Manuel - Droit et protection des données à caractère personnel - 1re - 90

DROIT ET PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL
le traitement de leurs données à caractère personnel. Certes, cela ne signifie
pas que le droit européen s'applique en toute hypothèse mais tout traitement
mis en œuvre au sein de l'Union ou par un responsable ou un sous-traitant
établi dans l'Union « offrira le même niveau de garantie à toutes les personnes
concernées, fussent-elles ou non européennes »91
. Le fait que le domaine
du RGPD soit aussi large et qu'il dépasse les frontières de l'Union est bien
compréhensible, compte tenu des enjeux et des intérêts en présence. Cette
extension constitue l'unedes innovations majeures dece règlement, cequi
ne peut être qu'approuvé car ainsi les incertitudes de l'ancien système sont
très largement gommées. Les critères d'applicabilité servent parfaitement
cette volonté extensive et protectrice, les deux critères étant d'ailleurs « alternatifs
et successifs »92
.
Le premier critère est celui de l'existence, sur le territoire de l'Union, d'un
établissement participant au traitement93
. Il est important de préciser qu'il
.Par rapport au
importe peu que le traitement lui-même ait lieu dans l'Union ou pas. Ce qui
est déterminant, c'est donc la localisation de l'établissement94
système antérieur, le RGPD innove et assure une protection plus large et
donc plus efficace des données à caractère personnel. Cette protection est
d'autant plus efficace que l'article 3 du RGPD vise non seulement le responsable
du traitement mais également le sous-traitant. Les conséquences
concrètes de cette approche sont particulièrement importantes : comme
cela a pu être observé judicieusement, « tout sous-traitant qui opère pour le
compte d'uneentreprisesituée en dehors du territoiredel'Union devra, pour
ce qui le concerne, respecter le droit de l'Union européenne »95
.De plus, et
l'innovation est remarquable, le RGPD s'applique même si le traitement n'est
pas directement mis en œuvre dans l'Union européenne.
91. E. GEFFRAY et A.GUÉRIN-FRANÇOIS, Code de laprotection des données personnelles, op. cit., comm. sous art. 3.
92. E. GEFFRAY et A. GUÉRIN-FRANÇOIS, ibid.
93. Sur la définition de l'établissement, v. art. 4, RGPD qui distingue la situation du responsable du traitement
et celle du sous-traitant. On entend par établissement principal : a) en ce qui concerne le responsable
du traitement établi dans plusieurs États membres, le lieu de son administration centrale dans l'Union, à
moins que les décisions quant aux finalités et auxmoyens du traitement des données soient prises dans un
autre établissement du responsable du traitement dans l'Union et que ce dernier établissement a le pouvoir
de faire appliquer ces décisions, auquel cas l'établissement ayant pris de telles décisions est considéré
comme l'établissement principal ; b) en ce qui concerne un sous-traitant établi dans plusieurs États membres,
le lieu de son administration centrale dans l'Union ou, si ce sous-traitant ne dispose pas d'une administration
centrale dans l'Union, l'établissement du sous-traitant dans l'Union où se déroule l'essentiel des
activités de traitement effectué dans le cadre des activités d'un établissement du sous-traitant, dans la
mesure où le sous-traitant est soumis à des obligations spécifiques en vertu du RGPD. V. CNIL, 21janv.
2019, Google LLC, délib. nº SAN-2019-001, D. 2019, p. 1673, obs. W.MAXWELL et C. ZOLYNSKI, Dalloz IP/IT
2019,p. 165,obs.E. NETTER (refus de considérer une société établie hors de France comme « établissement
principal » parce qu'elle ne dispose pas d'un pouvoir décisionnel pour les traitements litigieux).
94. Au-delà de la détermination des finalités et des modalités du traitement, le fait pour un établissement
de participer directement à des activités impliquant le traitement de données personnelles entraîne l'application
du RGPD : G29 (Groupe de travail « art. 29 » sur la protection des données, Avis 81/2010 sur le
droit applicable, 16 déc. 2010, 0836-02/10/FR, WP 179). Mais encore faut-il que ledit établissement «joue
un rôle significatif» dans le traitement des données : G29 (Groupe de travail « art. 29 » sur la protection des
données, Avis 1/2008 sur les aspects de la protection des données liées aux moteurs de recherche, 4 avr.
2008, 00737/FR, WP 148, p. 11).
95. E. GEFFRAY et A. GUÉRIN-FRANÇOIS, ibid.
90

Manuel - Droit et protection des données à caractère personnel - 1re

Table des matières de la publication Manuel - Droit et protection des données à caractère personnel - 1re