Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 180

D

O

C

T

R

I

N

E

d'activités de gestion déterminant les
décisions principales quant aux finalités
et aux moyens du traitement dans le
cadre d'un dispositif stable  ». Cette
référence aux finalités et aux moyens
du traitement fait écho à la définition
du responsable du traitement. En effet,
ce dernier est défini comme l'entité qui,
seule ou conjointement avec d'autres,
détermine les finalités et les moyens du
traitement5 (RGPD, article 4, 7°).
En l'espèce, la société Google LLC,
responsable des traitements en cause,
indiquait que son établissement
principal dans l'Union européenne
était la société Google Ireland Limited.
De ce fait, elle estimait que l'autorité de
contrôle qui aurait dû être saisie de la
procédure était l'autorité irlandaise, la
Data Protection Commission6.
Toutefois, la formation restreinte estime
que la société Google Ireland Limited ne
pouvait être qualifiée d'établissement
principal. En effet, la formation
restreinte considère que « pour pouvoir
être qualifié d'établissement principal,
l'établissement concerné doit disposer
d'un pouvoir de décision vis-à-vis des
traitements de données à caractère
personnel en cause  ». Or, elle estime
que les éléments soumis par la société
Google LLC ne permettent pas d'établir
que son établissement irlandais
disposait d'un «  quelconque pouvoir
décisionnel quant aux finalités et aux
moyens des traitements  » contrôlés au
cours de la procédure.
Le débat se noue ici autour de l'étendue
du pouvoir de décision de l'établissement
principal sur les traitements mis
en œuvre. La société Google LLC
soutient que la notion d'établissement
principal « doit être distinguée de celle de
responsable de traitement », et donc qu'il
ne peut être attendu d'un établissement
principal qu'il définisse les finalités et
les moyens du traitement, à l'image du
responsable du traitement. La formation
restreinte, elle, estime que pour être
qualifiée d'établissement principal, la
société Google Ireland Limited aurait dû
être l'entité « où sont prises les décisions
principales quant aux finalités et aux
moyens des traitements » mis en œuvre,
ce qui se rapproche de la notion de
responsable du traitement.

180

De fait, la formation restreinte écarte la
qualification d'établissement principal
pour la société irlandaise. En outre, elle
ne cherche pas à déterminer quel autre
établissement pourrait être qualifié
d'établissement principal. Elle fait ici
une application stricte du texte du
considérant 367, mais celle-ci semble
aboutir à rendre inapplicable la notion
d'établissement principal lorsque le
responsable du traitement est établi en
dehors de l'Union européenne. En effet,
cette interprétation semble imposer que
l'établissement principal puisse être
qualifié de responsable du traitement.
Or, ceci n'est pas compatible avec le fait
que le responsable du traitement soit
situé en dehors de l'Union européenne,
sauf situation où les établissements
hors Union et dans l'Union ont la même
personnalité juridique, ou en présence
d'une responsabilité conjointe.
De fait, cela contraint les groupes
internationaux dont les maisons-mères
sont situées en dehors de l'Union à
transférer directement la responsabilité
des traitements à leurs filiales établies
dans l'Union. C'est la solution adoptée
in fine par la société Google LLC. En
effet, la formation restreinte de la Cnil
relève dans sa délibération que, par un
courrier en date du 3 décembre 2018
adressé à l'autorité de protection des
données irlandaise (Data Protection
Commission ou DPC), la société a
indiqué que pour certains traitements,
la société Google Ireland Limited
deviendrait responsable du traitement
à compter du 31 janvier 2019.
Indépendamment de ce courrier, la
société a également communiqué
auprès de ses utilisateurs sur ce
changement8.
La désignation de l'établissement
principal a toute son importance, car
c'est sur elle que repose l'application
du mécanisme d'autorité chef de file
et l'application du mécanisme dit
du « guichet unique ».

Sans établissement principal,
pas d'autorité chef de file
Pour rappel, chaque autorité de contrôle
est compétente pour exercer ses
missions et pouvoirs sur le territoire
de l'Etat membre dont elle relève9.
EXPERTISES Mai 2019

Toutefois, lorsqu'un traitement de
données transfrontalier est mis en
œuvre, le RGPD prévoit la désignation
d'une autorité chef de file, qui constitue
alors le seul interlocuteur du responsable
du traitement transfrontalier ou du
sous-traitant concerné10.
Le traitement transfrontalier est quant
à lui défini comme un traitement
ayant lieu dans l'Union dans le
cadre des activités d'établissements
dans plusieurs Etats membres d'un
responsable du traitement ou d'un
sous-traitant établi dans plusieurs Etats
membres. Un traitement transfrontalier
peut également être identifié lorsque le
traitement a lieu dans l'Union dans le
cadre des activités d'un établissement
unique d'un responsable du traitement
ou d'un sous-traitant. En pareil cas, le
traitement doit affecter sensiblement ou
être susceptible d'affecter sensiblement
des personnes concernées dans
plusieurs Etats membres11.
En l'espèce, le groupe Google dispose
de plusieurs établissements dans divers
Etats membres de l'Union européenne.
Les traitements de données liés à
l'exploitation du système Android et à la
personnalisation de la publicité ont lieu
dans le cadre de leurs activités. Il y aurait
donc bien un traitement transfrontalier,
bien que la formation restreinte n'aborde
pas ce point. Il serait donc nécessaire de
désigner une autorité chef de file.
L'autorité chef de file est celle « de l'établissement principal ou de l'établissement
unique du responsable du traitement ou
du sous-traitant »12. Il n'est pas prévu de
critères alternatifs de désignation. Or, en
l'espèce, la formation restreinte écarte
l'établissement principal désigné par la
société Google LLC. Faute d'établissement principal, il ne peut être désigné
d'autorité chef de file. De ce fait, malgré
la présence d'un traitement transfrontalier, le mécanisme du guichet unique
mis en place par le RGPD ne trouve pas à
s'appliquer en l'espèce.
Le Groupe de travail de l'article 29 (dit
G29) a publié des lignes directrices le
5 avril 2017 concernant la désignation
d'une autorité de contrôle chef de file
d'un responsable de traitement ou d'un
sous-traitant13. Dans ce document,



Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446

Couverture
Editorial & Sommaire
FOCUS - CONTENTIEUX INFORMATIQUES : UN BESOIN DE CONCILIATION
EN BREF - L'INFORMATION RAPIDE SUR LE MONDE DU NUMÉRIQUE
MAGAZINE - L'INFORMATION LÉGALE ET JURISPRUDENTIELLE DU NUMÉRIQUE
INTERVIEW - IGN : LA GRATUITÉ DES DONNÉES EN QUESTION
POINT DE VUE - DONNÉES DE SANTÉ : LE CONSEIL DE L’EUROPE RÉVISE SA RECOMMANDATION
DOCTRINE
DONNÉES PERSONNELLE - QUESTIONNEMENT SUR LA NOTION D’ÉTABLISSEMENT PRINCIPAL ET SES CONSÉQUENCES
TECHNOLOGIES - QUATRE « FREINS » À LA MISE EN CIRCULATION DE LA VOITURE AUTONOME (2/2)
TECHNOLOGIES - LES INVESTISSEMENTS ÉTRANGERS EN CHINE UNE NOUVELLE LOI EST ADOPTÉE
SIGNATURE ÉLECTRONIQUE - LA COMMANDE PUBLIQUE À L’HEURE DE LA DÉMATÉRIALISATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - Couverture
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - Editorial & Sommaire
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - FOCUS - CONTENTIEUX INFORMATIQUES : UN BESOIN DE CONCILIATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - EN BREF - L'INFORMATION RAPIDE SUR LE MONDE DU NUMÉRIQUE
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 161
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 162
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 163
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 164
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - MAGAZINE - L'INFORMATION LÉGALE ET JURISPRUDENTIELLE DU NUMÉRIQUE
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 166
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 167
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 168
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 169
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 170
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - INTERVIEW - IGN : LA GRATUITÉ DES DONNÉES EN QUESTION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 172
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 173
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 174
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 175
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - POINT DE VUE - DONNÉES DE SANTÉ : LE CONSEIL DE L’EUROPE RÉVISE SA RECOMMANDATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 177
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 178
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - DONNÉES PERSONNELLE - QUESTIONNEMENT SUR LA NOTION D’ÉTABLISSEMENT PRINCIPAL ET SES CONSÉQUENCES
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 180
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 181
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 182
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - TECHNOLOGIES - QUATRE « FREINS » À LA MISE EN CIRCULATION DE LA VOITURE AUTONOME (2/2)
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 184
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 185
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 186
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - TECHNOLOGIES - LES INVESTISSEMENTS ÉTRANGERS EN CHINE UNE NOUVELLE LOI EST ADOPTÉE
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 188
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - SIGNATURE ÉLECTRONIQUE - LA COMMANDE PUBLIQUE À L’HEURE DE LA DÉMATÉRIALISATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 190
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 191
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 192
https://www.nxtbook.fr/newpress/celog/celog-expertises-2007_459
https://www.nxtbook.fr/newpress/celog/celog-expertises-2006_458
https://www.nxtbook.fr/newpress/celog/celog-expertises-2005_457
https://www.nxtbook.fr/newpress/celog/celog-expertises-2004_456
https://www.nxtbook.fr/newpress/celog/celog-expertises-2003_455
https://www.nxtbook.fr/newpress/celog/celog-expertises-2002_454
https://www.nxtbook.fr/newpress/celog/celog-expertises-2001_453
https://www.nxtbook.fr/newpress/celog/celog-expertises-1912_452
https://www.nxtbook.fr/newpress/celog/celog-expertises-1911_451
https://www.nxtbook.fr/newpress/celog/celog-expertises-1910_450
https://www.nxtbook.fr/newpress/celog/celog-expertises-1909_449
https://www.nxtbook.fr/newpress/celog/celog-expertises-1907_448
https://www.nxtbook.fr/newpress/celog/celog-expertises-1906_447
https://www.nxtbook.fr/newpress/celog/celog-expertises-1905_446
https://www.nxtbook.fr/newpress/celog/celog-expertises-1904_445
https://www.nxtbook.fr/newpress/celog/celog-expertises-1903_444
https://www.nxtbook.fr/newpress/celog/celog-expertises-1902_443
https://www.nxtbook.fr/newpress/celog/celog-expertises-1901_442
https://www.nxtbook.fr/newpress/celog/celog-expertises-1812_441
https://www.nxtbook.fr/newpress/celog/celog-expertises-1811_440
https://www.nxtbook.fr/newpress/celog/celog-expertises-1810_439
https://www.nxtbook.fr/newpress/celog/celog-expertises-1809_438
https://www.nxtbook.fr/newpress/celog/celog-expertises-1807_437
https://www.nxtbook.fr/newpress/celog/celog-expertises-1806_436
https://www.nxtbook.fr/newpress/celog/celog-expertises-1805_435
https://www.nxtbook.fr/newpress/celog/celog-expertises-1804_434
https://www.nxtbook.fr/newpress/celog/celog-expertises-1803_433
https://www.nxtbook.fr/newpress/celog/celog-expertises-1802_432
https://www.nxtbook.fr/newpress/celog/celog-expertises-1801_431
https://www.nxtbook.fr/newpress/celog/celog-expertises-1712_430
https://www.nxtbook.fr/newpress/celog/celog-expertises-1711_429
https://www.nxtbook.fr/newpress/celog/celog-expertises-1710_428
https://www.nxtbook.fr/newpress/celog/celog-expertises-1709_427
https://www.nxtbook.fr/newpress/celog/celog-expertises-1707_426
https://www.nxtbook.fr/newpress/celog/celog-expertises-1706_425
https://www.nxtbook.fr/newpress/celog/celog-expertises-1705_424
https://www.nxtbook.fr/newpress/celog/celog-expertises-1704_423
https://www.nxtbook.fr/newpress/celog/celog-expertises-1703_422
https://www.nxtbook.fr/newpress/celog/celog-expertises-1702_421
https://www.nxtbook.fr/newpress/celog/celog-expertises-1701_420
https://www.nxtbook.fr/newpress/celog/celog-expertises-1612_419
https://www.nxtbook.fr/newpress/celog/celog-expertises-1611_418
https://www.nxtbook.fr/newpress/celog/celog-expertises-1610_417
https://www.nxtbook.fr/newpress/celog/celog-expertises-1609_416
https://www.nxtbook.fr/newpress/celog/celog-expertises-1607_415
https://www.nxtbook.fr/newpress/celog/celog-expertises-1606_414
https://www.nxtbook.fr/newpress/celog/celog-expertises-1605_413
https://www.nxtbook.fr/newpress/celog/celog-expertises-1604_412
https://www.nxtbook.fr/newpress/celog/celog-expertises-1603_411
https://www.nxtbook.fr/newpress/celog/celog-expertises-1602_410
https://www.nxtbook.fr/newpress/celog/celog-expertises-1601_409
https://www.nxtbook.fr/newpress/celog/celog-expertises-1512_408
https://www.nxtbook.fr/newpress/celog/celog-expertises-1511_407
https://www.nxtbook.fr/newpress/celog/celog-expertises-1510_406
https://www.nxtbook.fr/newpress/celog/celog-expertises-1509_405
https://www.nxtbook.fr/newpress/celog/celog-expertises-1507_404
https://www.nxtbook.fr/newpress/celog/celog-expertises-1506_403
https://www.nxtbook.fr/newpress/celog/celog-expertises-1502_399
https://www.nxtbookmedia.com