Le Comité européen de la protection des données (CEPD) a adopté un rapport sur l'application de la Directive Police-Justice ainsi que des recommandations sur les règles d'entreprise contraignantes pour les sous-traitants.

Dans le cadre de l'évaluation de la Directive Police-Justice par la Commission européenne, qui doit remettre son rapport avant le 6 mai 2026, le CEPD a publié sa contribution. Ce rapport souligne le rôle des autorités de protection des données (APDs) dans le conseil aux autorités nationales compétentes et dans les actions de sensibilisation. Il relaie la demande des APDs de clarifier le champ d'application de la directive, notamment sa frontière avec le RGPD, et d'aborder les défis posés par les nouvelles technologies comme l'intelligence artificielle. Le CEPD insiste sur la nécessité de renforcer la mise en œuvre nationale de la directive, le rôle des délégués à la protection des données (DPD) et la coopération entre autorités, tout en soulignant le besoin de ressources supplémentaires pour le CEPD et les APDs face aux nouvelles missions liées notamment au Comité de surveillance coordonnée (CSC).

Le CEPD a également adopté des recommandations concernant la demande d'approbation et les principes des règles d'entreprise contraignantes pour les sous-traitants (BCR-P). Cette mise à jour du référentiel existant fusionne les critères d'approbation avec le formulaire de demande standard, en se basant sur l'expérience acquise par les APDs depuis l'entrée en application du RGPD. Les recommandations précisent que les BCR-P s'appliquent uniquement aux transferts de données personnelles hors de l'Espace économique européen entre des sous-traitants d'un même groupe, lorsque le responsable du traitement n'en fait pas partie. Elles confirment que les BCR-P répondent aux exigences de l'article 28(4) du RGPD, évitant ainsi la nécessité de signer un accord de sous-traitance distinct entre les entités concernées du groupe. Ces recommandations sont soumises à une consultation publique jusqu'au 2 mars 2026.