L’établissement principal d’un responsable du traitement dans l’Union devrait être le lieu de son administration centrale dans l’Union, à moins que les décisions quant aux finalités et aux moyens du traitement des données à caractère personnel soient prises dans un autre établissement du responsable du traitement dans l’Union, auquel cas cet autre établissement devrait être considéré comme étant l’établissement principal. L’établissement principal d’un responsable du traitement dans l’Union devrait être déterminé en fonction de critères objectifs et devrait supposer l’exercice effectif et réel d’activités de gestion déterminant les décisions principales quant aux finalités et aux moyens du traitement dans le cadre d’un dispositif stable. Ce critère ne devrait pas dépendre du fait que le traitement ait lieu à cet endroit. La présence et l’utilisation de moyens techniques et de technologies de traitement de données à caractère personnel ou d’activités de traitement ne constituent pas, en elles-mêmes, un établissement principal et ne sont, dès lors, pas des critères déterminants pour un établissement principal. L’établissement principal du sous-traitant devrait être le lieu de son administration centrale dans l’Union ou, s’il ne dispose pas d’une administration centrale dans l’Union, le lieu où se déroule l’essentiel des activités de traitement dans l’Union. Lorsque le responsable du traitement et le sous-traitant sont tous deux concernés, l’autorité de contrôle de l’État membre dans lequel le responsable du traitement a son établissement principal devrait rester l’autorité de contrôle chef de file compétente, mais l’autorité de contrôle du sous-traitant devrait être considérée comme étant une autorité de contrôle concernée et cette autorité de contrôle devrait participer à la procédure de coopération prévue par le présent règlement. En tout état de cause, les autorités de contrôle du ou des États membres dans lesquels le sous-traitant a un ou plusieurs établissements ne devraient pas être considérées comme étant des autorités de contrôle concernées lorsque le projet de décision ne concerne que le responsable du traitement. Lorsque le traitement est effectué par un groupe d’entreprises, l’établissement principal de l’entreprise qui exerce le contrôle devrait être considéré comme étant l’établissement principal du groupe d’entreprises, excepté lorsque les finalités et les moyens du traitement sont déterminés par une autre entreprise.
* Ceci n’est pas la description/titre officiel du considérant ici.
Pourquoi le considérant 36 est-il important pour la conformité au RGPD?
Le considérant 36 explique comment déterminer l’établissement principal d’un responsable du traitement ou d’un sous-traitant au sein de l’Union européenne. Cela est important car il définit quelle autorité de contrôle agira en tant qu’autorité chef de file pour les activités de traitement transfrontalières. L’établissement principal est généralement le lieu où sont prises les décisions clés concernant le traitement des données, ce qui garantit une application cohérente et simplifie la surveillance réglementaire dans plusieurs États membres.