La CJUE précise les conditions d’exercice des pouvoirs des autorités nationales de contrôle pour le traitement transfrontalier de données en application du Règlement général sur la protection des données.
Dans un arrêt du 15 juin 2021 (affaire C-645/19), la Cour de justice de l’Union européenne précise les pouvoirs des autorités nationales de contrôle dans le cadre du Règlement général sur la protection des données (Règlement 2016/679 du 27 avril 2016 - RGPD).
Elle juge que ce règlement autorise, sous certaines conditions, une autorité de contrôle d’un Etat membre à exercer son pouvoir de porter toute prétendue violation du RGPD devant une juridiction de cet Etat et d’ester en justice en ce qui concerne un traitement de données transfrontalier, alors qu’elle n’est pas l’autorité chef de file pour ce traitement.
En premier lieu, la Cour précise les conditions dans lesquelles une autorité nationale de contrôle, n’ayant pas la qualité d’autorité chef de file en ce qui concerne un traitement transfrontalier, doit exercer son pouvoir de porter toute prétendue violation du RGPD devant une juridiction d’un Etat membre et, le cas échéant, d’ester en justice afin d’assurer l’application de ce règlement.
Ainsi, d’une part, le RGPD doit conférer à cette autorité de contrôle une compétence pour adopter une décision constatant que ce traitement méconnaît les règles prévues par ce règlement et, d’autre part, ce pouvoir doit être exercé dans le respect des procédures de coopération et de contrôle de la cohérence prévues par ce règlement.
En deuxième lieu, la Cour juge que, en cas de traitement de données transfrontalier, l’exercice du pouvoir d’une autorité de contrôle d’un Etat membre, autre que l’autorité de contrôle chef de file, d’intenter une action en justice ne requiert pas que le responsable du traitement ou le sous-traitant pour le traitement transfrontalier de données à caractère personnel visé par cette action dispose d’un établissement principal ou d’un autre établissement sur le territoire de cet Etat membre.
Cependant, l’exercice de ce pouvoir doit relever du champ d’application territoriale du RGPD, ce qui suppose que le responsable du traitement ou le sous-traitant pour le traitement (...)
