DONNÉES PERSONNELLES & CERTIFICATION EUROPRIVACY

Le Comité européen de la protection des données a rendu deux avis sur le label européen de protection des données personnelles : Europrivacy. Le premier avis étend l’accès au mécanisme pour les acteurs hors UE et soumis au RGPD. Le second avis porte sur l’approbation des critères de certification Europrivacy, ce label étant présenté comme un sceau européen de protection des données, destiné à faciliter l’encadrement des transferts internationaux de données vers des pays tiers, conformément aux articles 42 et 46 du RGPD. (CEPD, avis 15/2026 sur les critères de certification Europrivacy, 14 et 15 avril 2026).

Par un premier avis (14/2026), le Comité européen de la protection des données (CEPD) approuve la version mise à jour des critères de certification Europrivacy, conformément à l’article 42, paragraphe 5, du Règlement général sur la protection des données (RGPD). La principale évolution tient à l’élargissement du champ d’application du mécanisme qui est désormais ouvert aux responsables de traitement et aux sous-traitants établis hors de l’Union européenne, mais qui relèvent de l’article 3, paragraphe 2, du RGPD, notamment lorsqu’ils offrent des biens ou des services à des personnes situées dans l’Union ou suivent leur comportement. Sous certaines conditions, ces acteurs établis hors UE pourront donc obtenir une certification Europrivacy.

Par un second avis (15/2026), le CEPD reconnaît pour la première fois les critères de certification Europrivacy comme un label européen de protection des données pouvant servir d’outil dans le cadre des transferts de données hors UE, conformément aux articles 42 et 46 du RGPD. Cette reconnaissance présente un intérêt pratique majeur : les importateurs de données situés hors de l’UE, et non soumis au RGPD, pourront désormais demander cette certification pour les données qu’ils reçoivent. Elle permettra ainsi aux responsables de traitement et aux sous-traitants établis dans l’Union de plus facilement démontrer qu’ils offrent des garanties appropriées pour les transferts de données personnelles vers des pays tiers ou des organisations internationales.

Ces deux approbations traduisent la volonté du CEPD de proposer aux acteurs économiques des outils pratiques pour sécuriser les transferts de données, en complément des clauses contractuelles types et des règles d’entreprise contraignantes.