Si votre entreprise n'est établie qu'aux Pays-Bas et qu'une fuite de données affecte des personnes concernées néerlandaises, signalez-le comme vous en avez l'habitude : à la Autoriteit Persoonsgegevens. Si votre entreprise a également un établissement dans un autre pays de l'UE, ou si la fuite affecte des personnes concernées dans plusieurs États membres, le RGPD prévoit un mécanisme distinct : le principe du guichet unique. Dans ce cas, le règlement désigne une autorité de contrôle qui coordonne l'affaire, même si plusieurs pays sont impliqués.
Cette autorité de contrôle unique et coordonnée s'appelle l'autorité de contrôle chef de file. Elle est en principe l'autorité de contrôle du pays où se situe votre établissement principal : le lieu où les décisions essentielles concernant les finalités et les moyens du traitement sont prises. Le délai de 72 heures pour signaler ne change pas, même si plusieurs pays sont impliqués — ce délai est fixé dans le RGPD lui-même et s'applique dans toute l'UE.
Quand une fuite de données est-elle transfrontalière
Une fuite de données est transfrontalière dès lors que le traitement auquel se rapporte la fuite a lieu dans le cadre des activités d'établissements situés dans plus d'un État membre, ou lorsque la fuite affecte les personnes concernées dans plusieurs États membres de manière considérable. Ce dernier cas n'est pas la même chose que « nous avons aussi des clients à l'étranger » : il s'agit de savoir si le traitement lui-même est organisé de manière transfrontalière, par exemple parce qu'un établissement dans un autre pays participe aux décisions sur la manière de traiter les données. Une boutique en ligne qui vend depuis les Pays-Bas à des clients en Allemagne sans avoir d'établissement allemand n'entre généralement pas dans ce cas.
Le principe du guichet unique en pratique
L'idée derrière le principe du guichet unique est qu'une entreprise ayant des établissements dans plusieurs États membres n'a pas besoin de traiter avec chaque autorité de contrôle nationale séparément. L'autorité de contrôle chef de file prend l'initiative, se concerte avec les autorités de contrôle des autres pays concernés, et rend une seule décision au lieu de plusieurs décisions qui pourraient être contradictoires. Pour votre entreprise, cela signifie surtout que vous savez à qui vous adresser : l'autorité de contrôle de votre établissement principal, et non celle de chaque pays où vivent des personnes concernées.
L'EDPB a publié des lignes directrices sur la façon dont un établissement principal est déterminé et sur la façon dont les autorités de contrôle coopèrent entre elles. Ces lignes directrices s'appliquent dès lors que votre entreprise est vraiment active dans plusieurs pays avec ses propres établissements, pas du simple fait que vous ayez des clients internationaux.
Ce qui reste identique, où se situe la différence
Le cœur de l'obligation de signalement — quand une fuite doit être signalée, le délai de 72 heures, et la question de savoir si les personnes concernées doivent être informées elles-mêmes — figure dans le RGPD et s'applique de la même manière dans chaque État membre. Ce qui peut en revanche différer, c'est d'ordre pratique : le portail de signalement de chaque autorité de contrôle nationale fonctionne de manière légèrement différente, certains pays utilisent leur propre langue pour le signalement, et la façon dont une autorité de contrôle chef de file est déterminée nécessite parfois une enquête plus approfondie lorsqu'il n'est pas immédiatement clair quel établissement est l'établissement principal. Ce dernier point est l'un des sujets sur lesquels les États membres de l'UE peuvent différer dans la pratique de mise en œuvre, même si la norme sous-jacente est la même.
Pour une petite ou moyenne entreprise sans établissement à l'étranger
La plupart des petites et moyennes entreprises et des travailleurs indépendants n'ont pas de succursale à l'étranger, même s'ils ont des clients ou des fournisseurs au-delà des frontières. Dans ce cas, peu de choses changent en pratique : vous signalez une violation de données simplement à l'Autorité de protection des données, de la même manière et dans le même délai que pour une violation qui ne concerne que des personnes concernées néerlandaises. Si vous doutez que votre situation ait malgré tout un caractère transfrontalier, par exemple parce que vous avez une filiale dans un autre État membre de l'UE qui participe à la décision sur le traitement, c'est une question que vous discuteriez mieux avec un juriste ou directement avec l'Autorité de protection des données. Avec l'arbre de décision en quelques questions, voyez si quelque chose est une violation de données à signaler vous obtenez déjà une première indication, même si vous ne savez pas encore s'il y a un aspect transfrontalier.
Pour voir comment une telle notification se rapporte à votre registre des activités de traitement et aux accords avec les fournisseurs, il est utile de regarder au-delà de l'obligation de notification seule. La base de connaissances avec explications par sujet rassemble les obligations disparates, et une explication sur d'où provient l'information montre quelles sources sont derrière chaque réponse, y compris les lignes directrices du CEPD.
Vous avez des questions sur votre propre situation, par exemple parce que vous doutez si votre succursale à l'étranger compte comme établissement principal ? Faites alors le scan rapide gratuit ou parcourez le questions fréquemment posées sur les violations de données et l'obligation de notification pour voir quelle question se rapproche le plus de votre situation. Pour un avis définitif sur votre propre cas, un juriste ou l'Autorité de protection des données reste le point de contact approprié.