Considérant 138
Règlement général sur la protection des données · UE 2016/679
| (138) | L'application d'un tel mécanisme devrait conditionner la légalité d'une mesure destinée à produire des effets juridiques prise par une autorité de contrôle dans les cas où cette application est obligatoire. Dans d'autres cas présentant une dimension transfrontalière, le mécanisme de coopération entre l'autorité de contrôle chef de file et les autorités de contrôle concernées devrait être appliqué, et l'assistance mutuelle ainsi que des opérations conjointes pourraient être mises en œuvre entre les autorités de contrôle concernées, sur une base bilatérale ou multilatérale, sans faire jouer le mécanisme de contrôle de la cohérence. |
Au Luxembourg, la CNPD est fréquemment désignée autorité chef de file pour les groupes internationaux dont l'établissement principal est situé sur le territoire (banques, fintechs, plateformes e-commerce, sièges européens de groupes US). La loi du 1er aout 2018 portant organisation de la CNPD lui donne expressément compétence pour conduire les procédures du guichet unique et représenter le Luxembourg dans le mécanisme de cohérence EDPB. Attention : la CNPD applique strictement la doctrine EDPB 8/2022 sur l'identification du main establishment, et ne se reconnait chef de file que si les décisions réelles sont prises au Luxembourg, pas seulement domiciliées.
Pratique Luxgap : avant toute déclaration de chef de file à la CNPD, nous documentons la chaîne de décision via les comptes-rendus de comité exécutif, les délégations de pouvoir et les logs d'accès aux systèmes décisionnels, pour étayer la qualification d'établissement principal de manière opposable.
