Considérant 124
Règlement général sur la protection des données · UE 2016/679
| (124) | Lorsque le traitement des données à caractère personnel a lieu dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant dans l'Union et que ce responsable du traitement ou ce sous-traitant est établi dans plusieurs États membres, ou que le traitement qui a lieu dans le cadre des activités d'un établissement unique d'un responsable du traitement ou d'un sous-traitant dans l'Union affecte sensiblement ou est susceptible d'affecter sensiblement des personnes concernées dans plusieurs États membres, l'autorité de contrôle dont relève l'établissement principal ou l'établissement unique du responsable du traitement ou du sous-traitant devrait faire office d'autorité chef de file. Elle devrait coopérer avec les autres autorités concernées dans le cas où le responsable du traitement ou le sous-traitant a un établissement sur le territoire de l'État membre dont elles relèvent, dans le cas où les personnes concernées résidant sur le territoire dont elles relèvent sont affectées sensiblement ou encore dans le cas où une réclamation leur a été adressée. En outre, lorsqu'une personne concernée ne résidant pas dans cet État membre a introduit une réclamation, l'autorité de contrôle auprès de laquelle celle-ci a été introduite devrait également être une autorité de contrôle concernée. Dans le cadre de ses missions liées à la publication de lignes directrices sur toute question portant sur l'application du présent règlement, le comité devrait pouvoir publier des lignes directrices portant, en particulier, sur les critères à prendre en compte afin de déterminer si le traitement en question affecte sensiblement des personnes concernées dans plusieurs États membres et sur ce qui constitue une objection pertinente et motivée. |
Au Luxembourg, la CNPD (jamais APDL) est l'autorité de contrôle compétente et candidate naturelle au statut de chef de file pour les groupes dont le centre décisionnel UE se situe a Luxembourg-Ville, Kirchberg ou Esch-Belval. La loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données précise le rôle de la CNPD dans la coopération article 60 et le mécanisme de cohérence article 63. En pratique, la CNPD accepte d'agir comme chef de file uniquement si le dossier de désignation démontre que les décisions opérationnelles, et pas seulement la holding fiscale, sont effectivement prises au Luxembourg.
Pratique Luxgap : pour les structures de groupe luxembourgeoises (SOPARFI, holding, hub UE), nous documentons systématiquement la substance décisionnelle avec procès-verbaux datés du comité de pilotage privacy au Luxembourg, afin que la CNPD revendique sans difficulté son rôle de chef de file face a la CNIL ou au Garante.
