Gatekeeper numérique, transferts et IA : ce que le CEPD met à jour

Certaines semaines, l’actualité réglementaire ressemble à un puzzle dont les pièces semblent venir de boîtes différentes. Le gatekeeper numérique relève du droit des plateformes, alors que les dernières orientations du Comité européen de la protection des données (CEPD) touchent à la protection des données personnelles. Deux univers voisins, souvent confondus, qui se croisent dans l’économie numérique sans se recouvrir. Or les travaux récents du Comité méritent qu’on s’y arrête : réexamen des garanties applicables aux transferts vers la Corée du Sud, recommandations finales sur les règles d’entreprise contraignantes pour les sous-traitants, et choix du recrutement assisté par l’intelligence artificielle comme thème d’une action coordonnée prévue en 2027.

Trois volets, trois échelles. Le premier concerne la confiance entre systèmes juridiques, le deuxième l’organisation interne des groupes internationaux, le troisième la réalité des pratiques dans un secteur très concret, celui de l’emploi. Pris ensemble, ils dessinent les priorités européennes en matière de conformité et éclairent la manière dont la transformation numérique des organisations doit désormais s’accompagner de preuves, de documentation et de gouvernance.

Corée du Sud : pourquoi le CEPD scrute la PIPA après le réexamen de l’adéquation

Le 17 décembre 2021, la Commission européenne a adopté une décision reconnaissant que la République de Corée assurait un niveau de protection adéquat aux données personnelles transférées depuis l’Union. Cette décision d’adéquation fonctionne comme une forme de passeport : dans le périmètre qu’elle couvre, les données peuvent circuler vers le pays concerné sans qu’il faille, pour chaque transfert, mobiliser un mécanisme supplémentaire comme on le ferait pour un pays dépourvu de garanties reconnues. Ce passeport n’a rien d’un chèque en blanc. Il ne dispense pas les organisations de respecter les autres obligations du RGPD, ni de vérifier que leur transfert entre bien dans le champ de la décision.

Ce statut n’est d’ailleurs pas acquis pour toujours. La Commission doit réexaminer périodiquement le fonctionnement des décisions d’adéquation et rendre compte de ses conclusions au Parlement européen et au Conseil. Rappelons aussi la mécanique d’adoption : une proposition de la Commission, un avis du CEPD, l’approbation des représentants des pays de l’Union, puis l’adoption formelle par la Commission. Le Comité y joue donc un rôle de contrepoids technique, qui conditionne la crédibilité de l’ensemble.

Le premier réexamen concernant la Corée s’est déroulé en 2025, avec notamment une réunion en ligne le 17 octobre. Le 23 juillet 2026, la Commission a publié son rapport d’examen et un document de travail, et conclu que la Corée continuait d’assurer une protection adéquate aux données de l’Union transférées à des entités relevant de son cadre modifié. Le CEPD s’est penché sur les évolutions juridiques prises en compte dans cette évaluation, en distinguant deux terrains : les traitements commerciaux d’une part, l’accès des autorités publiques aux données et leur utilisation d’autre part. Cette seconde dimension est loin d’être secondaire, car un cadre protecteur pour les entreprises perdrait une grande partie de sa valeur si l’accès des pouvoirs publics n’était pas lui aussi encadré.

Des droits individuels plus explicites

Parmi les changements examinés figure la modification de la loi coréenne sur la protection des informations à caractère personnel, la PIPA. Elle introduit un droit général de retirer son consentement ainsi que la possibilité de demander la suspension d’un traitement. Pour les personnes concernées, ce sont des leviers d’action supplémentaires : consentir n’est plus un acte sans retour, et le traitement peut être mis en pause lorsqu’elle le demande. Leur exercice concret dépendra bien sûr des règles applicables à chaque situation, mais le principe est posé.

La PIPA prévoit également un droit de s’opposer à une décision automatisée, ou d’en demander une explication, lorsque cette décision affecte de manière significative les droits ou les obligations d’une personne. Le dispositif vise aussi les décisions reposant sur des systèmes d’IA. L’enjeu est tangible : à mesure que des outils numériques interviennent dans l’accès à un service, dans une évaluation de solvabilité ou dans l’examen d’une candidature, pouvoir contester et comprendre ce qui a été décidé devient une garantie de base pour les usagers.

Il faut toutefois éviter un raccourci. Le droit coréen n’est pas un clone du RGPD, et l’existence de droits comparables ne signifie pas que leurs conditions ou leurs modalités d’exercice soient identiques. L’examen d’adéquation ne cherche d’ailleurs pas une reproduction mot pour mot du texte européen : il apprécie une équivalence substantielle, c’est-à-dire la capacité d’un système différent à offrir, dans les faits, un niveau de protection essentiellement équivalent.

Des mécanismes de transfert autres que le consentement

Le CEPD accueille aussi favorablement les modifications de la PIPA relatives aux transferts ultérieurs et internationaux. Les nouvelles dispositions précisent que les transferts transfrontières d’informations personnelles doivent reposer sur les mécanismes prévus à l’article 28-8 de la loi. Elles ouvrent ainsi des voies juridiques autres que le consentement, lequel n’est ni une solution universelle ni une base toujours adaptée à des transferts réguliers ou structurels. Imaginer qu’un service hébergé à l’étranger puisse dépendre du clic de chaque utilisateur pour fonctionner relève vite de la fiction opérationnelle.

Pour les entreprises européennes, ce point compte dans la cartographie des flux. Il ne suffit pas de constater qu’un prestataire est établi en Corée. Il faut identifier les entités qui reçoivent réellement les données, le cadre juridique auquel elles sont soumises et les éventuels transferts ultérieurs vers d’autres pays. La décision d’adéquation facilite certains échanges, mais elle ne rend pas superflue la gouvernance des données, surtout lorsque des chaînes de sous-traitance ou des services numériques internationaux sont en jeu.

Le Comité relève enfin le renforcement des pouvoirs d’enquête et d’exécution de l’autorité coréenne de protection des données. Des droits écrits gagnent en portée lorsque l’autorité compétente a les moyens d’examiner les pratiques et d’agir en cas de manquement. Le CEPD approuve par ailleurs la proposition de la Commission de consulter le comité institué par l’article 93, paragraphe 1, du RGPD afin de réexaminer la décision tous les quatre ans. Cette périodicité doit permettre de suivre l’évolution du cadre coréen sans attendre qu’un changement majeur soit découvert tardivement.

Précisons enfin qu’il ne s’agit pas d’une décision sur les contrôleurs d’accès au titre du DMA. Pour situer ce régime distinct, notre dossier détaille les obligations et sanctions applicables au gatekeeper numérique. La nuance est simple mais utile : le DMA encadre certains grands services de plateformes, tandis que l’adéquation concerne la protection des données transférées vers un pays tiers.

BCR-P : ce que changent les recommandations finales pour les sous-traitants d’un même groupe

Deuxième sujet, plus technique mais tout aussi structurant : le CEPD a adopté la version finale de ses recommandations sur les règles d’entreprise contraignantes pour les sous-traitants, souvent désignées par l’acronyme BCR-P. Il s’agit d’un mécanisme de transfert international permettant à un groupe d’entreprises de transmettre des données personnelles, en dehors de l’Europe, à des sous-traitants appartenant au même groupe. Pensez à une multinationale dont les centres de support, d’hébergement ou de traitement sont répartis sur plusieurs continents : les BCR-P lui offrent un cadre commun, au lieu d’un empilement de solutions au cas par cas.

Leur force tient à leur nature contraignante. Les BCR créent des droits opposables et énoncent des engagements visant à garantir un niveau de protection essentiellement équivalent à celui du RGPD. Ce ne sont donc pas de simples politiques de confidentialité internes, rédigées pour rassurer : elles passent par une procédure d’approbation et doivent respecter les éléments et principes exigés pour encadrer les traitements concernés.

Les recommandations finales portent à la fois sur la demande d’approbation et sur le contenu attendu des règles. Elles font suite à une consultation publique, dont le Comité a publié un rapport présentant les résultats, accompagné d’une version des recommandations où les modifications sont visibles. Cette transparence répond à l’objectif de la déclaration d’Helsinki de renforcer le dialogue avec les parties prenantes. Pour les juristes et les délégués à la protection des données, elle a un avantage très pratique : repérer d’un coup d’œil ce qui a changé entre le projet et le texte définitif.

Un calendrier à intégrer dans les démarches de conformité

Les recommandations s’appliquent désormais à tous les titulaires de BCR-P. Les organisations dont les règles ont déjà été approuvées doivent donc les relire à la lumière des exigences finales. Les nouveaux demandeurs et les dossiers en cours sont également concernés. L’alignement peut s’effectuer pendant la procédure d’approbation ou lors de la mise à jour annuelle de 2028, selon la situation propre à chaque organisation.

Ce calendrier ne justifie pas pour autant d’attendre 2028 pour commencer l’analyse. Un groupe qui prépare une demande, ou dont le dossier est en cours, devra intégrer les recommandations dans sa démarche. Pour les titulaires existants, la mise à jour annuelle de 2028 constitue le repère mentionné par le Comité, en fonction de leur situation. Il est donc judicieux de recenser dès maintenant les documents concernés, les entités couvertes et les procédures qui organisent concrètement les transferts, afin de mesurer l’écart avec le texte final.

Sur le plan opérationnel, les BCR-P concernent surtout les groupes dont les équipes et les fonctions de sous-traitance sont éclatées entre plusieurs pays. La conformité ne se résume pas à rédiger de belles règles : il faut les faire vivre dans chaque entité et articuler les engagements internes avec les traitements réellement effectués. Ce travail de gouvernance reste indispensable à mesure que la numérisation multiplie les échanges entre outils de gestion, plateformes et prestataires, dans des environnements où ordinateurs, applications et objets connectés produisent chaque jour de nouveaux flux de données.

Un mécanisme de transfert n’est solide que s’il est appliqué : les engagements écrits doivent se retrouver dans les procédures, les contrats et les pratiques quotidiennes des équipes.

Recrutement assisté par l’IA : l’action coordonnée de 2027 mettra les outils de tri à l’épreuve

Troisième volet, celui qui parle sans doute le plus aux entreprises et aux candidats. Le CEPD a retenu la prise de décision automatisée comme thème de sa sixième action coordonnée en matière d’application de la législation, avec une attention particulière pour les systèmes utilisés dans la sélection des candidats. Les autorités de protection des données y participeront sur une base volontaire. Elles doivent prendre part aux préparatifs dans les semaines suivant l’annonce, tandis que l’action elle-même sera lancée en 2027.

L’examen portera notamment sur le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, ainsi que sur le droit d’accès correspondant. Le contexte visé est celui des outils de sélection des candidatures, y compris les solutions reposant sur l’intelligence artificielle. Le sujet dépasse les seuls logiciels qui rendent un verdict final : les pratiques de présélection et les étapes automatisées d’un processus de recrutement méritent aussi une analyse attentive, selon la manière dont elles influencent réellement la décision.

Le RGPD ne prohibe pas de façon générale toute automatisation. Son article 22 encadre les décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, lorsqu’elles produisent des effets juridiques ou affectent une personne de manière significative et similaire. Le règlement prévoit des exceptions encadrées, notamment dans certaines situations liées à un contrat, au consentement explicite ou à une autorisation légale, et les assortit de garanties. L’examen doit donc porter sur le rôle concret de l’outil : une décision réellement humaine, substantielle et informée ne se confond pas avec la validation de façade d’un résultat généré automatiquement.

Rendre les outils de sélection vérifiables

Pour les employeurs comme pour les fournisseurs de solutions de recrutement, cette action coordonnée place la documentation au centre du jeu. Il faut savoir décrire l’usage de l’outil, la place accordée à ses résultats, les personnes qui interviennent et les moyens offerts aux candidats pour exercer leurs droits. Le droit d’accès doit lui aussi être pensé dans son contexte : une personne doit pouvoir obtenir les informations prévues par le RGPD sur le traitement qui la concerne, y compris les éléments pertinents relatifs à une décision automatisée.

Cela ne revient pas à postuler que tous les outils d’IA décident au même degré, ni que chaque système de tri enfreint le règlement. La démarche vise à vérifier les pratiques et l’effectivité des garanties. Un outil peut classer, filtrer ou recommander des candidatures sans être l’unique décideur ; encore faut-il que l’organisation puisse établir la réalité du contrôle humain et expliquer comment les informations sont exploitées. Les questions techniques, comme la qualité des données, les paramètres, les journaux d’activité et l’intégration aux logiciels de ressources humaines, rejoignent ainsi les questions de responsabilité juridique. Les équipes RH, informatiques et juridiques n’ont plus vraiment le choix : elles doivent travailler ensemble, et former leurs recruteurs avec des supports pédagogiques clairs sur les limites des outils qu’ils utilisent.

Le choix du recrutement illustre plus largement la place de la protection des personnes dans les usages numériques du quotidien. Les débats sur les services destinés aux enfants et sur les environnements en ligne reposent sur une préoccupation voisine : concevoir une stratégie numérique qui tienne compte des droits des usagers, plutôt que de traiter la conformité comme une formalité ajoutée après le déploiement.

Trois dossiers, une même exigence de responsabilité

Les orientations du CEPD n’ont pas toutes la même portée immédiate. Le tableau ci-dessous aide à les situer côte à côte.

Dossier	Ce qui est examiné ou adopté	Premier réflexe côté conformité
Adéquation de la Corée du Sud	Évolutions de la PIPA, droits des personnes, transferts ultérieurs, pouvoirs de l’autorité coréenne, réexamen tous les quatre ans	Cartographier les flux et vérifier que le transfert entre bien dans le champ de la décision
BCR-P	Recommandations finales sur la demande d’approbation et le contenu des règles, applicables à tous les titulaires	Comparer les règles existantes aux recommandations, avec 2028 comme repère de mise à jour annuelle
Action coordonnée de 2027	Décision automatisée et droit d’accès dans les outils de sélection des candidats, y compris l’IA	Documenter le rôle de l’outil, le contrôle humain et les modalités d’exercice des droits

Ces trois chantiers ne se ressemblent pas, mais ils rappellent un même principe : les innovations technologiques et les outils informatiques ne réduisent en rien les obligations de transparence, de gouvernance et de contrôle. Qu’il s’agisse d’un transfert vers un pays tiers, d’un mécanisme interne à un groupe ou d’un algorithme de présélection, la question reste la même : peut-on démontrer, preuves à l’appui, que les droits des personnes sont réellement respectés ?

Pour les acteurs de l’économie numérique, l’enjeu est désormais de traduire ces cadres en procédures vérifiables : comprendre où circulent les données, savoir quelles règles de transfert s’appliquent, et pouvoir justifier la place d’un système automatisé dans une décision qui touche une personne. À l’heure où les technologies de l’information gagnent chaque service et chaque métier, cette capacité à relier choix techniques et droits individuels deviendra une compétence clé d’une transition numérique responsable, et sans doute le meilleur signe de maturité d’une véritable culture numérique.