La Cour de Justice de l’Union Européenne vient de rendre deux arrêts majeurs d’interprétation du RGPD.

1️⃣Pour ce qui concerne les sanctions prononcées par les autorités nationales de contrôle, comme la CNIL, la CJUE décide, dans deux arrêts du 5 décembre 2023, qu’une sanction ne peut être prononcée à l’encontre d’un responsable de traitement que s’il est établi que celui-ci a commis, délibérément ou par négligence, une violation du RGPD. Autrement dit, pour être sanctionné, une faute doit être démontrée à l’encontre du responsable de traitement. Il ne peut y avoir de sanction automatique au simple constat d’un manquement au RGPD.

➡️Ceci est de nature à éloigner le risque de sanction en cas de fuites de données personnelles à la suite d’une cyberattaque lorsque le responsable de traitement dispose d’un système d’information à l’état de l’art en matière de sécurité.

2️⃣En ce qui concerne la qualité de responsable de traitement, dans son arrêt C-683/21, la CJUE pose le principe selon lequel peut être considérée comme étant responsable du traitement une entité qui a chargé une entreprise de développer une application informatique mobile même si cette entité n’a pas procédé, elle-même, à des opérations de traitement de données par cette application. Une entité est responsable, non seulement pour tout traitement de données à caractère personnel qu’elle effectue elle-même, mais également pour celui qui est réalisé pour son compte dès lors qu’elle a effectivement influé, à des fins qui lui sont propres, sur la détermination des finalités et des moyens de ce traitement.

➡️Ainsi, même si une entité ne traite jamais de données personnelles, elle peut être responsable de traitement. Une manière pour la CJUE d’affirmer qu’une entité ne peut pas se décharger de sa responsabilité au regard du RGPD en déléguant l’entièreté des opérations de traitement à un tiers et ne bénéficiant que des résultats de ces traitements, alors même que ces résultats ne contiennent pas de données personnelles.

Arrêts du 5 décembre 2023, en Grande chambre : C-683/21 et C‑807/21