Episode I : les premiers enseignements sur l’autorité chef de file dans la décision CNIL condamnant Google
A titre liminaire, il convient de rappeler que la formation restreinte de la CNIL a condamné Google pour trois séries de manquements :
- aux obligations de transparence,
- d'information, et
- de disposer d'un consentement valable pour les traitements de personnalisation de la publicité mis en œuvre. Nous nous focaliserons ici uniquement sur l’un des motifs de sa décision, à savoir, celui relatif à la compétence de la CNIL.
Dans cette affaire, Google reprochait à la CNIL d’avoir retenu sa compétence et de n’avoir pas transmis les plaintes à l’autorité de contrôle irlandaise qui aurait dû être qualifiée d’autorité chef de file de Google. En effet, cette dernière soutenait, notamment, que la société Google Ireland Limited, située en Irlande, est le siège social européen de Google, que les contrats de vente de publicités avec les clients situés dans l’Union européenne sont conclus avec cette société et que cette dernière compte une équipe de 3 600 salariés dédiée à la gestion des demandes faites en lien avec la confidentialité et un responsable en charge de la protection de la vie privée.
De ce fait, les mécanismes de coopération et de cohérence prévus aux articles 60, 64 et 65 du Règlement général sur la protection des données (RGPD) auraient dû s’appliquer compte-tenu de la nature transfrontalière des traitements et du nombre significatif de personnes concernées et, en cas de doute sur l’autorité chef de file, le Comité européen de la protection des données (CEPD) aurait dû être saisi.
Pourtant, la formation restreinte retient sa compétence en s’appuyant sur l’article 4 16. et le considérant 36 du RGPD qui prévoient que pour être qualifié d’établissement principal, l’établissement en cause doit disposer d’un pouvoir décisionnel sur les traitements de données à caractère personnel. En effet, la qualification d’établissement principal requiert l’appréciation in concreto de « l'exercice effectif et réel d'activités de gestion déterminant les décisions principales quant aux finalités et aux moyens du traitement dans le cadre d'un dispositif stable ».
Par Philippe Debry et Dan Scemama
