EDPB : Le Pool d'Experts (SPE) muscle les enquêtes RGPD

Focus — EDPB : Le Pool d'Experts (SPE) devient le bras armé des enquêtes RGPD transfrontalières

Le Comité Européen de la Protection des Données (EDPB) vient de publier son rapport très attendu sur l'utilisation de son 'Support Pool of Experts' (SPE) pour l'année 2025. Ce document, daté du 24 avril 2026, dresse un bilan de l'activité de cette structure clé et esquisse les futures orientations de la coopération entre les autorités de protection des données (APD) européennes. L'analyse révèle une montée en puissance significative du SPE, qui s'impose désormais comme un outil indispensable pour mener des enquêtes complexes et harmoniser l'application du RGPD à l'échelle de l'Union.

Pour les DPO et les Compliance Officers, ce rapport n'est pas anodin : il signale une intensification et une sophistication croissante des contrôles, en particulier pour les organisations ayant des activités transfrontalières. L'enjeu principal est clair : anticiper des investigations conjointes menées par des équipes d'experts pluridisciplinaires et coordonnées au niveau européen, capables de disséquer les dispositifs de conformité les plus complexes.

💡 Sujet/Concept clé : de quoi parle-t-on ?

Le 'Support Pool of Experts' (SPE) est une initiative stratégique de l'EDPB visant à renforcer la coopération et la capacité d'enquête des autorités de protection des données nationales. Concrètement, il s'agit d'un vivier de spécialistes issus des différentes APD des États membres, possédant des compétences pointues dans des domaines variés : technologie, cybersécurité, audit de systèmes d'information, analyse juridique complexe, ou encore expertise financière. L'objectif est de mettre ces ressources à disposition pour des enquêtes ou des contrôles conjoints, en particulier ceux qui dépassent les capacités ou le champ de compétence d'une seule autorité nationale.

Créé dans le sillage de la mise en application du RGPD, le SPE répond à une nécessité opérationnelle : les traitements de données des grandes entreprises, notamment les GAFAM, sont par nature transfrontaliers et technologiquement complexes. Aucune autorité nationale ne peut, seule, prétendre avoir toutes les ressources pour auditer un algorithme d'intelligence artificielle, tracer des flux de données mondiaux ou analyser des architectures cloud sophistiquées. Le SPE permet de mutualiser les forces, garantissant une approche coordonnée et une application cohérente du règlement sur tout le territoire de l'UE.

La base légale et réglementaire

Le fondement du SPE et des opérations conjointes repose sur le Chapitre VII du RGPD, dédié à la 'Coopération et cohérence'. Plusieurs articles sont ici centraux. L'article 60 instaure le mécanisme de coopération entre l'autorité de contrôle chef de file et les autres autorités concernées dans le cadre du 'guichet unique'. C'est la pierre angulaire des procédures transfrontalières, que le SPE vient outiller.

Plus spécifiquement, l'article 61 sur l''Assistance mutuelle' oblige les autorités de contrôle à se prêter main-forte, notamment en échangeant des informations utiles et en menant des enquêtes ou des inspections sur demande. L'article 62 va plus loin en autorisant explicitement les 'Opérations conjointes', y compris les enquêtes et les mesures d'exécution menées conjointement par les membres des autorités de contrôle de plusieurs États membres. Le SPE est l'incarnation opérationnelle de cet article 62, fournissant le capital humain et technique pour que ces opérations ne restent pas lettre morte.

Le non-respect des injonctions émises dans ce cadre expose les entreprises aux mêmes sanctions que pour les autres manquements au RGPD, à savoir des amendes administratives pouvant atteindre jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. L'esprit de ces textes est de garantir qu'aucune entreprise, quelle que soit sa taille ou sa structure, ne puisse échapper à la supervision réglementaire en jouant sur la fragmentation des compétences nationales.

Les enseignements du rapport 2025

Le rapport de l'EDPB révèle une nette accélération de l'activité du SPE en 2025. Il met en lumière que le pool a été mobilisé dans plus de 45 enquêtes conjointes, soit une augmentation de près de 30% par rapport à l'année précédente. Ces investigations ont majoritairement ciblé des acteurs du numérique, des plateformes de e-commerce et le secteur de l'AdTech, reflétant les priorités stratégiques de l'EDPB.

L'analyse détaillée montre que les expertises les plus sollicitées ont été celles liées à l'audit d'algorithmes d'IA, à l'analyse forensique dans le cadre de violations de données complexes et à l'évaluation de la conformité des transferts de données internationaux post-Schrems II. Le rapport souligne que le SPE a permis de réduire significativement les délais d'instruction sur des dossiers qui, autrement, se seraient enlisés dans des complexités techniques et procédurales.

Cependant, le document ne cache pas les défis persistants. Le principal obstacle reste l'hétérogénéité des lois de procédure administrative nationales, qui peut compliquer la coordination des mesures d'enquête (par exemple, les perquisitions ou les auditions). De plus, une tension sur les ressources humaines spécialisées au sein de certaines APD est notée, limitant leur capacité à contribuer au pool. Le rapport appelle donc à une plus grande harmonisation des cadres procéduraux et à un investissement accru des États membres dans la formation de leurs agents.

Enfin, le rapport recommande d'élargir le champ de compétences du SPE pour y inclure des experts en économie numérique et en modèles d'affaires basés sur les données. Cette évolution vise à mieux appréhender les logiques de monétisation des données personnelles et à évaluer plus finement les impacts des traitements sur les individus et le marché. C'est un signal fort envoyé aux entreprises : la conformité RGPD sera de plus en plus évaluée sous un angle non seulement technique et juridique, mais aussi économique.

Ce que ça change opérationnellement (Plan d'action)

Pour les DPO et les équipes Conformité, ces évolutions appellent à une adaptation proactive. Voici un plan d'action en 5 points :

1. Réévaluer la cartographie des risques transfrontaliers : Identifiez précisément tous les traitements de données impliquant plusieurs pays de l'UE. Analysez-les au prisme des priorités d'enquête de l'EDPB (IA, AdTech, transferts de données) pour identifier vos zones de vulnérabilité à un contrôle conjoint.

2. Mettre en place une cellule de crise 'Contrôle Européen' : Désignez en amont une équipe d'intervention capable de répondre à une sollicitation coordonnée de plusieurs APD. Cette cellule doit inclure des profils juridiques, techniques (IT, sécurité) et métiers, et connaître les procédures de communication avec les autorités.

3. Documenter l'architecture technique des traitements complexes : Pour les traitements impliquant de l'IA ou des flux de données complexes, préparez une documentation claire et accessible expliquant leur fonctionnement, les mesures de protection intégrées (Privacy by Design) et la logique des algorithmes. Cette documentation sera cruciale en cas d'audit par des experts du SPE.

4. Renforcer la veille sur les décisions du guichet unique : Suivez attentivement les décisions contraignantes de l'EDPB (Art. 65) et les synthèses des grandes enquêtes transfrontalières. Elles constituent la meilleure source d'information sur les attentes des régulateurs et les points de contrôle qui seront examinés par le SPE.

5. Organiser des simulations d'enquêtes conjointes : Menez des exercices pratiques (tabletop exercises) simulant une investigation menée par plusieurs autorités avec l'appui du SPE. Testez votre capacité à collecter rapidement les preuves, à répondre à des questions techniques pointues dans plusieurs langues et à coordonner votre défense au niveau européen.

• 📎 EDPB — Report on the use of SPE external experts in 2025