prises par les autorités chargées de la protection des données», publication de l’EDPB du 5 août 2021, préparée en réponse à une demande du Parlement européen [2].

2. «DPC LARGE-SCALE STATUTORY INQUIRIES – STATUS UPDATE FEBRUARY 2022*», un aperçu des enquêtes menées par le commissaire irlandais à la protection des données, fourni au Médiateur européen à titre confidentiel le 3 mars 2022.

3. «One-Stop-Shop Cross-Border Complaints Statistics - 25 My 2018 - 31 December 2021», publication du 15 mars 2022 de la Commission irlandaise de la protection des données [3]

La Commission peut-elle préciser si elle a adressé des demandes préalables, pour ses travaux de suivi, à la DPC irlandaise en ce qui concerne précisément les données qui devraient figurer aux points 2 et 3 et la manière dont ces données devraient être présentées?

Si la réponse à cette question est négative, il est supposé que le choix des données et la manière dont elles sont présentées ont été déterminés par le CPD irlandais. La Commission peut-elle également répondre à ce point?

En ce qui concerne le point 3, le plaignant a écrit à la DPC irlandaise le 16 mars 2022 (joint en annexe), en soulignant les données supplémentaires que son organisation considérerait comme pertinentes pour un aperçu approprié de la mise en œuvre du RGPD par cette autorité. Il semble que le plaignant n'ait pas encore reçu de réponse. La Commission pourrait-elle formuler des observations sur la possibilité pour la Commission de demander ces données directement à la DPC irlandaise?

[1] Il s’agit ici de « données », elles n’incluent donc pas de liens internet vers, par exemple, des procès-verbaux de réunions ou des documents similaires, auxquels la Commission a également fait référence.

[2] https://edpb.europa.eu/system/files/2021-08/edpb_report_2021_overviewsaressourcesandenforcement_v3_en_0.pdf

[3] La Commission avait également précédemment attiré l’attention sur les statistiques figurant dans le rapport annuel 2021 de la DPC. La publication pour 2018-2021 est censée fournir des informations pertinentes plus détaillées.