Blog

Le Règlement général sur la protection des données (RGPD) est applicable dès aujourd’hui 25 mai 2018. S’il concerne principalement l’Union Européenne (UE), il a aussi des effets extraterritoriaux et sera applicable à certaines entreprises en Suisse. A l’heure où la révision de la Loi suisse sur la protection des données (LPD) s’enlise, même les entreprises qui ne sont pas dans le champ d’application du RGPD ont tendance à s’en inspirer à titre de bonnes pratiques. Les entreprises suisses avec une présence dans l’UE Le RGPD s’applique d’abord aux organisations établies dans l’UE et qui traitent des données dans le cadre des activités de leur établissement, indépendamment du fait que le traitement des données ait effectivement lieu ou non dans l’UE, de la nationalité ou de la résidence des personnes concernées. Conformément à la jurisprudence rendue sous l’égide de la Directive 95/46/CE et du Traité sur le fonctionnement de l’UE , il faut retenir une conception souple de la notion d’établissement, qui écarte toute approche formaliste selon laquelle une entreprise ne serait établie que dans le lieu où elle est enregistrée. Un établissement requiert un dispositif stable, mais sa forme juridique n’est pas déterminante. Il peut par exemple s’agir d’une succursale ou d’une filiale ayant la personnalité juridique. Un rattachement purement technique, comme des serveurs ou des boîtes aux lettres ne suffit pas. Il faut au contraire que soient disponibles en permanence des moyens humains et techniques nécessaires à la fourniture de services particuliers. Un bureau de vente ou un seul représentant peut remplir cette condition. L’établissement suppose encore l’exercice effectif et réel d’une activité, même minime. L’établissement doit finalement traiter des données personnelles dans le cadre de ses activités, ce qui n’implique pas pour autant qu’il traite lui-même les données. La CJUE a d’ailleurs déjà retenu que la présence en ...