Dérogation de compétence locale au mécanisme du guichet unique pour le contrôle d’un traitement transfrontalier

L’affaire concernait une personne de nationalité irlandaise ayant travaillé dans une société irlandaise, rachetée en mars 2018 par le groupe Euronext. Les données relatives aux ressources humaines de cette société ont alors été versées dans le système d’information des ressources humaines du groupe. Ce système d'information « utilisé par certaines entités du groupe Euronext, notamment par sa filiale située à Dublin, fai[sai]t l'objet d'un pilotage central par un service situé en France, dont les employés [étaient] habilités à consulter et modifier les données des salariés de ces entités ». A la suite d’une plainte concernant la mention, à tort, du sexe masculin de la requérante dans le système d’information des ressources humaines du groupe, la CNIL s’est estimée incompétente et a clôturé la plainte. Saisi d’un recours pour excès de pouvoir contre cette décision, le Conseil d’État a vérifié que la CNIL était bien incompétente pour contrôler le respect du RGPD.

Le principe du guichet unique est simple : l’autorité « chef de file » est chargée de coordonner la prise de décision avec les autres autorités de protection des données concernées par le traitement transfrontalier, en vue d’adopter une seule décision valable dans toute l’Union européenne. Le Conseil d’État rappelle à cet égard que l'autorité « chef de file » est celle du pays dans lequel se trouve l’établissement principal du responsable du traitement, celui-ci devant être compris comme « le lieu de son siège réel ». Il en va cependant autrement si « un autre de ses établissements est compétent pour prendre les décisions relatives aux finalités et aux moyens du traitement et dispose du pouvoir de les faire appliquer à l'échelle de l'Union » (CE, 19 juin 2020, Société Google LLC, n° 430810). 

L’article 56, § 2 du RGPD a néanmoins prévu une dérogation de compétence locale à ce mécanisme du guichet unique. Tel est le cas lorsque « l'objet de la réclamation concerne uniquement un établissement de l'État membre dont relève une autre autorité de contrôle ou affecte sensiblement des personnes concernées dans cet État membre uniquement ».

Le Conseil d’État procède en deux temps.

Il constate d’abord que le traitement litigieux était un traitement transfrontalier en ce qu’il était mis en œuvre par le groupe Euronext, un responsable de traitement établi et ayant des activités dans plusieurs États membres. Il estime, dès lors, que la CNIL était en principe compétente pour agir en tant qu'autorité chef de file concernant ce traitement transfrontalier en ce que « l'établissement du groupe Euronext situé en France, qui emploie également le responsable des ressources humaines du groupe, détermine les finalités et les moyens de ce traitement (…) et dispose du pouvoir de les faire appliquer dans les autres établissements qui sont utilisateurs de ce même système ».

Il juge ensuite que la dérogation de compétence locale devait néanmoins s’appliquer et ce à double titre puisque la réclamation introduite auprès de la CNIL :

• ne porte que sur la mise en œuvre du traitement en ce qui concerne la situation et l’ activité de salariée de la requérante au sein de la société irlandaise ;
• et est insusceptible d'affecter des personnes concernées dans d'autres États membres que l'Irlande. 

L'autorité de protection des données irlandaise, qui avait d'ailleurs été saisie parallèlement par la requérante, était donc seule compétente pour traiter la réclamation.