Quand la personne physique en demande la communication au responsable du traitement, i) celui-ci ne doit-il transmettre que celles que son entreprise a collecté auprès de cette personne physique ou bien ii) doit-il aussi transmettre les données obtenues auprès d’une autre personne ou d’une autre entreprise et les données qu’il a lui-même généré par le traitement qu’il a effectué à partir des données collectées ou obtenues ?

Pour le responsable du traitement, quand les données à caractère personnel n’ont pas été collectées auprès de cette personne, il peut invoquer l’exception à l’obligation d’information de la personne concernée de l’article 14, § 5 sous c)  du RGPD.

La Cour de justice, le 28 novembre 2024, l’arrêt,  clarifie la portée de cette exception dans une affaire qui oppose un citoyen hongrois avec son autorité nationale de délivrance du certificat d’immunité à la COVID.

« l’exception à l’obligation d’information de la personne concernée par le responsable du traitement, prévue à cette disposition, concerne indistinctement toutes les données à caractère personnel que le responsable du traitement n’a pas collectées directement auprès de la personne concernée, que ces données aient été obtenues par le responsable du traitement auprès d’une personne autre que la personne concernée ou qu’elles aient été générées par le responsable du traitement lui-même, dans le cadre de l’exercice de ses missions ».

Et la Cour limite le droit de contrôle sous cet article 14, §5 sous c).

« Cette vérification ne porte toutefois pas sur le caractère approprié des mesures que le responsable du traitement est tenu de mettre en œuvre, en vertu de l’article 32 de ce règlement, afin de garantir la sécurité des traitements de données à caractère personnel ».

Les responsables de traitement n’en seront que plus rassurés.

Libertés publiques et collectes de données biométriques, l’arrêt de la Cour de justice du 19 mars 2026,

La Cour de justice ouvre le contentieux contre les décisions du Comité Européen de la Protection des Données

Données personnelles : l’arrêt du 2 décembre 2025 applicable à tous les contenus des usagers des plateformes

Titulaires de brevet ou de marque, attention à votre responsabilité en cas de mesures provisoires ultérieurement abrogées

Protéines végétales et termes désignant la viande : l’impossibilité d’interdire en l’absence de définition légale

RGPD :  une amende uniquement pour une violation fautive, mais le nombre des potentiels payeurs augmente

IA, c’est qui le responsable du traitement et du respect des autres dispositions du RGPD ?

Qui a condamné WhatsApp à 225 millions d’euros d’amende en 2021 ?

Données personnelles. Leurs collectes et conservations de manière généralisée et indifférenciée, les précisions apportées par la Cour de Justice le 5 avril 2022.

Quelle loi appliquer aux demandes annexes à la demande en contrefaçon ?

L’article Une clarification favorable au responsable du traitement est apparu en premier sur Philippe Schmitt Avocats.

Les dispositions du RGPD ne s’appliqueraient-elles qu’en bout de chaine au contact du consommateur, ou à tous les acteurs antérieurs y compris à ….l’utilisateur et au producteur de l’IA ?

La réponse de la Cour de justice, ce 7 décembre, constitue un rappel à l’ordre !  L’arrêt du 7 décembre 2023

 L’article 22 dudit RGPD, intitulé « Décision individuelle automatisée, y compris le profilage », prévoit :

« 1.      La personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire.

Des faits transposables à des emplois d’IA

En Allemagne, une société fournit à ses partenaires contractuels des informations sur la solvabilité de tiers, notamment de consommateurs. À cette fin, elle établit un pronostic sur la probabilité d’un comportement futur d’une personne (« score »), tel que le remboursement d’un prêt, à partir de certaines caractéristiques de cette personne, sur la base de procédures mathématiques et statistiques. L’établissement des scores (« scoring ») est fondé sur l’hypothèse selon laquelle il est possible, en assignant une personne à un groupe d’autres personnes possédant des caractéristiques comparables et qui se sont comportées d’une manière donnée, de prédire un comportement similaire.

Une communication d’informations trop partielles.

Un consommateur se voit refuser l’octroi d’un prêt par un tiers après avoir fait l’objet d’informations négatives établies par cette société, il lui demande de lui communiquer des informations sur les données à caractère personnel enregistrées et d’effacer celles d’entre elles qui étaient prétendument erronées.

Si la société informe le consommateur du niveau de son score, elle refuse « à divulguer les différentes informations prises en compte aux fins de ce calcul ainsi que leur pondération ».

Enfin, cette entreprise considérait « qu’elle se limitait à faire parvenir des informations à ses partenaires contractuels et que c’était ces derniers qui prenaient les décisions contractuelles proprement dites ».

L’affaire vient devant la Cour de justice de l’Union.

Que nous dit la Cour :

50      Il en découle que, dans des circonstances telles que celles en cause au principal, dans lesquelles la valeur de probabilité établie par une société fournissant des informations commerciales et communiquée à une banque joue un rôle déterminant dans l’octroi d’un crédit, l’établissement de cette valeur doit être qualifié en soi de décision produisant à l’égard d’une personne concernée « des effets juridiques la concernant ou l’affectant de manière significative de façon similaire », au sens de l’article 22, paragraphe 1, du RGPD.

Le 5 décembre 2023, deux autres décisions de  la Cour de justice concernent le RGPD et la sanction de ses violation, c’est là

Libertés publiques et collectes de données biométriques, l’arrêt de la Cour de justice du 19 mars 2026,

La Cour de justice ouvre le contentieux contre les décisions du Comité Européen de la Protection des Données

Données personnelles : l’arrêt du 2 décembre 2025 applicable à tous les contenus des usagers des plateformes

Document fondateur pour la propriété intellectuelle et regard sur l’IA : la Lettre dédicatoire de Blaise Pascal (1645)

Droit d’auteur : droit de propriété ou droit d’accès, l’économie des plateforme a tout changé

Titulaires de brevet ou de marque, attention à votre responsabilité en cas de mesures provisoires ultérieurement abrogées

Protéines végétales et termes désignant la viande : l’impossibilité d’interdire en l’absence de définition légale

Une clarification favorable au responsable du traitement

RGPD :  une amende uniquement pour une violation fautive, mais le nombre des potentiels payeurs augmente

IA : « Creativity Machine » ne génère pas d’œuvre protégée par le droit d’auteur

L’article IA, c’est qui le responsable du traitement et du respect des autres dispositions du RGPD ? est apparu en premier sur Philippe Schmitt Avocats.

Pour la CNIL, le responsable du traitement est celui qui bénéfice d’une autonomie pour déterminer la finalité et les moyens du traitement. Cette définition ressort de sa décision du 26 juillet 2021 dont de nombreux passages sont repris ci-dessous et qui en montre l’importance pratique. La délibération de la formation restreinte de la CNIL du 26 juillet 2021

• Le contexte de cette affaire : un contrat de prestations

7. Il ressort des investigations …. que, par un contrat cadre de prestation de services en date du 18 juillet 2013, complété par trois avenants et quatre cahiers des charges, la société M…… a confié à la société FH…………….- devenue le 1er janvier 2017 la société…………. – une mission de représentation d’intérêts concernant l’utilisation du glyphosate en Europe et dans le monde, à compter de 2016 et jusqu’au 31 mai 2019.

• La nature des données

9. Dans le cadre de cette prestation, la société FH…………….a procédé à l’identification et au recensement d’informations relatives à des personnalités impliquées dans le débat sur le renouvellement de l’autorisation d’utilisation du glyphosate en Europe, qui s’est notamment concrétisé par l’élaboration et la tenue d’une liste des « parties prenantes » intervenant dans le cadre de cette campagne. Ce fichier, intitulé « French M…… stakeholders database – cultivating trust » , comportait une liste de 201 personnes résidant en France, dont des membres d’associations de protection de l’environnement, d’associations d’agriculteurs, d’associations dans le domaine de la santé, d’organisations professionnelles, des personnalités politiques, des membres d’administrations, des journalistes, des universitaires et des agriculteurs. Pour chacune de ces personnes, les informations suivantes étaient renseignées : organisme de rattachement et site web, poste occupé, adresse professionnelle, numéro de téléphone fixe professionnel, numéro de téléphone portable, adresse de messagerie électronique professionnelle et, le cas échéant, compte « Twitter » .

• Le traitement des données personnelles

10. En outre, une note allant de 1 à 5 était attribuée à chaque personne, afin d’évaluer son influence, sa crédibilité et son soutien à la société M…… sur six sujets, en l’occurrence l’agriculture, les pesticides, les organismes génétiquement modifiés, l’environnement, l’alimentation et la santé.
11. Le fichier comportait également une zone de commentaire libre dans laquelle pouvaient être indiqués les évènements auxquels ces personnes avaient assisté ou qu’elles avaient organisé, les personnes avec qui elles travaillaient, les contacts qu’elles avaient eus avec des représentants de la société M…… ou encore les articles qu’elles avaient publiés au sujet du glyphosate.

• Le débat sur la qualité de responsable de traitement

La disposition invoquée du RGPD

28. Aux termes de l’article 4 (7) du RGPD, le responsable de traitement est défini comme étant « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement « .

La position du rapporteur

29. La rapporteure considère qu’en l’espèce, la société M…… doit être regardée comme le responsable du traitement en question dans la mesure où elle est la personne pour le compte de laquelle le traitement est mis en œuvre, qui détermine pourquoi le traitement a lieu et comment son objectif doit être atteint. En effet, le fichier en cause avait pour objet de permettre à la société M…… d’identifier et de recenser les parties prenantes du secteur afin de mettre en place une stratégie de communication ciblée en faveur du renouvellement de l’autorisation du glyphosate par la Commission européenne. Elle rappelle ainsi que c’est pour atteindre cet objectif qu’elle a décidé de confier à la société FH…………….l’ensemble des activités liées aux relations publiques et à la réputation de l’entreprise et, plus particulièrement à compter de 2016, une mission de représentation d’intérêts concernant l’utilisation du glyphosate en Europe et dans le monde et que c’est dans le cadre de cette mission que le fichier nommé « 20160822 French M…… stakeholders database – cultivating trust  » a été établi.

La position de M…… : une confusion entre bénéficiaire du service et responsable du traitement

30. En défense, la société estime que la responsabilité du traitement incombait exclusivement à la société FH…………….et que la rapporteure confond les notions de bénéficiaire d’un service et celle de responsable de traitement. Elle souligne que c’est la société FH…………….qui, en sa qualité d’entreprise spécialisée en matière de conseil et de relations publiques, a construit le fichier de manière autonome, selon une méthodologie qu’elle a elle-même définie, puis qui l’a proposé à la société M…….
31. La société souligne que c’est en raison de l’expertise de la société FH…………….qu’elle a fait appel à ses services et que la constitution de listes de noms est une pratique courante dans ce secteur d’activités. Elle rappelle qu’elle n’a jamais donné d’instructions à la société FH…………….quant à la façon d’effectuer cette mission et qu’elle n’a fait que réagir aux propositions faites par cette dernière.
32. …., elle n’a jamais utilisé le fichier en question. Or, elle note que si elle avait agi en tant que responsable de traitement, elle aurait demandé à la société FH…………….de modifier le fichier à sa convenance afin d’obtenir un résultat correspondant davantage à ses attentes.
33. La société indique en outre que la société FH…………….se présente sur son site internet comme le responsable de traitement des données traitées dans le cadre des missions qui lui sont confiées par ses clients. Elle rappelle également que c’est la société FH…………….qui a répondu aux demandes d’exercice des droits des personnes concernées en lien avec le traitement en cause.

Ce que dit la CNIL

34. En premier lieu, …..le responsable de traitement est la personne qui détermine les finalités du traitement mis en œuvre, c’est-à-dire le résultat attendu ou recherché, et les moyens de ce traitement, c’est-à-dire la façon de parvenir à ce résultat.
35. Les notions de responsable de traitement et de sous-traitant sont éclairées par le Comité européen de la protection des données (ci-après « le CEPD » ) dans ses lignes directrices 07/2020 adoptées le 2 septembre 2020 et soumises à consultation publique. Le CEPD y indique que « Déterminer les finalités et les moyens revient à décider respectivement du « pourquoi » et du « comment » du traitement : s’agissant d’une opération de traitement particulière, le responsable du traitement est l’acteur qui a déterminé pourquoi le traitement a lieu (c’est-à-dire « dans quel but » ou « pour quel objectif » ) et comment cet objectif doit être atteint (c’est-à-dire quels moyens doivent être utilisés pour atteindre l’objectif). Une personne physique ou morale qui exerce une telle influence sur le traitement des données à caractère personnel participe ainsi à la détermination des finalités et des moyens de ce traitement conformément à la définition de l’article 4, paragraphe 7, du RGPD. Le responsable du traitement doit décider à la fois de la finalité et des moyens de traitement décrits ci-dessous. Par conséquent, le responsable du traitement ne peut pas déterminer uniquement la finalité. Il doit également prendre des décisions sur les moyens du traitement. Inversement, la partie agissant en tant que sous-traitant ne peut jamais déterminer la finalité du traitement » (traduction libre).

Les faits établissant cette connaissance de la finalité et des moyens

37. la société FH…………….a été plus particulièrement chargée d’établir la liste des « parties prenantes » ( « stakeholders » ) dans le cadre de la campagne pour le renouvellement de l’autorisation du glyphosate en Europe.
38. ……………..Il apparaît ainsi que la société FH…………….était explicitement tenue d’établir la liste des parties prenantes dans le cadre de la campagne pour le renouvellement de l’autorisation du glyphosate en Europe.

39…………, il ressort de plusieurs échanges intervenus entre les deux sociétés par voie électronique que la société M…… a été étroitement associée à l’identification et au recensement des parties prenantes impliquées dans le débat sur le glyphosate, activité qui s’est notamment concrétisée par l’élaboration du fichier en question. ………………………..

Les pièces annexées au rapport de sanction attestent ainsi de l’implication de la société M…… dans le suivi des tâches réalisées par la société FH……………, et notamment l’organisation d’échanges quotidiens entre les équipes, de points hebdomadaires, mensuels et trimestriels permettant à la société M…… de suivre l’avancée des tâches confiées à FH…………….et la livraison du travail réalisé ou en cours de réalisation.

40. La formation restreinte considère que ces échanges démontrent que la société FH…………….rendait compte à la société M…… de la progression de la campagne liée au renouvellement du glyphosate et des actions menées dans ce cadre, et surtout que cette dernière exerçait un pouvoir de direction sur les activités de la société FH……………., la privant ainsi de l’autonomie dont jouit normalement un responsable de traitement. Ces éléments démontrent que la société FH…………….a agi en tant que sous-traitant de la société M……, au sens de l’article 4(8) du RGPD.
41. La formation restreinte souligne au contraire que c’est le fait pour la société M……, société donneuse d’ordre, de décider d’accepter la proposition faite par la société FH…………., et de lui demander contractuellement de réaliser des opérations pour son compte en tant que prestataire, qui a permis au traitement d’exister. En effet, si la société M…… avait refusé cette proposition, la société FH…………….n’aurait pas mis en œuvre ce traitement. …..
    

Répondre à des demandes de droit d’accès n’emporte pas la qualité de responsable du traitement

44. En dernier lieu, la formation restreinte considère que le fait pour la société FH…………….d’avoir répondu à des demandes de droits d’accès n’emporte pas pour autant la qualification de responsable de traitement. En effet, l’article 28-3-e du RGPD prévoit que le sous-traitant « aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits » . Ainsi, au regard des spécificités du traitement, le sous-traitant peut répondre lui-même aux demandes des personnes si cette mesure permet un meilleur respect des droits des personnes. Il est d’ailleurs courant que ce soit le sous-traitant qui soit le plus à même de traiter les demandes d’exercice de droit.

La formation restreinte de la CNIL considère donc, compte tenu de ces éléments, que la société M…… doit être qualifiée de responsable de traitement.

La CNIL condamne la société  M…… en sa qualité de responsable du traitement à une amende de 400 000 €.

Une clarification favorable au responsable du traitement

IA, c’est qui le responsable du traitement et du respect des autres dispositions du RGPD ?

Qui a condamné WhatsApp à 225 millions d’euros d’amende en 2021 ?

Données personnelles. Leurs collectes et conservations de manière généralisée et indifférenciée, les précisions apportées par la Cour de Justice le 5 avril 2022.

Données personnelles : à propos des réquisitions des données de connexion et autres données informatique portant sur des données nominatives.

Données personnelles : l’identification des dirigeants d’entreprises dans les annuaires professionnels est-elle soumise au RGPD ?

Données personnelles de connexion : un contrôle préalable par une juridiction ou une autorité indépendante à l’accès par les agents de l’HADOPI  

Sanction contre l’éditeur du site pour des cookies déposés pas des sociétés tierces

Amende de 1 750 000 € fixée par la CNIL

Consentement personnel : le plan d’action et la période d’adaptation de la CNIL validés

L’article CNIL : les critères de détermination du responsable de traitement, une question à 400 000 € est apparu en premier sur Philippe Schmitt Avocats.