CJUE C‑414/24 (18 juin 2026) : recours RGPD parallèles, non exclusifs

Fait vérifiable — Le 18 juin 2026, la CJUE (C‑414/24, Datenschutzbehörde) confirme que les voies de recours du RGPD par réclamation auprès d’une autorité (art. 77) et par action en justice (art. 79) peuvent être exercées en parallèle. Une autorité ne peut pas rejeter une plainte au seul motif qu’une action judiciaire portant sur le même objet est pendante ou déjà jugée. Source officielle : texte intégral de l’arrêt sur EUR‑Lex (FR) : 62024CJ0414 et (EN) : 62024CJ0414. Fiche de l’affaire : InfoCuria C‑414/24.

L’affaire

Saisie à titre préjudiciel, la CJUE devait préciser l’articulation entre :

• le droit d’introduire une réclamation auprès d’une autorité de contrôle (article 77 RGPD),
• et le droit d’exercer un recours juridictionnel effectif contre un responsable de traitement (article 79 RGPD).

Réponse de la Cour : les deux voies sont parallèles et ne s’excluent pas. Le droit à un recours effectif (Charte, art. 47) s’oppose à une irrecevabilité ou clôture automatique d’une plainte art. 77 au seul motif d’une instance art. 79.

Le raisonnement juridique

• Base légale : articles 77, 78 et 79 du Chapitre VIII du RGPD, lus à la lumière de l’article 47 de la Charte. Pour un rappel des articles 77 à 79 du RGPD, voir également la CNPD (chapitre VIII FR/EN/DE).
• Interprétation : la Cour confirme le caractère cumulatif et « sans préjudice » des voies de recours (cf. C‑132/21, 12/01/2023 ; SCHUFA C‑26/22 et C‑64/22, 07/12/2023). Un système national permettant le rejet automatique d’une plainte parce qu’une action art. 79 est pendante porte atteinte au droit à un recours effectif et à l’économie du RGPD.
• Portée pratique : l’autorité peut coordonner ou suspendre au cas par cas, mais ne peut pas refuser par principe d’instruire une réclamation art. 77 en raison d’une instance art. 79 en cours.

Impact au Luxembourg

Procédure CNPD : le document « Procédure relative aux réclamations devant la CNPD » (maj 06/03/2026) prévoit que « l’objet même de la réclamation ne fait pas simultanément l’objet d’une procédure devant une juridiction » (admissibilité). À la lumière de C‑414/24, une telle irrecevabilité automatique apparaît difficilement conciliable avec le RGPD : la CNPD devra permettre l’exercice parallèle et, si besoin, organiser une coordination procédurale ciblée plutôt qu’un rejet. Pour la conformité opérationnelle au Luxembourg, voir aussi notre page dédiée à la conformité CNPD au Luxembourg.

DPO, CISO, juristes : lorsqu’un salarié, client ou candidat agit en justice (art. 79) tout en déposant une plainte (art. 77), attendez‑vous à une instruction en parallèle. Les positions et réponses (art. 12‑15 : accès, rectification, effacement, limitations) doivent être cohérentes et opposables à double niveau. Besoin d’appui pour structurer les circuits de validation ? Voir notre offre de mandat DPO et réponses aux droits des personnes.

Délais et contenu : respectez les délais (art. 12(3) RGPD — un mois prorogeable) et soignez la preuve : ce que vous transmettez à l’autorité pourra être produit en justice, et inversement.

Contexte 2026 : la CNPD met en avant l’efficacité du traitement des plaintes et la coopération entre autorités (atelier EDPB, Luxembourg, 25‑27/03/2026). La clarification de la CJUE renforce cette dynamique : moins d’irrecevabilités de principe, davantage de résolution au fond, avec des exigences accrues de traçabilité.

Cas d’application

• Banques/assurances/PSF et employeurs : les demandes d’accès (art. 15) ou de limitation (art. 18) liées à des litiges RH, sinistres, PEP/KYC ou fraude passent souvent par l’autorité et le juge. Préparez des dossiers probatoires duplicables dès la première réponse.
• Opérateurs NIS 2 et entités DORA : en cas d’incident sécurité ayant des effets personnels (notification art. 34, demandes d’accès aux logs), une action en réparation (art. 82/79) peut naître pendant qu’une plainte (77) vise vos pratiques d’information ou de minimisation.
• Secteur public et éducation : les « chartes RGPD » et notes d’information sont contestées via plaintes et recours parallèles ; l’autorité doit traiter le fond et éviter les rejets automatiques.

Pièges fréquents

1. Conditionner la recevabilité interne d’une demande d’accès à l’absence de litige en cours. Alignez vos procédures avec le parallélisme des recours.
2. Réponses « minimales » sans preuves (journaux d’extraction, liste des destinataires, horodatages).
3. Mélanger « secret des affaires » et refus général : motivez et proportionnez (art. 12(4), 15(4)).
4. « Gel » automatique des plaintes dès qu’une assignation arrive : ne défendre que des suspensions ciblées, motivées et révisables.
5. Gouvernance éclatée : mettez en place un circuit unique de validation (modèles, contrôle qualité, archivage ≥ 3 ans).

Sources officielles

• CJUE, 18 juin 2026, C‑414/24, Datenschutzbehörde — EUR‑Lex (FR) : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62024CJ0414 et (EN) : https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62024CJ0414 ; fiche InfoCuria C‑414/24.
• CNPD Luxembourg — Chapitre VIII (voies de recours RGPD) : FR et EN.
• CNPD — Procédure relative aux réclamations (maj 06/03/2026) : PDF.
• CNPD — Actualité : atelier « complaint handling » (25‑27/03/2026) : lien.
• CNPD — RGPD Chapitre III (droits 15‑22) : lien.

En synthèse

Depuis le 18 juin 2026, toute politique d’entreprise au Luxembourg conditionnant le traitement d’une réclamation RGPD à l’absence de contentieux parallèle doit être revue. Organisez des réponses traçables et cohérentes, prêtes pour l’autorité et le juge.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.