Le G 29 a adopté ses lignes directrices concernant la désignation d’une autorité de contrôle chef de file d’un responsable du traitement ou d’un sous-traitant.

l’autorité chef de file se limite aux traitements transfrontaliers

Dans ces lignes directrices, le G 29 a rappelé que

« il n’est pertinent de désigner une autorité de contrôle chef de file que lorsque le traitement transfrontalier de données à caractère personnel est effectué par un responsable du traitement ou un sous-traitant », c’est-à-dire ayant lieu dans le cadre des activités :
« un traitement de données à caractère personnel qui a lieu dans l’Union dans le cadre des activités d’établissements dans plusieurs États membres d’un responsable du traitement ou d’un sous-traitant lorsque le responsable du traitement ou le sous-traitant est établi dans plusieurs États membres ; ou
un traitement de données à caractère personnel qui a lieu dans l’Union dans le cadre des activités d’un établissement unique d’un responsable du traitement ou d’un sous-traitant, mais qui affecte sensiblement ou est susceptible d’affecter sensiblement des personnes concernées dans plusieurs États membres ».

La notion de « affecte sensiblement »

Le G 29 a aussi précisé que la notion de « affecte sensiblement » (en anglais « substantially affects ») implique que le traitement concerne des personnes dans plusieurs États membres et qu’il ait un impact sur ces dernières.

« Ce libellé traduit l’intention de garantir que toutes les activités de traitement, quel que soit leur effet, qui ont lieu dans le cadre d’un seul établissement ne relèvent pas de la définition de «traitement transfrontalier» ».

« Les autorités de contrôle interpréteront l’expression «affecte sensiblement» au cas par cas ».

« Le critère de l’«incidence sensible» vise à garantir que les autorités de contrôle sont uniquement tenues de coopérer de manière formelle dans le cadre du mécanisme de contrôle de la cohérence instauré par le règlement général «lorsqu’une autorité de contrôle entend adopter une mesure destinée à produire des effets juridiques en ce qui concerne des opérations de traitement qui affectent sensiblement un nombre important de personnes concernées dans plusieurs États membres » (considérant 135) ».

la portée de la notion d’« autorité de contrôle chef de file »

Le G 29 aussi défini la portée de la notion d’« autorité de contrôle chef de file » qui « est l’autorité qui assume la responsabilité principale de la gestion d’une activité de traitement transfrontalier ». Elle coordonne toute enquête éventuelle, en y associant les autres autorités de contrôle « concernées ».

L’obligation d’identifier l’autorité chef de file en cas d’établissements multiples dans l’Union implique de déterminer le lieu de l’établissement principal du responsable de traitement ou du sous-traitant concerné. Ce dernier est en principe le lieu de l’administration centrale, sauf, s’agissant d’un responsable de traitement, à ce que les décisions sur les finalités et moyens soient prises par un autre établissement ou, s’agissant d’un sous-traitant, à ce que les activités principales du traitement soient menées par un autre établissement.