Un an après : le RGPD a ouvert la voie à un contentieux nourri

Option Droit & Affaires - 12 juillet 2019 - Stéphanie Abdesselam et Daniel Kadar, Reed Smith

Un an après l’entrée en vigueur du RGPD, il nous faut constater que sa mise en œuvre pratique est loin d’avoir simplifié le cadre réglementaire du droit de la protection des données personnelles, et qu’elle a conduit à un mouvement sans doute irréversible de judiciarisation auquel les acteurs doivent activement se préparer.

Alors que ce règlement européen d’application directe, qui se substituait à la directive, se voulait être une réglementation d’harmonisation, sans différence d’interprétation entre les Etats membres, nous nous trouvons dans une situation bien différente : les dispositions locales peuvent varier d’un Etat à l’autre sur des questions aussi significatives que les données de santé ou la validité du consentement.

Contrairement à d’autres domaines règlementaires régis à l’échelle européenne qui instituent une autorité de supervision européenne à laquelle est conféré un réel rôle d’impulsion, le champ règlementaire du RGPD ne prévoit pas une telle autorité, de sorte que l’harmonisation repose sur une démarche participative des autorités.

Un autre facteur d’insécurité se pose pour les acteurs: la détermination de l’autorité compétente, dite autorité chef de file. Nous avons vu à travers sa récente décision1, que l’approche de la CNIL pour déterminer l’établissement principal, c’est-à-dire la localisation du centre de décision du traitement, peut diverger des anticipations et des choix des acteurs. Or, il est crucial pour les acteurs d’orienter leur trajectoire de conformité sur les lignes directrices pertinentes des autorités dont ils relèvent.

A notre sens, la cause première de cette incertitude porte sur les critères institutionnels de désignation d’un établissement principal retenus, qui sont déconnectés de l’approche organisationnelle de plus en plus matricielle des sociétés.

En...