Droit en Poche - RGPD : la protection des données à caractère personnel - 5e - 15

Les tiers autorisés
L'article 4, 10° précise ainsi qu'un tiers est « une personne physique
ou morale, une autorité publique, un service ou un organisme autre
que la personne concernée, le responsable du traitement, le soustraitant
et les personnes qui, placées sous l'autorité directe du
responsable du traitement ou du sous-traitant, sont autorisées
à traiter les données à caractère personnel ».
Des dispositions législatives et réglementaires spécifiques permettent
à certaines administrations et autorités publiques de se
faire communiquer, sous certaines conditions et dans le cadre de
leur mission, des données à caractère personnel ou d'exercer un
droit de communication. Ainsi, les autorités judiciaires ou l'administration
fiscale peuvent solliciter un responsable du traitement
pour que celui-ci leur communique des données à caractère personnel
concernant ses clients ou ses employés. Elles recevront donc
ces informations sans pour autant en être un destinataire habituel.
Elles sont alors qualifiées de tiers autorisé. La CNIL a publié en
juillet 2020 un guide des tiers autorisés.
Les autorités de contrôle (autorité chef de
file, autorité de contrôle concernée, etc.)
Le Règlement européen introduit la possibilité pour un Groupe de
sociétés établi dans plusieurs États membres de désigner une autorité
de contrôle dite « autorité chef de file » qui sera compétente
pour contrôler certains traitements (v. Fiche 16). L'autorité chef
de file est définie comme « l'autorité de contrôle de l'établissement
principal ou de l'établissement unique du responsable
du traitement ou du sous-traitant » (art. 56, 1).
L'introduction de cette nouvelle autorité n'a pas pour autant pour
effet de priver l'autorité de contrôle sur le territoire de laquelle le
dommage serait survenu de toutes prérogatives, l'autorité est alors
dite « concernée ».
Une autorité est dite « concernée » dans les hypothèses suivantes
(art. 4, 22) :
- le responsable du traitement ou le sous-traitant en cause est
établi sur le territoire de l'État membre dont cette autorité de
contrôle relève ;
- des personnes concernées résidant dans l'État membre de
cette autorité de contrôle sont sensiblement affectées par le
traitement ou sont susceptibles de l'être ;
- une réclamation a été introduite auprès de cette autorité.
Cette distinction entre autorité chef de file et autorité concernée
applicable dans les cas où un organisme aura désigné une autorité
chef de file. Elle n'est donc pas applicable à toutes les situations,
ce qui a conduit le législateur européen à utiliser d'une manière
générique la notion d'« autorité compétente », à charge pour le
lecteur de déterminer celle-ci.
RGPD : la protection des données à caractère personnel
Droit en Poche - RGPD : la protection des données à caractère personnel - 5e

Table des matières de la publication Droit en Poche - RGPD : la protection des données à caractère personnel - 5e
