Résumé

  • Le CEPD ne voit pas de point à corriger au titre de l’article 47 du RGPD dans le projet de décision français concernant les règles contraignantes de Michelin Group ; la CNIL peut adopter son projet tel quel.
  • Cet avis n’est pas l’approbation finale de la CNIL et ne valide aucun transfert particulier. L’exportateur doit toujours examiner les conditions propres à chaque transfert.

Analyse

L’avis 24/2026 marque une étape de procédure, pas l’octroi d’un permis général de transfert. La CNIL, autorité chef de file pour le dossier, a soumis son projet au Comité européen de la protection des données dans le cadre du mécanisme de cohérence du RGPD. Le CEPD a examiné si les règles contraignantes d’entreprise de Michelin Group, en qualité de responsable du traitement, comportaient les éléments requis par l’article 47 et les recommandations applicables. Il n’a identifié aucune préoccupation à résoudre et estime que le projet de décision peut être adopté tel qu’il a été présenté.

L’avis du CEPD et la décision de l’autorité nationale ne se confondent pas. Le Comité ne délivre pas l’autorisation nationale. La CNIL doit lui transmettre sa réponse dans les deux semaines suivant la réception de l’avis, puis communiquer sa décision finale pour inscription au registre du mécanisme de cohérence. Les éléments publics examinés pour cet article comprennent l’avis daté du 13 octobre ; ils ne permettent pas d’affirmer qu’une décision finale ultérieure a été prise.

Le projet concerne des transferts d’une entité Michelin de l’Espace économique européen agissant comme responsable vers une entité du groupe hors EEE agissant comme responsable ou sous-traitant, ainsi que des transferts ultérieurs à d’autres entités du groupe hors EEE. Le texte cite parmi les personnes concernées les salariés actuels et anciens, les prestataires, les clients, les utilisateurs finaux, les parties prenantes et les fournisseurs. Il ne révèle ni pays de destination, ni volumes, ni jeux de données, ni parcours opérationnels. Le texte complet du projet de règles n’accompagne pas l’avis public.

Cette limite éclaire l’enjeu de gouvernance. Les règles contraignantes créent des garanties opposables à l’échelle d’un groupe et peuvent encadrer ses transferts récurrents. Elles ne remplacent pas l’analyse propre à chaque transfert. Le CEPD rappelle que l’exportateur, avec l’aide de l’importateur si nécessaire, doit vérifier si le droit du pays de destination permet de respecter concrètement les garanties promises. Si ce n’est pas le cas, il lui revient d’examiner des mesures supplémentaires. L’approbation des règles du groupe ne peut pas valider un transfert qui n’assure pas une protection essentiellement équivalente.

La responsabilité est donc répartie sans être diluée : l’autorité examine le cadre commun ; l’exportateur reste comptable des circonstances de chaque transfert. L’avis précise cette frontière, sans dire si un transfert Michelin donné la franchit.

Sources