Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 182

D

O

C

T

R

I

N

E

ni de représentant du responsable du
traitement. Par ailleurs, la formation
restreinte ne fait état d'aucun mandat
écrit de la société Google LLC désignant
la société Google France Sarl comme
son représentant au sein de l'Union
européenne.
La formation restreinte indique en
effet que la société française «  s'est vu
notifier l'ensemble des documents en
lien avec la procédure  », en ce compris
le procès-verbal de contrôle en ligne et le
rapport du rapporteur. Plus surprenant,
la formation restreinte, qui prononce
une sanction pécuniaire à l'encontre
de la société Google LLC, décide
également «  d'adresser cette décision à
la société Google France Sarl en vue de
l'exécution de cette décision ».
L'étendue des obligations du représentant
n'est pas précise et soulève un
questionnement pragmatique. En effet,
le corps du RGPD indique simplement
sur ce point qu'il fait office d'interlocuteur
et coopère avec les autorités de contrôle.
Toutefois, le considérant 80 du RGPD
précise notamment que « le représentant
désigné devrait faire l'objet de procédures
coercitives en cas de non-respect du
présent règlement par le responsable du
traitement ou le sous-traitant ».
Ainsi, le représentant du responsable
du traitement a-t-il pour mission ou
obligation de s'assurer du respect par
le responsable de la sanction prononcée ? Doit-il se substituer à lui en cas de
défaillance ? Est-ce le sens à donner à la
délibération de la formation restreinte de
la Cnil d'adresser la décision à la société
Google France Sarl ?
En dernier lieu, compte tenu du
peu d'explications sur le quantum
de la sanction pécuniaire prononcée, le caractère effectif, dissuasif et
proportionné de cette dernière est
difficilement appréciable. Rappelons
qu'en vertu de l'article 83, 5° du RGPD,
les manquements relatifs à l'obligation d'information et aux conditions
applicables au consentement peuvent
faire l'objet d'une sanction pécuniaire
d'un montant pouvant s'élever jusqu'à
20 000 000 d'euros ou, dans le cas d'une
entreprise, jusqu'à 4 % du chiffre d'affaires
annuel mondial total de l'exercice

182

précédent, le montant le plus élevé
étant retenu. En l'espèce, la formation
restreinte de la Cnil relève que la société
Google LLC a, en 2017, réalisé un chiffre
d'affaires d'environ 96 milliards d'euros
et indique établir le montant de la
sanction sur la base de 4% dudit chiffre
d'affaires. Ainsi, la sanction représentet-elle environ 0,05% du chiffre d'affaires
de la société.
Pour résumer, cette délibération soulève
de nombreuses questions quant à l'interprétation de la notion d'établissement
principal d'un responsable du traitement ainsi que sur la pertinence d'avoir
utilisé cette notion comme critère de
désignation de l'autorité chef de file. Si
cette interprétation devait demeurer, le
système du guichet unique instauré par
le RGPD se trouverait privé d'effectivité en
présence de groupes internationaux. Les
entités européennes qui les composent
risqueraient de se retrouver dans une
situation identique à celle antérieure
au 25 mai  : avoir autant d'autorités de
contrôle interlocutrices que de pays où
elles ont leurs activités. Elles seraient
exposées à autant de sanction. En outre,
d'une autorité de contrôle à l'autre,
l'interprétation des manquements aux
règles définies par le RGPD ne pourraitelle pas être divergente ?
Ces questionnements trouveront un
écho ou des réponses auprès du Conseil
d'Etat. Ce dernier pourrait également
décider de poser des questions préjudicielles à la Cour de justice de l'Union
européenne.
Actuellement, la seule recommandation
pratique à destination des groupes
internationaux est d'organiser une
responsabilité ou une responsabilité
conjointe de traitement avec l'une des
entités établies sur le territoire de l'Union
européenne.
Avec la participation de Nina DUBOIS,
élève-avocat.

Garance MATHIAS
Avocat à la Cour - Fondateur
Mathias Avocats

Aline ALFER
Avocat à la Cour
Mathias Avocats
EXPERTISES Mai 2019

Notes
(1)	 Délibération de la formation restreinte n° SAN
- 2019-001 du 21 janvier 2019 prononçant une
sanction pécuniaire à l'encontre de la société
GOOGLE LLC.
(2)	 Règlement (UE) 2016/679 du Parlement
européen et du Conseil du 27 avril 2016 relatif à
la protection des personnes physiques à l'égard
du traitement des données à caractère personnel et à la libre circulation de ces données, et
abrogeant la directive 95/46/CE (règlement
général sur la protection des données) (Texte
présentant de l'intérêt pour l'EEE).
(3)	 h t t p s : / / e d p b . e u r o p a . e u / a b o u t- e d p b /
about-edpb_fr
(4)	 RGPD, article 4, 16°.
(5)	 RGPD, article 4, 7°.
(6)	 https://www.dataprotection.ie/
(7)	 RGPD, Considérant 36 : « L'établissement principal d'un responsable du traitement dans l'Union
devrait être le lieu de son administration centrale
dans l'Union, à moins que les décisions quant
aux finalités et aux moyens du traitement des
données à caractère personnel soient prises
dans un autre établissement du responsable du
traitement dans l'Union, auquel cas cet autre
établissement devrait être considéré comme
étant l'établissement principal. L'établissement
principal d'un responsable du traitement dans
l'Union devrait être déterminé en fonction de
critères objectifs et devrait supposer l'exercice
effectif et réel d'activités de gestion déterminant
les décisions principales quant aux finalités et
aux moyens du traitement dans le cadre d'un
dispositif stable. Ce critère ne devrait pas dépendre du fait que le traitement ait lieu à cet endroit.
La présence et l'utilisation de moyens techniques
et de technologies de traitement de données à
caractère personnel ou d'activités de traitement
ne constituent pas, en elles-mêmes, un établissement principal et ne sont, dès lors, pas des
critères déterminants pour un établissement
principal. (...) ».
(8)	 « Some changes to our service model in Europe »,
article publié le 12 décembre 2018 par Anne
Rooney (Public Policy Manager, Google Ireland)
et accessible à l'adresse URL : https://www.
blog.google/around-the-globe/google-europe/
some-changes-our-service-model-europe/
(9)	 RGPD, article 55 : « Chaque autorité de contrôle
est compétente pour exercer les missions et les
pouvoirs dont elle est investie conformément
au présent règlement sur le territoire de l'État
membre dont elle relève. (...) ».
(10)	 RGPD, article 56, 6 : « L'autorité de contrôle chef
de file est le seul interlocuteur du responsable du
traitement ou du sous-traitant pour le traitement
transfrontalier effectué par ce responsable du
traitement ou ce sous-traitant ».
(11)	 RGPD, article 4, 23° qui définit le traitement transfrontalier comme «  a) un traitement de données
à caractère personnel qui a lieu dans l'Union
dans le cadre des activités d'établissements
dans plusieurs États membres d'un responsable
du traitement ou d'un sous-traitant lorsque le
responsable du traitement ou le sous-traitant
est établi dans plusieurs États membres; ou b)
un traitement de données à caractère personnel
qui a lieu dans l'Union dans le cadre des activités d'un établissement unique d'un responsable
du traitement ou d'un sous-traitant, mais qui
affecte sensiblement ou est susceptible d'affecter sensiblement des personnes concernées dans
plusieurs États membres ».
(12)	 (RGPD, article 56 1.).
(13)	 https://ec.europa.eu/newsroom/article29/
item-detail.cfm?item_id=611235
(14)	 http://curia.europa.eu/juris/document/
document.jsf;jsessionid=7D5E0BAFA954451569EF904588898D87?text=&docid=202543&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=203 notamment
les points 45 à 64.
(15)	 RGPD, article 65 1. b°.
(16)	 RGPD, article 27.


https://www.dataprotection.ie/ https://www.blog.google/around-the-globe/google-europe/some-changes-our-service-model-europe/ https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611235 http://curia.europa.eu/juris/document/document.jsf%3Bjsessionid=7D5E0BAFA954451569EF904588898D87?text=&docid=202543&pageIndex=0&doclang=fr&mode=lst&dir=&occ=first&part=1&cid=203

Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446

Couverture
Editorial & Sommaire
FOCUS - CONTENTIEUX INFORMATIQUES : UN BESOIN DE CONCILIATION
EN BREF - L'INFORMATION RAPIDE SUR LE MONDE DU NUMÉRIQUE
MAGAZINE - L'INFORMATION LÉGALE ET JURISPRUDENTIELLE DU NUMÉRIQUE
INTERVIEW - IGN : LA GRATUITÉ DES DONNÉES EN QUESTION
POINT DE VUE - DONNÉES DE SANTÉ : LE CONSEIL DE L’EUROPE RÉVISE SA RECOMMANDATION
DOCTRINE
DONNÉES PERSONNELLE - QUESTIONNEMENT SUR LA NOTION D’ÉTABLISSEMENT PRINCIPAL ET SES CONSÉQUENCES
TECHNOLOGIES - QUATRE « FREINS » À LA MISE EN CIRCULATION DE LA VOITURE AUTONOME (2/2)
TECHNOLOGIES - LES INVESTISSEMENTS ÉTRANGERS EN CHINE UNE NOUVELLE LOI EST ADOPTÉE
SIGNATURE ÉLECTRONIQUE - LA COMMANDE PUBLIQUE À L’HEURE DE LA DÉMATÉRIALISATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - Couverture
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - Editorial & Sommaire
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - FOCUS - CONTENTIEUX INFORMATIQUES : UN BESOIN DE CONCILIATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - EN BREF - L'INFORMATION RAPIDE SUR LE MONDE DU NUMÉRIQUE
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 161
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 162
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 163
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 164
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - MAGAZINE - L'INFORMATION LÉGALE ET JURISPRUDENTIELLE DU NUMÉRIQUE
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 166
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 167
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 168
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 169
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 170
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - INTERVIEW - IGN : LA GRATUITÉ DES DONNÉES EN QUESTION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 172
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 173
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 174
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 175
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - POINT DE VUE - DONNÉES DE SANTÉ : LE CONSEIL DE L’EUROPE RÉVISE SA RECOMMANDATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 177
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 178
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - DONNÉES PERSONNELLE - QUESTIONNEMENT SUR LA NOTION D’ÉTABLISSEMENT PRINCIPAL ET SES CONSÉQUENCES
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 180
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 181
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 182
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - TECHNOLOGIES - QUATRE « FREINS » À LA MISE EN CIRCULATION DE LA VOITURE AUTONOME (2/2)
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 184
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 185
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 186
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - TECHNOLOGIES - LES INVESTISSEMENTS ÉTRANGERS EN CHINE UNE NOUVELLE LOI EST ADOPTÉE
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 188
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - SIGNATURE ÉLECTRONIQUE - LA COMMANDE PUBLIQUE À L’HEURE DE LA DÉMATÉRIALISATION
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 190
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 191
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2019 - n°446 - 192
https://www.nxtbook.fr/newpress/celog/celog-expertises-2005_457
https://www.nxtbook.fr/newpress/celog/celog-expertises-2004_456
https://www.nxtbook.fr/newpress/celog/celog-expertises-2003_455
https://www.nxtbook.fr/newpress/celog/celog-expertises-2002_454
https://www.nxtbook.fr/newpress/celog/celog-expertises-2001_453
https://www.nxtbook.fr/newpress/celog/celog-expertises-1912_452
https://www.nxtbook.fr/newpress/celog/celog-expertises-1911_451
https://www.nxtbook.fr/newpress/celog/celog-expertises-1910_450
https://www.nxtbook.fr/newpress/celog/celog-expertises-1909_449
https://www.nxtbook.fr/newpress/celog/celog-expertises-1907_448
https://www.nxtbook.fr/newpress/celog/celog-expertises-1906_447
https://www.nxtbook.fr/newpress/celog/celog-expertises-1905_446
https://www.nxtbook.fr/newpress/celog/celog-expertises-1904_445
https://www.nxtbook.fr/newpress/celog/celog-expertises-1903_444
https://www.nxtbook.fr/newpress/celog/celog-expertises-1902_443
https://www.nxtbook.fr/newpress/celog/celog-expertises-1901_442
https://www.nxtbook.fr/newpress/celog/celog-expertises-1812_441
https://www.nxtbook.fr/newpress/celog/celog-expertises-1811_440
https://www.nxtbook.fr/newpress/celog/celog-expertises-1810_439
https://www.nxtbook.fr/newpress/celog/celog-expertises-1809_438
https://www.nxtbook.fr/newpress/celog/celog-expertises-1807_437
https://www.nxtbook.fr/newpress/celog/celog-expertises-1806_436
https://www.nxtbook.fr/newpress/celog/celog-expertises-1805_435
https://www.nxtbook.fr/newpress/celog/celog-expertises-1804_434
https://www.nxtbook.fr/newpress/celog/celog-expertises-1803_433
https://www.nxtbook.fr/newpress/celog/celog-expertises-1802_432
https://www.nxtbook.fr/newpress/celog/celog-expertises-1801_431
https://www.nxtbook.fr/newpress/celog/celog-expertises-1712_430
https://www.nxtbook.fr/newpress/celog/celog-expertises-1711_429
https://www.nxtbook.fr/newpress/celog/celog-expertises-1710_428
https://www.nxtbook.fr/newpress/celog/celog-expertises-1709_427
https://www.nxtbook.fr/newpress/celog/celog-expertises-1707_426
https://www.nxtbook.fr/newpress/celog/celog-expertises-1706_425
https://www.nxtbook.fr/newpress/celog/celog-expertises-1705_424
https://www.nxtbook.fr/newpress/celog/celog-expertises-1704_423
https://www.nxtbook.fr/newpress/celog/celog-expertises-1703_422
https://www.nxtbook.fr/newpress/celog/celog-expertises-1702_421
https://www.nxtbook.fr/newpress/celog/celog-expertises-1701_420
https://www.nxtbook.fr/newpress/celog/celog-expertises-1612_419
https://www.nxtbook.fr/newpress/celog/celog-expertises-1611_418
https://www.nxtbook.fr/newpress/celog/celog-expertises-1610_417
https://www.nxtbook.fr/newpress/celog/celog-expertises-1609_416
https://www.nxtbook.fr/newpress/celog/celog-expertises-1607_415
https://www.nxtbook.fr/newpress/celog/celog-expertises-1606_414
https://www.nxtbook.fr/newpress/celog/celog-expertises-1605_413
https://www.nxtbook.fr/newpress/celog/celog-expertises-1604_412
https://www.nxtbook.fr/newpress/celog/celog-expertises-1603_411
https://www.nxtbook.fr/newpress/celog/celog-expertises-1602_410
https://www.nxtbook.fr/newpress/celog/celog-expertises-1601_409
https://www.nxtbook.fr/newpress/celog/celog-expertises-1512_408
https://www.nxtbook.fr/newpress/celog/celog-expertises-1511_407
https://www.nxtbook.fr/newpress/celog/celog-expertises-1510_406
https://www.nxtbook.fr/newpress/celog/celog-expertises-1509_405
https://www.nxtbook.fr/newpress/celog/celog-expertises-1507_404
https://www.nxtbook.fr/newpress/celog/celog-expertises-1506_403
https://www.nxtbook.fr/newpress/celog/celog-expertises-1502_399
https://www.nxtbookmedia.com