COM(2026) 314 FINAL
du 23/06/2026
Contrôle de subsidiarité (article 88-6 de la Constitution)
Proposition de règlement du Parlement européen et du Conseil modifiant le règlement (UE) 2018/1725 du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données - COM (2026) 314 final
La proposition de règlement COM(2026) 314 final est un texte technique, qui vise à actualiser les dispositions du règlement (UE) 2018/1725 du 23 octobre 2018 (ou RPDUE) régissant la protection des données personnelles dans les traitements de données des institutions et organes de l'Union européenne, en particulier ceux compétents dans les domaines de la justice et des affaires intérieures.
Cette actualisation a été présentée le 24 juin dernier par la Commission européenne, dans le cadre d'un ensemble de quatre textes ayant trait à la coopération européenne en matière de police et de justice pénale, avec :
- une proposition de réforme du statut et des missions d'Europol, agence européenne de coopération policière - COM(2026) 580 final ;
- une proposition de réforme du statut et des missions d'Eurojust, agence de coopération européenne en matière de justice pénale - COM(2026) 570 final ;
- une proposition de refonte de la directive 2014/41/UE sur la décision d'enquête européenne - COM(2026) 313 final.
A. Le cadre juridique actuel de la protection des personnes physiques à l'égard des traitements de données personnelles effectués par les institutions, organes et organismes de l'Union européenne
a) Un règlement et une directive déclinant le RGPD pour le traitement des données personnelles par les organes de l'Union européenne, et, en particulier, ceux compétents dans le domaine « Justice et affaires intérieures » (JAI)
Le règlement RPDUE définit les modalités selon lesquelles les institutions, organes et organismes de l'Union européenne (UE) doivent traiter les données à caractère personnel1(*) qu'ils détiennent sur des personnes physiques. Son chapitre IX liste plus particulièrement les conditions et garanties « spécifiques » de traitement des « données opérationnelles à caractère personnel », qui sont les données à caractère personnel traitées par les organes ou organismes de l'Union relevant du secteur JAI (Europol ; Eurojust ; Frontex...).
En pratique, il s'inspire du RGPD (règlement (UE) 2016/679) et de la directive (UE) 2016/680 (ou « directive d'application de la loi relative à la protection des données »), tous deux applicables depuis mai 2018.
Le règlement RDPUE comprend plusieurs dispositions visant à assurer une protection efficace des droits et des libertés fondamentales d'une personne physique, en particulier son droit à la protection des données à caractère personnel et à celle de la vie privée.
Dans ce cadre, les données doivent être « traitées de manière licite, loyale et transparente au regard de la personne concernée. » Elles doivent être collectées pour des finalités « déterminées, explicites et légitimes », « adéquates, pertinentes et limitées », « exactes et, si nécessaire, mises à jour » et « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire. »
En outre, dans un certain nombre de cas, la personne doit donner son consentement pour autoriser le traitement de ses données personnelles.
Le règlement RDPUE :
- précise également les modalités de mise en oeuvre des droits de la personne dont les données sont traitées (interdiction du traitement de certaines catégories de données2(*) ; droit à l'information sur le traitement de ses données ; droit d'accès à ses données ; droits de rectification et d'effacement ; droit à la portabilité des données ; droit d'opposition à un traitement et droit à la limitation de ce dernier...) ;
- décline les garanties issues du RGPD (désignation d'un responsable de traitement et d'un délégué à la protection des données ; instauration de registres de traitement ; garantie d'un niveau élevé de sécurité ; notification des violations éventuelles au Contrôleur européen de la protection des données (CEPD) ; confidentialité des communications électroniques...).
b) Un règlement à l'application satisfaisante mais perfectible
Comme l'a souligné la Commission européenne dans un rapport d'évaluation, en 20223(*), le règlement (UE) 2018/1725 « constitue l'un des piliers de la bonne gouvernance et de la bonne conduite administrative au niveau de l'Union européenne ». Ce rapport a confirmé que le règlement « fonctionn(ait) bien et (était) adapté à son objectif ».
Simultanément, cette évaluation a relevé plusieurs lacunes dans le traitement des données opérationnelles à caractère personnel par les organes de l'Union européenne intervenant dans le domaine JAI :
- l'absence d'application du règlement (UE) 2018/1725 au Parquet européen, ce dernier disposant d'un régime autonome pour le traitement des données opérationnelles dans son règlement constitutif, et à l'agence Frontex, concernant le rôle du Contrôleur européen de la protection des données (CEPD) ;
- une ambiguïté dans la rédaction du règlement, qui n'indique pas clairement que ses dispositions d'application générale sont applicables « par défaut » au traitement des données opérationnelles par les organes de l'Union européenne lorsque les textes statutaires de ces derniers ne prévoient pas de règles.
L'exposé des motifs de la proposition de règlement COM (2026) 314 final, qui fait l'objet du présent examen, reprend ces observations et estime que ces lacunes sont à l'origine d'une fragmentation, qui, non seulement, « nuit à la sécurité juridique », mais qui, également, « fait obstacle, dans la pratique, à une coopération efficace entre les organes et organismes de l'UE lorsque ceux-ci échangent des données. »4(*)
Voilà pourquoi la Commission européenne a souhaité présenter cette proposition de règlement dans le cadre du paquet « Europol-Eurojust », le 24 juin dernier.
B. Le contenu de la proposition législative de la Commission
La proposition de règlement COM(2026) 314 final a pour objet d'amender le règlement (UE) 2018/1725 pour harmoniser les règles européennes applicables au traitement des « données opérationnelles » par les organes de l'Union européenne intervenant dans le domaine JAI.
En pratique, la proposition, qui comprend deux articles, tend à amender huit articles du règlement RDPUE, à supprimer un article et à en ajouter six. Les modifications du règlement RDPUE sont contenues dans l'article 1er.
En réponse aux critiques précédemment présentées, la proposition de la Commission européenne poursuit trois objectifs principaux :
- renforcer la cohérence du RPDUE avec le cadre juridique de la protection des données ;
- renforcer la sécurité juridique en complétant son chapitre IX, relatif au traitement des données opérationnelles à caractère personnel ;
- simplifier le cadre juridique en réduisant les « doublons » et en facilitant la coopération opérationnelle.
Concrètement, la proposition prévoit, à titre principal :
· de compléter les dispositions du chapitre IX du règlement (UE) 2018-1725 pour étendre au traitement des données opérationnelles à caractère personnel, la compétence des délégués à la protection des données (articles 43 à 45 du règlement (UE) 2018/1725), la tenue de registres des activités de traitement aux données opérationnelles à caractère personnelle (article 87bis du règlement (UE) 2018/1725), les règles de coopération entre autorités compétentes (chapitre VII) et celles relatives aux recours, à la responsabilité et aux sanctions (chapitre VIII) ;
· d'aligner le régime juridique des transferts internationaux de données opérationnelles à caractère personnel5(*) sur celui qui existe déjà dans la « directive justice-police » (articles 94 à 94 quinquies du règlement (UE) 2018/1725) ;
· d'intégrer le Parquet européen dans le champ d'application des dispositions du chapitre IX du règlement (UE) 2018/1725 précité (article 2 de ce règlement) ;
· de préciser les pouvoirs du Contrôleur européen de la protection des données (CEPD) pour le traitement des données opérationnelles à caractère personnel (pouvoir d'enquêter et d'imposer des amendes administratives (article 66) ; régime des notifications des violations de données à caractère personnel (notification d'une violation de données à caractère personnel seulement si elle est susceptible d'engendrer un risque élevé pour les droits et libertés de personnes physiques ...)) et d'unifier le cadre juridique applicable à son activité au sein du règlement (UE) 2018/1725 (suppression des dispositions relatives au CEPD dans les textes statutaires Europol, Eurojust...). En effet, à l'heure actuelle, ses compétences divergent en fonction des organes européens concernés (Europol ; Eurojust...) et n'existent même pas à l'égard de Frontex ;
· d'harmoniser, autant que possible, les dispositions du règlement (UE) 2018/1725 relatives au traitement des données opérationnelles avec celles de la proposition de règlement « omnibus numérique », qui limiteraient la portée des dispositions du RGPD : transformation de l'interdiction actuelle des décisions individuelles automatisées (y compris le profilage) en autorisation sous conditions (mesure prévue par le droit de l'Union européenne ; mise en place de garanties dont, a minima, une intervention humaine de la part du responsable de traitement (article 77 du règlement (UE) 2018/1725) ; élargissement des motifs de restriction du droit d'accès d'une personne à ses données, en cas de demande manifestement infondée ou excessive (article 78 du règlement (UE) 2018/1725) ; extension du délai de notification d'une violation de données opérationnelles à caractère personnel, de 72 heures aujourd'hui à 96 heures (article 92 du règlement (UE) 2018/1725). Pour rappel, le Sénat a adopté une résolution européenne sur l'omnibus numérique », le 13 mai 2026, dans laquelle il a rappelé que « l'objet du RGPD (n'était) pas en soi la protection des données, mais la protection des libertés et droits des personnes qui sont concernées par ces données » et a souligné que les « révisions proposées au RGPD [dans « l'omnibus numérique »] (étaient) trop substantielles et potentiellement dangereuses ». Il a cependant soutenu l'extension, de 72 à 96 heures, du délai de notification des incidents relatifs aux données personnelles, estimant qu'elle donnerait davantage de temps aux délégués à la protection des données pour remplir leurs missions6(*).
A. Cette proposition est-elle conforme aux principes de subsidiarité et de proportionnalité ?
a) La base juridique choisie est-elle correcte ?
La base juridique retenue par la Commission européenne semble adaptée.
La proposition de règlement est en effet fondée sur les dispositions de l'article 16 du traité sur le fonctionnement de l'Union européenne (TFUE), qui est la base juridique pertinente pour les traitements de données.
La protection des personnes physiques à l'égard du traitement de leurs données personnelles est définie comme un droit fondamental consacré par l'article 8, paragraphe 1, de la charte des droits fondamentaux de l'Union européenne.
Dans ce cadre, l'article 16 du TFUE rappelle que « toute personne a droit à la protection des données à caractère personnel la concernant » et permet au Parlement européen et au Conseil, statuant selon la procédure législative ordinaire, de fixer les « règles relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union, ainsi que par les États membres dans l'exercice d'activités qui relèvent du champ d'application du droit de l'Union et à la libre circulation de ces données. »
b) La proposition est-elle conforme aux principes de subsidiarité et de proportionnalité ?
La réponse est également positive. En effet, la proposition de règlement vient préciser explicitement le régime de protection des personnes physiques en cas de traitement de leurs données opérationnelles à caractère personnel par un organe de l'UE compétent dans le domaine JAI, sans pour autant modifier la répartition actuelle des compétences entre États membres et Union européenne.
En précisant les garanties appropriées qui s'appliquent à ces personnes (registres de traitement ; rôle du CEPD...), ce texte présente une réelle valeur ajoutée (ex : extension du délai de notification et des pouvoirs du CEPD), en sécurisant juridiquement des procédures qui sont parfois déjà mises en oeuvre sur la base de dispositions plus incertaines.
Certes, on peut se poser certaines questions de fond, en particulier sur l'étendue des possibilités de transferts de données opérationnelles à caractère personnel à des pays tiers ou organisations internationales, mais ces interrogations ne relèvent pas du contrôle de subsidiarité.
Enfin, aucune mesure nouvelle proposée par ce texte ne semble disproportionnée au regard des objectifs poursuivis.
Compte tenu de ces observations, le groupe de travail sur la subsidiarité a décidé de ne pas intervenir plus avant sur ce texte au titre de l'article 88-6 de la Constitution.
* 1 Ces données sont définies par le règlement comme « toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée être « une personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. » (Article 3, paragraphe 1).
* 2 Traitements de données à caractère personnel révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale de la personne, ou traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne (article 10).
* 3 Communication de la Commission européenne au Parlement européen et au Conseil portant premier rapport sur l'application du règlement relatif à la protection des données pour les institutions, organes et organismes de l'Union européenne (COM (2022) 530 final).
* 4 Exposé des motifs, p 1.
* 5 Le transfert est nécessaire à l'exercice de sa mission par le responsable de traitement ; l'autorité de pays tiers ou l'organisation internationale destinataire des données, est compétente en matière répressive ou de justice pénale ; lorsque les données à transférer ont été communiquées par un État membre, nécessité d'une autorisation préalable de ce dernier pour procéder au transfert ; le transfert doit être basé sur une décision d'adéquation ou de garanties appropriées contenues dans un instrument juridique contraignant (accord international ; accord de coopération et, en l'absence de tels décisions ou instruments, si certains critères sont remplis (transfert nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne, à la sauvegarde des intérêts légitimes de la personne concernée, à la prévention d'une menace grave et immédiate pour la sécurité publique d'un État membre ou de pays tiers, ou, dans des cas particuliers, à l'exercice de la mission du responsable de traitement (articles 94 bis à 94 quinquies nouveaux du règlement (UE) 2018/1725).
* 6 Résolution européenne n°144 (2025-2026) du 19 juin 2026, adoptée à l'initiative de la commission des affaires européennes, sur le rapport des sénatrices Catherine Morin-Desailly et Karine Daniel.