Une autorité de contrôle peut-elle écarter une plainte RGPD en considérant que le plaignant ou son représentant abuse de la procédure ?
Oui, mais elle doit le démontrer.
Dans une décision contraignante adoptée le 28 mai 2026 et publiée le 14 juillet 2026, le Comité européen de la protection des données, le CEPD, a demandé à l’Autorité belge de protection des données de ne pas rejeter une plainte relative au bandeau cookies du site de la VRT et de l’examiner au fond.
L’apport principal de cette décision ne porte pas encore sur la conformité matérielle du bandeau.
Il porte sur une question préalable :
Dans quelles conditions une autorité peut-elle considérer qu’une plainte RGPD constitue un abus de droit ?
Quelle était l’origine de la plainte ?
La plainte concernait le bandeau cookies du site de la Vlaamse Radio- en Televisieomroeporganisatie, la VRT, organisme public belge de radiodiffusion.
Elle avait été déposée auprès de l’autorité autrichienne de protection des données par l’association noyb, agissant au nom d’une personne physique.
L’Autorité belge de protection des données intervenait comme autorité de contrôle chef de file dans le cadre du mécanisme de coopération européenne.
Elle avait préparé un projet de décision proposant de rejeter la plainte en invoquant un prétendu abus :
- du droit d’introduire une réclamation prévu par l’article 77 du RGPD ;
- du mécanisme de représentation prévu par l’article 80, paragraphe 1, du RGPD.
L’autorité autrichienne s’est opposée à ce projet et a demandé que la plainte soit examinée au fond.
Pourquoi le CEPD est-il intervenu ?
Le désaccord entre l’autorité belge, chef de file, et l’autorité autrichienne concernée a déclenché le mécanisme de règlement des différends prévu par l’article 65 du RGPD.
Ce mécanisme permet au CEPD d’adopter une décision contraignante lorsqu’une autorité concernée formule une objection pertinente et motivée contre le projet de décision de l’autorité chef de file et que cette objection n’est pas suivie.
La décision du CEPD ne constitue donc pas un simple avis.
Elle s’impose aux autorités participant à la procédure sur les questions faisant l’objet du différend.
Pourquoi le rejet pour abus a-t-il été écarté ?
L’autorité belge considérait que les conditions d’un exercice abusif des droits prévus aux articles 77 et 80 du RGPD étaient réunies.
Le CEPD a toutefois estimé que les éléments nécessaires pour établir cet abus n’avaient pas été suffisamment démontrés.
Il a donc demandé à l’autorité belge :
- de ne pas rejeter la plainte sur ce fondement ;
- de l’examiner au fond ;
- de soumettre ensuite un nouveau projet de décision aux autres autorités concernées.
Une autorité qui invoque un abus doit l’établir à partir d’éléments objectifs et subjectifs propres au dossier et motiver suffisamment son appréciation.
Une simple suspicion liée au contexte de la plainte ne suffit pas.
Une plainte RGPD peut-elle réellement être abusive ?
Le RGPD garantit à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle.
Il permet également à une personne de mandater un organisme, une organisation ou une association répondant aux conditions de l’article 80 pour exercer certains droits en son nom.
Ces droits ne sont pas nécessairement à l’abri de toute forme d’abus.
Mais le caractère organisé, répété ou standardisé d’une action ne suffit pas nécessairement, à lui seul, à le démontrer.
Une autorité ne peut donc pas conclure à un abus uniquement parce que :
- une association dépose plusieurs plaintes ;
- elle utilise des modèles similaires ;
- elle intervient dans plusieurs États membres ;
- elle poursuit une stratégie contentieuse structurée ;
- elle exerce régulièrement les droits prévus par le RGPD.
L’analyse doit porter sur les circonstances propres à la plainte.
Le recours fréquent à un droit ne transforme pas automatiquement son exercice en abus.
Le CEPD a-t-il jugé le bandeau cookies non conforme ?
Non.
Le CEPD n’a pas encore conclu que le bandeau de la VRT respectait ou violait les règles applicables.
Sa décision porte uniquement sur le traitement procédural de la plainte.
Elle oblige l’autorité belge à examiner les griefs relatifs au bandeau et à adopter un nouveau projet de décision.
| Question | Situation après la décision |
|---|---|
| La plainte pouvait-elle être rejetée comme abusive sur la base du dossier présenté ? | Non, selon le CEPD |
| Le bandeau cookies de la VRT est-il conforme ? | La question n’est pas encore tranchée au fond |
Cette distinction est essentielle.
La décision ne constitue pas une condamnation de la VRT. Elle garantit que la conformité du dispositif sera réellement examinée.
Cette décision interdit-elle tout rejet procédural ?
Non.
Une autorité peut encore devoir vérifier :
- sa compétence ;
- l’identité de la personne concernée ;
- la qualité pour agir ;
- la validité du mandat de représentation ;
- la précision de la plainte ;
- le respect des règles procédurales applicables ;
- l’existence éventuelle d’un abus réellement démontré.
La portée de la décision est plus précise.
Lorsqu’un motif procédural conduit à priver une personne de l’examen de sa plainte, ce motif doit être :
- clairement identifié ;
- juridiquement fondé ;
- établi par des éléments propres au dossier ;
- suffisamment motivé ;
- compatible avec l’effectivité des droits garantis par le RGPD.
La notion d’abus ne peut pas devenir une formule générale permettant d’éviter l’instruction d’un dossier complexe, répétitif ou sensible.
Ce que cette décision change pour les plaignants
La décision renforce l’exigence d’un examen effectif des plaintes.
Elle ne garantit toutefois ni leur recevabilité dans toutes les situations ni leur bien-fondé.
Une plainte documentée doit permettre à l’autorité d’identifier :
- le traitement contesté ;
- le responsable concerné ;
- les faits reprochés ;
- les règles invoquées ;
- les éléments matériels disponibles ;
- les conséquences éventuelles.
Pièces utiles pour une plainte relative à un bandeau cookies
Il peut être utile de conserver :
- des captures d’écran datées ;
- une vidéo du parcours de consentement ;
- la liste des cookies déposés avant et après le choix ;
- les résultats d’un outil d’analyse des traceurs ;
- la politique relative aux cookies ;
- les choix proposés à l’utilisateur ;
- le nombre de clics nécessaires pour accepter et refuser ;
- les modalités de retrait du consentement ;
- l’adresse du site et la date du constat.
Une plainte structurée reste plus facile à instruire qu’une contestation générale non documentée.
Ce que cette décision change pour les responsables de traitement
Un responsable de traitement ne doit pas déduire de cette décision que toute plainte conduira automatiquement à une sanction.
Il doit toutefois retenir qu’un dossier peut être examiné au fond même lorsqu’il s’inscrit dans une campagne structurée ou repose sur un modèle de plainte standardisé.
La bonne stratégie ne consiste donc pas à espérer que la plainte sera écartée en raison de l’identité ou de la méthode du plaignant.
Elle consiste à pouvoir démontrer la conformité du dispositif contesté.
Pour un bandeau cookies, il faut notamment pouvoir documenter :
- la version active à la date des faits ;
- les traceurs déposés ;
- le moment de leur déclenchement ;
- la symétrie entre acceptation et refus ;
- les choix proposés par finalité ;
- les modalités de retrait ;
- la preuve du consentement ;
- l’historique des paramétrages.
Que doit faire le DPO lorsqu’une plainte est reçue ?
Le DPO doit éviter de réduire la plainte à l’identité de son auteur ou de son représentant.
L’analyse doit distinguer cinq étapes.
1. Vérifier la demande
Qui agit ? Pour qui ? Avec quel mandat ? Quel traitement est concerné ?
2. Examiner le dispositif
Quels cookies ont été déposés ? À quel moment ? Le consentement était-il requis et valablement recueilli ?
3. Reconstituer la preuve
Quelle version du bandeau était active ? Quels paramètres et traceurs étaient utilisés ? Quels choix ont été enregistrés ?
4. Corriger si nécessaire
Une modification immédiate est-elle nécessaire, indépendamment de l’issue de la procédure ?
5. Préparer la coopération avec l’autorité
Les pièces peuvent-elles être produites rapidement, dans une version datée, compréhensible et cohérente ?
La matrice de preuve à conserver
| Élément à établir | Preuves utiles |
|---|---|
| Version du bandeau | Captures, code, historique de publication |
| Cookies et traceurs | Scan technique, liste des domaines et finalités |
| Déclenchement | Journaux et tests avant et après consentement |
| Acceptation et refus | Parcours utilisateur, interface, nombre de clics |
| Choix par finalité | Paramétrage du gestionnaire de consentement |
| Information | Politique cookies et textes affichés à la date des faits |
| Consentement | Enregistrement horodaté ou preuve équivalente |
| Retrait | Procédure, lien ou module accessible |
| Durée | Paramétrage et règle interne |
| Modifications | Versions, tickets et validations |
| Réponse à la plainte | Chronologie, analyse et pièces transmises |
| Mesures correctrices | Plan d’action et preuve de mise en œuvre |
FAQ
Le CEPD a-t-il sanctionné la VRT ?
Non.
Il a tranché un différend entre autorités de contrôle portant sur le projet de rejet de la plainte. La conformité du bandeau doit encore être examinée par l’autorité belge.
Une décision prise au titre de l’article 65 est-elle contraignante ?
Oui.
L’article 65 prévoit l’adoption par le CEPD d’une décision contraignante dans certaines situations de désaccord entre autorités de contrôle.
Toute plainte cookies doit-elle obligatoirement être examinée au fond ?
Pas nécessairement.
Une plainte peut encore faire l’objet d’un traitement procédural lorsque celui-ci repose sur un fondement valable et suffisamment démontré.
La décision indique surtout qu’un abus ne peut pas être invoqué sans éléments suffisants.
Le dépôt de nombreuses plaintes constitue-t-il un abus ?
Pas automatiquement.
Le nombre de plaintes, l’utilisation de modèles ou l’existence d’une stratégie coordonnée ne suffisent pas nécessairement à démontrer un abus. L’analyse doit porter sur les circonstances propres au dossier.
Cette décision prouve-t-elle que le bandeau de la VRT est irrégulier ?
Non.
Elle impose l’examen au fond de la plainte sans préjuger de la conclusion qui sera retenue.
Conclusion
La décision publiée par le CEPD le 14 juillet 2026 ne prononce pas la fin de tous les rejets procéduraux.
Elle fixe une limite plus précise :
Une autorité ne peut pas écarter une plainte RGPD en invoquant un abus qu’elle n’a pas suffisamment démontré.
La chaîne d’analyse doit donc rester complète :
plainte → recevabilité → abus éventuel démontré → examen au fond → décision motivée
Pour les plaignants, cette décision protège l’effectivité du droit de réclamation.
Pour les responsables de traitement, elle confirme qu’un éventuel classement procédural ne remplace jamais la capacité à démontrer la conformité du traitement contesté.
La question à poser n’est donc pas seulement :
Qui a déposé la plainte et dans quel contexte ?
Mais aussi :
Pouvons-nous produire, à la date concernée, les éléments permettant de démontrer la conformité du dispositif contesté ?
DPO PARTAGE peut vous accompagner pour auditer vos bandeaux cookies, documenter le recueil du consentement et structurer les preuves à produire en cas de plainte ou de contrôle.
