- La CEPD adopte des lignes directrices finales sur l’article 3 du RGPD relatif au champ d’application territorial.
- Le ciblage de l’offre ne concerne que le ciblage conscient et intentionnel des personnes dans l’UE, et non les prestations purement aléatoires.
- Le RGPD peut s’appliquer aux sous-traitants en dehors de l’UE si l’activité du responsable déclenche l’application.
- Le représentant de l’UE n’est pas responsable en lieu et place du responsable ; responsabilité limitée à la violation de ses propres obligations.
Le Comité européen de la protection des données (CEPD ou EDPB en anglais) a rendu son avis sur le champ d’application international du RGPD après une consultation publique (à laquelle nous avons participé). ont participé) a été adoptée dans une version définitive (Lignes directrices 3/2018 sur le champ d’application territorial du RGPD (article 3)). La version définitive correspond en grande partie à la version provisoire (cf. Deltaview).
Les points suivants sont toutefois remarquables :
Orientation de l’offre
En ce qui concerne l’orientation de l’offre au sens de l’article 3, paragraphe 2, point a), du RGPD, le DFPC précise ou restreint légèrement ce qui suit seulement d’une orientation consciente va (“la disposition vise des activités qui ciblent intentionnellement, plutôt qu’involontairement ou incidemment, des individus dans l’UE”).
Cela exclut par exemple l’application du RGPD lorsqu’une prestation permanente est fournie à des personnes en dehors de l’UE et que cette prestation est ensuite également fournie au sein de l’UE : “Dans ce cas, le traitement n’est pas lié au ciblage intentionnel d’individus dans l’UE mais se rapporte au ciblage d’individus en dehors de l’UE, qui se poursuivra que ces derniers restent en dehors de l’UE ou qu’ils visitent l’Union”.
Observation du comportement
Dans ce contexte, on trouve un autre paragraphe intéressant sur la Application du RGPD au Processeur dont le siège est situé en dehors de l’UE. L’EPDB prend ici position sur le libellé peu clair de l’article 3, paragraphe 2 du RGPD, selon lequel le RGPD s’applique au responsable du traitement dans les conditions de l’article 3, paragraphe 2, points a et b, et non au responsable du traitement. ou le sous-traitant s’applique.
Ici, le BEPC précise – plus ou moins – que les Applicabilité du RGPD au processeur de l’activité du responsable du traitement Si une activité du responsable tombe sous le coup du RGPD et que le responsable fait appel à un processeur, il est alors possible d’utiliser le RGPD. ce processeur tombe également sous le coup du RGPD. Le point de départ est la Activité du responsableEn effet, le ciblage, par exemple, ne peut être déclenché que par le responsable – lui seul peut prendre la décision correspondante (ce qui, à l’inverse, signifie que cette décision justifie la qualité de contrôleur). Du point de vue du processeur, la question est donc de savoir quel est son rôle. Lien avec l’activité correspondante du contrôleur est une activité. Une activité telle que le stockage de données doit déjà suffire (voir le nouvel exemple 20). Il n’est donc pas nécessaire (mais bien entendu suffisant) que le contrôleur participe spécifiquement à l’activité qui déclenche l’application du RGPD.
Vers le représentant de l’UE
Les lignes directrices apportent quelques clarifications sur le représentant de l’UE, par exemple en ce qui concerne le registre de traitement. Il est également bienvenu de préciser que le représentant n’est pas responsable en lieu et place du responsable (“The GDPR does not establish a substitutive liability of the representative in place of the controller or processor it represents in the Union”). Le représentant n’est lui-même responsable que de la violation de ses propres obligations.