Le Conseil d’État, par une décision n° 464445 à publier aux tables, rendue le 4 mai 2023, vient de préciser sa jurisprudence en matière de traitement de données (CE, 19 juin 2020, Société Google LLC, n° 430810, rec. p. 229) pour ce qui est du contrôle du respect des exigences du RGPD en cas de traitement transfrontalier de données personnelles au sein de l’Union européenne/
L’autorité de contrôle compétente, par principe, est l’autorité de l’établissement principal dans l’Union du responsable du traitement. Mais cette règle par défaut, comme il sied à tout principe, comporte des exceptions, notamment s’agissant de l’autorité d’un autre Etat, lorsque la réclamation concerne uniquement un établissement de cet Etat ou affecte sensiblement des personnes concernées dans cet Etat uniquement (2 de l’art. 56 du RGPD).
Les modalités de détermination de l’établissement principal (lieu du siège réel) cèdent alors le pas, assez logiquement, au profit de la prise en compte du point de savoir si l’établissement est, ou non, doté d’un pouvoir décisionnel quant aux finalités et moyens du traitement.
D’où le futur résumé des tables du rec. que voici :
1) a) Il résulte clairement des 7, 16 et 23 de l’article 4 du règlement (UE) n° 2016/679 du 27 avril 2016 (RGPD) et de ses articles 51, 55 et 56 que, lorsqu’est en cause un traitement transfrontalier de données à caractère personnel opéré au sein de l’Union européenne (UE), l’autorité de contrôle de l’établissement principal dans l’Union du responsable de ce traitement est en principe compétente, en tant qu’autorité chef de file, pour contrôler le respect des exigences du RGPD, b) sous réserve du cas, prévu au paragraphe 2 de l’article 56 de ce règlement, dans lequel l’objet de la réclamation concerne uniquement un établissement de l’Etat membre dont relève une autre autorité de contrôle ou affecte sensiblement des personnes concernées dans cet Etat membre uniquement. 2) a) Pour la détermination de l’autorité chef de file, l’administration centrale du responsable du traitement, c’est-à-dire le lieu de son siège réel, doit en principe être regardée comme son établissement principal. b) Il en va autrement si un autre de ses établissements est compétent pour prendre les décisions relatives aux finalités et aux moyens du traitement et dispose du pouvoir de les faire appliquer à l’échelle de l’Union.
Voir cette décision ici :
http://www.conseil-etat.fr/fr/arianeweb/CE/decision/2023-05-04/464445