Hors collection - Droit des données à caractère personnel - 1re - 90

DROIT

DES DONNÉES À CARACTÈRE PERSONNEL

traiterait un traitement de données à un prestataire d'hébergement établi dans l'Union européenne ; le traitement relève alors du champ d'application du RGPD. Dans l'hypothèse inverse
où le responsable du traitement a un établissement dans l'Union, les traitements mis en œuvre
dans le cadre de ses activités sont soumis au RGPD ;
- la seconde hypothèse vise le cas où le sous-traitant est chargé de traiter des données qui ne sont
pas celles qui sont traitées dans le cadre des activités de l'établissement du responsable du traitement situé dans l'Union. Prenons l'hypothèse d'un responsable du traitement exploitant deux
activités distinctes : une place de marché et un moteur de recherche. Si l'établissement européen
exerce l'activité de place de marché sans déployer l'activité de moteur de recherche, seul le
premier traitement sera soumis au RGPD. Toutefois, si ce même responsable du traitement soustraite à un sous-traitant établi dans l'Union l'hébergement des données de son moteur de
recherche, alors ce traitement sera soumis au RGPD.
136. Remarques. Les sous-traitants sont dans une situation différente de celle des responsables du
traitement. En effet, ils ne déterminent pas les moyens et les finalités du traitement et traitent des
données conformément aux instructions données par le responsable du traitement. Ils sont pris en
compte dans le but d'étendre le champ d'application spatial du RGPD. Est-ce à dire que le traitement
de données à caractère personnel mis en œuvre par le responsable du traitement est soumis globalement au RGPD alors qu'il n'est pas établi dans l'Union ? On pourrait le penser. Littéralement, c'est
en effet « le traitement » qui est visé. Cette interprétation extensive peut être justifiée par la finalité
du règlement, qui est d'assurer un haut niveau de garantie des personnes concernées. Pour autant,
cette analyse conduit à étendre considérablement le champ d'application du RGPD. L'option inverse
conduirait à appliquer le RGPD aux seules opérations de traitement dont le sous-traitant est chargé, ce
qui conduirait à une application distributive de la protection des données à caractère personnel41 qui
n'est pas non plus aisée à mettre en application. En outre, si le sous-traitant n'est pas établi dans
l'Union, le traitement de données mis en œuvre par le responsable du traitement est quant à lui
soumis au RGPD, de telle sorte que les dispositions relatives aux transferts de données vers un pays
tiers trouveront application.
b) L'établissement d'un responsable du traitement ou d'un sous-traitant situé sur le territoire
de l'Union
137. Définition. Le RGPD n'exige pas que le responsable de traitement ou le sous-traitant soit établi
dans l'Union, il suffit que le traitement soit effectué dans le cadre des activités d'un de leur établissement situé dans l'Union. Mais qu'est-ce qu'un « établissement » ? Le RGPD ne définit pas la notion
d'« établissement » mais il en évoque les critères. Un établissement « suppose l'exercice effectif et réel
d'une activité au moyen d'un dispositif stable. La forme juridique retenue pour un tel dispositif, qu'il
s'agisse d'une succursale ou d'une filiale ayant la personnalité juridique, n'est pas déterminante à cet
égard »42. Trois critères se dégagent : l'indifférence à la forme juridique, l'importance d'une installation
stable et le caractère réel et effectif de l'activité.

41. Pailler L., art. préc., nº 3.
42. RGPD, cons. 22.

Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re