Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 181

elle souligne effectivement la difficulté
d'appliquer la notion d'établissement
principal dans certaines hypothèses,
notamment lorsque les décisions
relatives au traitement sont prises
exclusivement en dehors de l'Union
et qu'aucun des établissements dans
l'Union ne dispose d'un pouvoir
décisionnel. Le G29 indique alors
que « le règlement général ne prévoit pas
de solution pour ce type de situation  »,
et que « si aucun établissement principal
n'est ainsi désigné par la société, il ne sera
pas possible de désigner une autorité
chef de file ».
La formation restreinte considère
qu'elle était compétente pour exercer
ses pouvoirs et missions sur le territoire
français, sans pour autant écarter la
compétence des autres autorités de
contrôle européennes sur le territoire
de leur propre Etat membre. En
conséquence, cela signifie que l'autorité
de chaque Etat membre pourrait
s'estimer compétente pour contrôler
et sanctionner à son tour la société,
y compris sur des manquements
identiques à ceux relevés dans cette
délibération.
Cette position reflète l'état du droit
antérieurement à l'entrée en vigueur
du RGPD et la mise en place du guichet
unique. Dans un arrêt du 5 juin 2018, la
Cour de justice de l'Union européenne
avait indiqué que l'autorité de contrôle
d'un Etat membre était compétente pour
agir à l'égard de l'établissement situé sur
son territoire, et ce quand bien même la
responsabilité exclusive de la collecte et
du traitement des données incombait
à un établissement situé dans un autre
Etat membre14.

Une faiblesse du mécanisme
de coopération européen ?

celui d'adopter une décision contraignante « lorsqu'il existe des points de vue
divergents quant à l'autorité de contrôle
concernée qui est compétente pour
l'établissement principal »15. Soulignons
toutefois qu'il n'est pas précisé qui peut
saisir le CEPD en vue de l'adoption
d'une telle décision contraignante.
Ainsi, ne pourrait-on pas envisager
qu'un responsable de traitement forme
directement une demande auprès du
CEPD  ? De même, dans le cadre d'une
procédure de sanction, un responsable du traitement ne pourrait-il pas
demander à la formation de l'autorité de
contrôle compétente de sursoir à statuer
et d'interroger le CEPD ?
En l'espèce, la société Google LLC
souligne que «  compte tenu de la
nature transfrontalière des traitements
[...] les mécanismes de coopération
et de cohérence tels que prévus aux
articles 60, 64 et 65 du RGPD auraient
dû s'appliquer  ». Elle estime également
que le CEPD aurait dû être saisi en
raison du doute sur l'autorité chef de file
compétente.
Sur ce point, la formation restreinte
indique que la Cnil «  a immédiatement
communiqué les réclamations reçues à
l'ensemble des autorités de contrôle  »,
en application de l'article 56 du RGPD,
mais qu'aucune autorité de contrôle,
ni le Président du CEPD «  n'ont jugé
nécessaire de saisir le CEPD en raison
d'incertitudes sur l'identification de
l'autorité chef de file ou la compétence
de la Cnil  ». De ce fait, la formation
restreinte « considère que la Cnil n'était
pas tenue de saisir le CEPD  » et estime
que l'obligation de coopérer avec les
autres autorités de contrôle est remplie.

Le RGPD met en place une obligation
d'assistance mutuelle à la charge des
autorités de contrôle (RGPD, article 61),
assorti d'un mécanisme de contrôle de
la cohérence (RGPD, article 63).

Encore une fois, la formation restreinte
fait une application stricte de la lettre du
RGPD, qui n'imposait ni à la Cnil de saisir
le CEPD, ni au CEPD de s'auto-saisir de
la question. Cette position, qui semble
mettre à mal l'effectivité du processus
de coopération et des pouvoirs du CEPD,
est regrettable.

Dans ce cadre, le Comité européen de
protection des données institué par
le RGPD, veille notamment à «  l'application cohérente  » du Règlement.
Parmi ses missions figure notamment

La société Google LLC soulève qu'en
tout état de cause, «  les discussions
informelles qui ont pu avoir lieu entre les
autres autorités européennes de contrôle
sur cette procédure sont sans effet
EXPERTISES Mai 2019

juridique dès lors qu'elles ont eu lieu
sans sa présence ». Le RGPD n'impose ni
n'exclut la présence du responsable du
traitement dans le cadre des procédures
de coopération ou devant le CEPD, ce
que la formation restreinte souligne.
Toutefois, au regard du droit au respect
équitable et en particulier du principe du
respect du contradictoire, il apparaîtrait
justifié de permettre à l'entité objet des
débats de pouvoir produire ses observations dans le cadre de la procédure et
qu'elle reçoive communication de l'intégralité des échanges.
De plus, des questions demeurent sur
la procédure de collaboration mise
en œuvre en l'espèce. Qui, au sein
de la Cnil, a informé les autorités de
contrôle européennes  ? S'agissait-il de
la formation restreinte, de la Présidente
de la Cnil, de l'un de ses services ? S'il ne
s'agissait pas de la formation restreinte,
a-t-elle eu connaissance de ces
éléments ? Ceux-ci ont-ils été communiqués à la société Google LLC ?

Quid du représentant du
responsable du traitement
dans l'Union ?
Pour rappel, lorsqu'un responsable de
traitement ou un sous-traitant n'est pas
établi dans l'Union mais se voit appliquer
le RGPD, il doit désigner un représentant dans l'Union, à qui les autorités de
contrôle et les personnes concernées
s'adressent en plus ou à la place de l'entité qui l'a désigné16. De plus, il résulte du
considérant 80 du RGPD que le représentant devrait être expressément désigné
par un mandat écrit du responsable du
traitement ou du sous-traitant.
La société Google LLC aurait dû désigner
un tel représentant, puisqu'elle était
responsable de certains traitements et
établie hors de l'Union européenne. Or,
la délibération ne fait à aucun moment
mention du représentant de la société
Google LLC dans l'Union.
Toutefois, on peut noter que la
société Google France Sarl a été
fortement impliquée par la Cnil au
cours de cette procédure. Ceci peut
surprendre, puisque la société française
n'est ni qualifiée d'établissement
principal par la formation restreinte,

181



Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446

Couverture
Editorial & Sommaire
FOCUS - CONTENTIEUX INFORMATIQUES : UN BESOIN DE CONCILIATION
EN BREF - L'INFORMATION RAPIDE SUR LE MONDE DU NUMÉRIQUE
MAGAZINE - L'INFORMATION LÉGALE ET JURISPRUDENTIELLE DU NUMÉRIQUE
INTERVIEW - IGN : LA GRATUITÉ DES DONNÉES EN QUESTION
POINT DE VUE - DONNÉES DE SANTÉ : LE CONSEIL DE L’EUROPE RÉVISE SA RECOMMANDATION
DOCTRINE
DONNÉES PERSONNELLE - QUESTIONNEMENT SUR LA NOTION D’ÉTABLISSEMENT PRINCIPAL ET SES CONSÉQUENCES
TECHNOLOGIES - QUATRE « FREINS » À LA MISE EN CIRCULATION DE LA VOITURE AUTONOME (2/2)
TECHNOLOGIES - LES INVESTISSEMENTS ÉTRANGERS EN CHINE UNE NOUVELLE LOI EST ADOPTÉE
SIGNATURE ÉLECTRONIQUE - LA COMMANDE PUBLIQUE À L’HEURE DE LA DÉMATÉRIALISATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - Couverture
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - Editorial & Sommaire
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - FOCUS - CONTENTIEUX INFORMATIQUES : UN BESOIN DE CONCILIATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - EN BREF - L'INFORMATION RAPIDE SUR LE MONDE DU NUMÉRIQUE
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 161
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 162
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 163
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 164
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - MAGAZINE - L'INFORMATION LÉGALE ET JURISPRUDENTIELLE DU NUMÉRIQUE
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 166
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 167
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 168
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 169
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 170
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - INTERVIEW - IGN : LA GRATUITÉ DES DONNÉES EN QUESTION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 172
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 173
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 174
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 175
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - POINT DE VUE - DONNÉES DE SANTÉ : LE CONSEIL DE L’EUROPE RÉVISE SA RECOMMANDATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 177
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 178
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - DONNÉES PERSONNELLE - QUESTIONNEMENT SUR LA NOTION D’ÉTABLISSEMENT PRINCIPAL ET SES CONSÉQUENCES
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 180
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 181
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 182
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - TECHNOLOGIES - QUATRE « FREINS » À LA MISE EN CIRCULATION DE LA VOITURE AUTONOME (2/2)
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 184
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 185
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 186
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - TECHNOLOGIES - LES INVESTISSEMENTS ÉTRANGERS EN CHINE UNE NOUVELLE LOI EST ADOPTÉE
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 188
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - SIGNATURE ÉLECTRONIQUE - LA COMMANDE PUBLIQUE À L’HEURE DE LA DÉMATÉRIALISATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 190
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 191
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 192
https://www.nxtbook.fr/newpress/celog/celog-expertises-2007_459
https://www.nxtbook.fr/newpress/celog/celog-expertises-2006_458
https://www.nxtbook.fr/newpress/celog/celog-expertises-2005_457
https://www.nxtbook.fr/newpress/celog/celog-expertises-2004_456
https://www.nxtbook.fr/newpress/celog/celog-expertises-2003_455
https://www.nxtbook.fr/newpress/celog/celog-expertises-2002_454
https://www.nxtbook.fr/newpress/celog/celog-expertises-2001_453
https://www.nxtbook.fr/newpress/celog/celog-expertises-1912_452
https://www.nxtbook.fr/newpress/celog/celog-expertises-1911_451
https://www.nxtbook.fr/newpress/celog/celog-expertises-1910_450
https://www.nxtbook.fr/newpress/celog/celog-expertises-1909_449
https://www.nxtbook.fr/newpress/celog/celog-expertises-1907_448
https://www.nxtbook.fr/newpress/celog/celog-expertises-1906_447
https://www.nxtbook.fr/newpress/celog/celog-expertises-1905_446
https://www.nxtbook.fr/newpress/celog/celog-expertises-1904_445
https://www.nxtbook.fr/newpress/celog/celog-expertises-1903_444
https://www.nxtbook.fr/newpress/celog/celog-expertises-1902_443
https://www.nxtbook.fr/newpress/celog/celog-expertises-1901_442
https://www.nxtbook.fr/newpress/celog/celog-expertises-1812_441
https://www.nxtbook.fr/newpress/celog/celog-expertises-1811_440
https://www.nxtbook.fr/newpress/celog/celog-expertises-1810_439
https://www.nxtbook.fr/newpress/celog/celog-expertises-1809_438
https://www.nxtbook.fr/newpress/celog/celog-expertises-1807_437
https://www.nxtbook.fr/newpress/celog/celog-expertises-1806_436
https://www.nxtbook.fr/newpress/celog/celog-expertises-1805_435
https://www.nxtbook.fr/newpress/celog/celog-expertises-1804_434
https://www.nxtbook.fr/newpress/celog/celog-expertises-1803_433
https://www.nxtbook.fr/newpress/celog/celog-expertises-1802_432
https://www.nxtbook.fr/newpress/celog/celog-expertises-1801_431
https://www.nxtbook.fr/newpress/celog/celog-expertises-1712_430
https://www.nxtbook.fr/newpress/celog/celog-expertises-1711_429
https://www.nxtbook.fr/newpress/celog/celog-expertises-1710_428
https://www.nxtbook.fr/newpress/celog/celog-expertises-1709_427
https://www.nxtbook.fr/newpress/celog/celog-expertises-1707_426
https://www.nxtbook.fr/newpress/celog/celog-expertises-1706_425
https://www.nxtbook.fr/newpress/celog/celog-expertises-1705_424
https://www.nxtbook.fr/newpress/celog/celog-expertises-1704_423
https://www.nxtbook.fr/newpress/celog/celog-expertises-1703_422
https://www.nxtbook.fr/newpress/celog/celog-expertises-1702_421
https://www.nxtbook.fr/newpress/celog/celog-expertises-1701_420
https://www.nxtbook.fr/newpress/celog/celog-expertises-1612_419
https://www.nxtbook.fr/newpress/celog/celog-expertises-1611_418
https://www.nxtbook.fr/newpress/celog/celog-expertises-1610_417
https://www.nxtbook.fr/newpress/celog/celog-expertises-1609_416
https://www.nxtbook.fr/newpress/celog/celog-expertises-1607_415
https://www.nxtbook.fr/newpress/celog/celog-expertises-1606_414
https://www.nxtbook.fr/newpress/celog/celog-expertises-1605_413
https://www.nxtbook.fr/newpress/celog/celog-expertises-1604_412
https://www.nxtbook.fr/newpress/celog/celog-expertises-1603_411
https://www.nxtbook.fr/newpress/celog/celog-expertises-1602_410
https://www.nxtbook.fr/newpress/celog/celog-expertises-1601_409
https://www.nxtbook.fr/newpress/celog/celog-expertises-1512_408
https://www.nxtbook.fr/newpress/celog/celog-expertises-1511_407
https://www.nxtbook.fr/newpress/celog/celog-expertises-1510_406
https://www.nxtbook.fr/newpress/celog/celog-expertises-1509_405
https://www.nxtbook.fr/newpress/celog/celog-expertises-1507_404
https://www.nxtbook.fr/newpress/celog/celog-expertises-1506_403
https://www.nxtbook.fr/newpress/celog/celog-expertises-1502_399
https://www.nxtbookmedia.com