Hors collection - Droit des données à caractère personnel - 1re - 302

302

DROIT

DES DONNÉES À CARACTÈRE PERSONNEL

principal, du moins si le contrôle le concerne ; si le sous-traitant est seul concerné, il faudra déterminer
son établissement principal133. Un sous-traitant peut donc « devoir traiter avec plusieurs autorités de
contrôle »134. Si le projet de décision ne concerne que le responsable du traitement, les autorités de
contrôle compétentes à l'égard du sous-traitant ne sont pas des autorités de contrôle concernées
ayant vocation à coopérer dans le cadre de la procédure.
637. Cas de la pluralité d'établissements dans l'Union sans établissement principal. En présence
d'une pluralité d'établissements du responsable du traitement dans l'Union dans le cadre desquels le
traitement de données a lieu sans qu'aucun d'eux puisse être qualifié d'établissement principal, celuici se trouvant en dehors de l'Union, une autorité de contrôle chef de file ne pourra pas être désignée.
Différentes autorités de contrôle concernées sont compétentes à l'égard du traitement de données.
C'est l'interprétation avancée dans les lignes directrices précitées135 et retenue par le Conseil d'État
dans un arrêt concernant la société Google LLC136. Dans cette espèce, la CNIL avait diligenté un
contrôle afin de vérifier la conformité du traitement des données des utilisateurs du système d'exploitation Android. Une procédure de sanction avait été par la suite engagée par la CNIL qui avait infligé
une amende de 50 millions d'euros. Google LLC contestait la compétence de la CNIL en faveur de la
compétence de l'autorité de contrôle irlandaise qui aurait, selon cette société, la qualité d'autorité de
contrôle chef de file. Toutefois, le Conseil d'État constate que la société Google Ireland ne disposait
pas du « pouvoir de direction ou de contrôle sur les autres filiales européennes de la société
Google LLC », écartant la qualification d'administration centrale au sens du RGPD137.
638. Divergence entre les autorités de contrôle concernées. Une divergence peut exister entre les
différentes autorités de contrôle concernées quant à la désignation de l'autorité de contrôle chef de
file. Dans ce cas, le Comité dispose du pouvoir de prendre une décision contraignante pour les différentes autorités de contrôle138. Dans l'attente de la décision du Comité, les autorités de contrôle
concernées ne peuvent pas prendre de décision139.
639. Exceptions à la désignation d'une autorité de contrôle chef de file. Le RGPD prend en compte la
« portée locale » d'un traitement transfrontalier pour exclure la décision d'une autorité de contrôle chef
de file140. Chaque autorité de contrôle est compétente pour traiter les réclamations introduites auprès
d'elle et les non-conformités des traitements de données à caractère personnel dès lors que leur objet
concerne un établissement situé dans l'État membre de cette autorité de contrôle et que le traitement
n'affecte sensiblement que des personnes concernées dans cet État membre141. La dérogation à l'obligation de désigner une autorité de contrôle chef de file s'explique par la portée territoriale limitée du
133. RGPD, cons. 36.
134. G29, lignes directrices concernant la désignation d'une autorité de contrôle chef de file d'un responsable du traitement
ou d'un sous-traitant, préc., 2.3, p. 10.
135. G29, lignes directrices concernant la désignation d'une autorité de contrôle chef de file d'un responsable du traitement
ou d'un sous-traitant, préc., 2.2, p. 9.
136. CE, 19 juin 2020, nº 430810, Société Google LLC, cons. 4 : « Dans l'hypothèse où un responsable de traitement
implanté en dehors de l'Union européenne met en œuvre un traitement transfrontalier sur le territoire de l'Union,
mais qu'il n'y dispose ni d'administration centrale, ni d'établissement doté d'un pouvoir décisionnel quant à ses finalités
et à ses moyens, le mécanisme de l'autorité chef de file prévu à l'article 56 du RGPD ne peut être mis en œuvre. Dans
pareil cas, chaque autorité de contrôle nationale est compétente pour contrôler le respect du RGPD sur le territoire de
l'État membre dont elle relève, conformément à l'article 55 précité ».
137. CE, 19 juin 2020, préc., cons. 5.
138. RGPD, art. 65, § 1, b.
139. RGPD, art. 65, § 4.
140. RGPD, cons. 128.
141. RGPD, art. 56, § 2.

Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re