L’arrêt de la Cour de justice de l’Union européenne du 6 octobre 2025 précise les limites du champ d’application du règlement général sur la protection des données. Une commission d’enquête parlementaire d’un État membre a procédé au traitement de données personnelles lors d’investigations sur des soupçons d’influence politique au sein d’une police. Une personne concernée a introduit une réclamation devant l’autorité de protection nationale pour contester la légalité de ce traitement de ses informations personnelles. L’autorité de contrôle a rejeté la plainte en invoquant son incompétence pour surveiller un organe du pouvoir législatif dans l’exercice de ses fonctions. Le plaignant a alors formé un recours devant la juridiction administrative nationale pour obtenir l’annulation de cette décision de refus de statuer au fond. Le juge de renvoi a décidé de surseoir à statuer afin d’interroger la Cour sur l’applicabilité du règlement aux activités de contrôle parlementaire. La question posée vise à déterminer si la nature institutionnelle de l’organisme ou les enjeux de sécurité nationale peuvent écarter la compétence de surveillance. La Cour répond que les activités d’une commission d’enquête parlementaire ne sont pas exclues par nature du champ d’application du droit de l’Union. L’analyse de cette décision permet d’étudier l’assujettissement des commissions d’enquête au droit européen avant d’aborder l’affirmation de la compétence directe de l’autorité de contrôle.
I. L’assujettissement des commissions d’enquête parlementaires au droit de l’Union
A. L’indifférence de la nature institutionnelle de l’organisme traitant les données
La Cour affirme d’abord que le statut organique d’une commission parlementaire ne suffit pas à justifier son exclusion du champ d’application du droit européen. Le juge rappelle qu’une activité ne peut être considérée comme hors champ « pour la seule raison qu’elle est exercée par une commission d’enquête ». Cette approche privilégie une interprétation fonctionnelle du règlement général sur la protection des données afin d’assurer un niveau élevé de protection des personnes physiques. L’exercice du pouvoir de contrôle parlementaire sur l’exécutif ne constitue donc pas une barrière infranchissable pour les règles relatives aux données personnelles. La spécificité des institutions d’un État membre doit s’effacer devant la nécessité d’une application uniforme du droit européen au sein de l’espace commun.
B. L’interprétation restrictive de la dérogation relative à la sécurité nationale
La décision précise également que les investigations sur les soupçons d’influence politique au sein de la police ne relèvent pas automatiquement de la sécurité nationale. Les activités d’une commission d’enquête ne sont pas considérées « en tant que telles, comme des activités relatives à la sécurité nationale situées en dehors du champ ». Le considérant seize du règlement impose une lecture rigoureuse de cette exception qui doit demeurer limitée aux seules fonctions essentielles de l’État souverain. Une autorité policière de protection de l’État, bien que sensible, reste soumise au droit commun de la protection des données dès lors qu’elle agit ainsi. Ce resserrement du périmètre de l’exception souveraine évite ainsi toute zone d’ombre juridique où les droits fondamentaux des individus seraient systématiquement écartés. L’application matérielle du règlement étant établie, la Cour se prononce ensuite sur la capacité de l’autorité de contrôle à sanctionner d’éventuels manquements.
II. L’affirmation de la compétence directe de l’autorité de contrôle
A. La consécration d’un pouvoir de surveillance fondé sur le droit européen
Le juge européen consacre la compétence directe de l’autorité de contrôle nationale même en l’absence de base juridique spécifique dans le droit interne. Lorsque l’État a institué une seule autorité, le droit de l’Union lui confère « directement la compétence pour connaître des réclamations » contre la commission d’enquête. Cette interprétation des articles cinquante-cinq et soixante-dix-sept du règlement pallie l’inertie ou l’omission du législateur national lors de la transposition des règles. L’indépendance de l’autorité de surveillance est ainsi préservée face aux structures législatives qui pourraient tenter de se soustraire à tout contrôle extérieur. La primauté du règlement permet d’écarter toute disposition nationale contraire qui viendrait limiter indûment les pouvoirs de l’autorité administrative indépendante de protection.
B. La garantie de l’effectivité du droit au recours pour les particuliers
L’affirmation de cette compétence garantit l’effectivité du droit fondamental à la protection des données pour chaque citoyen face aux institutions de son pays. Toute personne physique dispose désormais d’un recours concret devant une autorité administrative même si le traitement litigieux émane d’une instance parlementaire de contrôle. La solution retenue par la Cour empêche la création d’un vide juridique qui laisserait les individus sans défense face aux puissances publiques nationales. Cette décision renforce la confiance des citoyens dans les mécanismes de protection européens en assurant une surveillance constante de tous les organes étatiques. La portée de cet arrêt s’étend ainsi à toutes les autorités publiques dont les missions ne relèvent pas strictement de la défense nationale.
