CJUE 10/02/2026 — RGPD: les décisions EDPB sont attaquables

10 février 2026 — La CJUE a jugé qu’une décision contraignante de l’EDPB (art. 65 RGPD) est un « acte attaquable » qui concerne directement l’entreprise visée. Enseignement clé: la méthodologie d’amende fixée ou ajustée par l’EDPB peut désormais être contestée devant les juridictions de l’UE. Voir CP 11/26 et EUR‑Lex C‑97/23 P.

L’affaire

La Cour (Grande chambre) a rendu l’arrêt C‑97/23 P, WhatsApp Ireland c/ EDPB, annulant l’ordonnance du Tribunal de 2022 qui avait déclaré irrecevable le recours de WhatsApp contre la décision contraignante 1/2021 de l’EDPB et renvoyant l’affaire au fond. La CJUE juge qu’une décision rendue au titre de l’article 65 RGPD « produit des effets juridiques à l’égard de tiers » et est donc un acte attaquable en annulation (art. 263 TFUE). WhatsApp est directement concernée. Sources: CP 11/26; EUR‑Lex C‑97/23 P. La décision contraignante 1/2021: EDPB, Binding Decision 1/2021.

Le raisonnement juridique

• Le RGPD organise un mécanisme de coopération (art. 60) et de cohérence (art. 63‑65) conférant à l’EDPB un pouvoir de règlement des différends: en cas de désaccord entre autorités, l’EDPB adopte une « décision contraignante » (art. 65) sur les points litigieux, y compris les amendes. Réf.: RGPD sur EUR‑Lex; synthèse CNPD: CNPD – Chapitre VII.
• La CJUE précise que la décision contraignante de l’EDPB n’est pas un acte préparatoire: elle s’impose à l’autorité chef de file et produit des effets juridiques externes. Elle est donc attaquable en annulation (art. 263 TFUE). Sources: CP 11/26; EUR‑Lex C‑97/23 P.
• Convergence procédurale: lorsque la décision nationale est « précédée » d’un avis/d’une décision de l’EDPB, le RGPD impose sa transmission au juge national saisi (art. 78(4) RGPD), renforçant la cohérence et le contrôle juridictionnel à tous niveaux. Réf.: EUR‑Lex – art. 78(4).

Ce que ça change concrètement

• Groupes et établissements luxembourgeois: une partie de la « cuisine » de calcul des amendes (art. 83 RGPD) peut être fixée ou révisée par l’EDPB via art. 65. Après CJUE 10/02/2026, cette décision EDPB est attaquable devant l’UE, parallèlement aux recours contre la décision finale nationale. Sources: CP 11/26; CNPD – Coopération & Cohérence. Consultez aussi les articles 63 et 65 du RGPD pour cadrer votre analyse.
• Accélération et sévérité possibles: dans WhatsApp, l’EDPB 1/2021 a resserré des exigences (délai de mise en conformité ramené de six à trois mois), illustrant que le Board peut durcir le correctif. Réfs.: décision finale redacted; PDF EDPB 1/2021.
• Autorités nationales (dont la CNPD): elles restent tenues par les décisions contraignantes (art. 65 RGPD) et rappellent la portée du mécanisme (y compris art. 66) sur leurs pages: CNPD.
• Stratégie contentieuse pour dirigeants/DPO/CISO: penser « double voie » lorsque l’EDPB est intervenu: (1) recours national contre la décision de l’autorité (ex. CNPD) et (2) recours en annulation autonome contre la décision EDPB. Pour l’argumentaire, ciblez le RGPD et les lignes directrices EDPB (amendes). Si besoin d’appui opérationnel, renforcez votre mandat DPO et anticipez la conformité CNPD au Luxembourg.

Pièges fréquents

1. Négliger la décision EDPB dans l’analyse de risque et la défense: ne contester que la décision nationale alors que l’armature (qualification, gravité, fourchette) a été « verrouillée » par l’EDPB. Réf.: CJUE, CP 11/26.
2. Sous‑estimer l’impact des désaccords entre autorités: dès qu’une « objection pertinente et motivée » (art. 65(1)(a) RGPD) est soulevée, l’EDPB peut imposer une base de calcul plus sévère. Réfs.: RGPD art. 65; EDPB 1/2021.
3. Oublier la cohérence des délais: l’EDPB peut réduire un délai de mise en conformité déjà serré; prévoir un plan « J‑0 à J+90 » avec preuves. Ex.: référence au délai ramené.
4. Fragmenter la preuve de proportionnalité (art. 83 RGPD): documenter centralement les critères (nature, gravité, durée, intention/négligence, atténuation, antécédents, coopération, etc.). Base: RGPD.
5. Ignorer l’articulation des recours: le juge national doit recevoir l’avis/la décision EDPB ayant précédé la décision de l’autorité (art. 78(4) RGPD). Réfs.: EUR‑Lex – art. 78(4); CNPD.

Sources officielles

• CJUE, Communiqué de presse n° 11/26 (10 février 2026) – C‑97/23 P WhatsApp Ireland c/ EDPB: curia.europa.eu
• EUR‑Lex, Affaire C‑97/23 P – Arrêt du 10/02/2026: eur-lex.europa.eu
• EDPB, Décision contraignante 1/2021 (WhatsApp – art. 65(1)(a) RGPD): edpb.europa.eu et PDF: edpb.europa.eu
• EDPB – dossier public lié (raccourcissement du délai): edpb.europa.eu
• RGPD (texte consolidé): art. 63, 65; art. 78(4): eur-lex.europa.eu; EUR‑Lex – art. 78(4)
• CNPD Luxembourg – Chapitre VII « Coopération et cohérence »: cnpd.public.lu

Remarque pour les dirigeants luxembourgeois: la CNPD participe au mécanisme de cohérence (art. 63‑65) et se conforme aux décisions contraignantes de l’EDPB. Après CJUE 10/02/2026, intégrez la possibilité d’un contrôle juridictionnel direct des décisions EDPB, notamment lorsque celles‑ci impactent la qualification des manquements et la méthodologie de calcul des amendes. Pour un accompagnement, contactez nos équipes.

Article d'expertise Luxgap. Pour un cadrage personnalisé sur ce sujet, contactez-nous ou configurez votre devis en ligne.