Le Comité européen de la protection des données (European Data Protection Board, EDPB) est un organe européen indépendant, chargé de garantir l'application cohérente des règles de protection des données (non seulement le RGPD, mais aussi la Directive 2016/680 qui régit les questions de protection des données utilisées par la police et par les autorités judiciaires) dans l'ensemble de l'Union européenne et de l'Espace économique européen (incluant l'Islande, le Lichtenstein et la Norvège). À cette fin, il émet des lignes directrices et des avis sur des questions d’importance majeure et prend des décisions obligatoires en cas de litige entre les autorités nationales chargées de la protection des données.
Il est composé de représentants des différentes autorités nationales de protection des données et du Contrôleur européen de la protection des données (CEPD). La Commission européenne participe également à ses réunions, mais n'a pas le droit de vote.
L'EDPB a été créé par le RGPD. Pendant la période où la précédente directive sur la protection des données (Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données) était en vigueur, l'autorité européenne de protection des données était constituée du groupe de travail sur la protection des données dit Groupe de travail « article 29 », qui a cessé d'exister depuis le 25 mai 2018.
Les autorités nationales de protection des données (considérants 117 à 123, et articles 51 à 59 du RGPD) sont des autorités publiques indépendantes, mises en place par les États membres, pour s’assurer du respect du RGPD. Leurs principales compétences sont les suivantes :
- Enquêter sur les éventuelles violations des normes de protection des données ;
- Sanctionner les contrevenants ;
- Traiter les plaintes déposées contre les personnes physiques et morales placées sous leur autorité ;
- Fournir des conseils d’expert sur les questions de protection des données.
Leur compétence géographique est déterminée par le pays où les activités du traitement des données ont lieu. La liste de toutes les autorités nationales de protection des données est disponible ici.
Une question a été soulevée concernant la compétence des autorités nationales de protection des données pour enquêter sur les violations potentielles du RGPD (dans le cas particulier des transferts illégaux de données vers des pays tiers) lorsque la Commission européenne a déjà pris position à cet égard. Conformément à l'arrêt de la Grande Chambre de la Cour de justice de l'Union européenne (Maximillian Schrems contre Data Protection Commissioner) du 6 octobre 2015), l'existence d'une décision de la Commission constatant qu'un pays tiers assure un niveau de protection adéquat des données à caractère personnel transférées ne peut pas supprimer ni même réduire les pouvoirs dont disposent les autorités nationales de contrôle. Toutefois, c'est à la Cour de justice qu'il revient, en dernier ressort, de décider de la validité d'une décision de la Commission.
Outre les autorités nationales de protection des données, il peut également exister des autorités régionales, comme le permet l'article 51(3) du RGPD, et selon lequel : lorsque plusieurs autorités de protection des données sont instituées dans un État membre, il doit y avoir une autorité principale qui représente toutes les autres autorités au sein de l'EDPB.
Toutefois, jusqu'à présent, seule l'Allemagne a utilisé cette possibilité. L'Allemagne est composée de 16 États (Bundesländer) qui disposent tous de leur propre autorité de protection des données, ainsi que d'une autorité de contrôle fédérale.
L'EDPB ne doit pas être confondu avec le Contrôleur européen de la protection des données (CEPD), une autorité de contrôle indépendante établie à l'origine par le Règlement (CE) 45/2001 et actuellement régie par le Règlement (UE) 2018/1725. Les principales fonctions du CEPD sont les suivantes :
- Assurer la protection des données à caractère personnel et du droit à la vie privée dans le cadre des activités exercées par les institutions et organes européens ;
- Conseiller les institutions et organes de l'UE sur toute question relative à la protection des données ;
- Intervenir devant la Cour européenne de justice pour fournir des conseils d’expert sur les questions de protection des données ;
- Superviser les nouvelles technologies susceptibles de menacer les données personnelles ;
- Coopérer avec les autorités nationales de protection des données.