Chaque État membre a au moins une autorité de contrôle (article 51, paragraphe 1), chacune compétente sur le territoire de son propre État (article 55, paragraphe 1), et une entreprise de logiciels avec des clients dans toute l'Union pourrait en principe répondre devant toutes. La réponse du règlement est l'autorité de contrôle chef de file : pour le traitement transfrontalier, l'autorité de l'établissement principal ou de l'établissement unique de l'entreprise est chef de file, et elle est son interlocuteur unique (article 56, paragraphes 1 et 6). Cet article lit les quatre articles qui décident quelle autorité c'est, et le registre que StandardOS tient des autorités elles-mêmes, désormais sur la page du délai de violation et sur chaque page d'État membre.

Le traitement transfrontalier : quand la question se pose

La règle de l'autorité chef de file s'applique au traitement transfrontalier, que l'article 4, point 23, définit de deux façons : un traitement dans le cadre des activités d'établissements dans plus d'un État membre, ou un traitement dans le cadre d'un établissement unique qui affecte sensiblement, ou est susceptible d'affecter sensiblement, des personnes concernées dans plus d'un État membre. Une entreprise SaaS avec un seul bureau et des clients dans six pays relève de la seconde branche : un établissement, des personnes affectées dans plusieurs États. Une entreprise avec un bureau commercial dans un second État relève de la première. Dans les deux cas, il y a traitement transfrontalier et l'article 56 s'applique. Une entreprise qui ne traite que les données de son propre personnel dans un seul État n'en a pas, et l'autorité de son propre État est compétente au titre de l'article 55, paragraphe 1, sans aucune question d'autorité chef de file.

L'établissement principal : là où les décisions sont prises

L'article 4, point 16, définit l'établissement principal différemment pour les deux rôles. Pour un responsable du traitement avec des établissements dans plus d'un État, c'est le lieu de son administration centrale dans l'Union, à moins que les décisions sur les finalités et les moyens du traitement ne soient prises dans un autre établissement qui a le pouvoir de les faire appliquer, auquel cas cet établissement est l'établissement principal. Pour un sous-traitant, c'est le lieu de son administration centrale dans l'Union ou, s'il n'en a pas, l'établissement où les activités de traitement principales ont lieu. Le considérant 36 ajoute le critère : l'exercice effectif et réel d'activités de gestion déterminant les décisions principales sur les finalités et les moyens, dans le cadre d'un dispositif stable ; la présence de serveurs ou de moyens techniques dans un État n'en fait pas un établissement principal. Une entreprise de logiciels dont le siège est dans un État, le centre de données dans un deuxième et les développeurs dans un troisième a donc son établissement principal là où sa direction décide ce qui est traité et pourquoi, et les autorités du deuxième et du troisième État sont des autorités de contrôle concernées (article 4, point 22), pas l'autorité chef de file. Quand une entreprise est à la fois responsable du traitement et sous-traitant, le considérant 36 laisse le rôle de chef de file à l'autorité de l'État où le responsable a son établissement principal.

L'autorité chef de file, et les trois manières dont une autre garde un cas

L'article 56, paragraphe 1, fait de l'autorité de l'établissement principal l'autorité de contrôle chef de file pour le traitement transfrontalier, selon la procédure de coopération de l'article 60 avec chaque autorité concernée. L'article 56, paragraphe 6, en fait l'interlocuteur unique du responsable du traitement ou du sous-traitant pour ce traitement : une autorité à notifier, une qui répond, une qui rédige la décision. L'article 56, paragraphe 2, est la dérogation : toute autorité est compétente pour traiter une réclamation introduite auprès d'elle, ou une violation éventuelle, si l'objet ne concerne qu'un établissement dans son État ou n'affecte sensiblement des personnes concernées que dans son État, le cas local du considérant 127, dont l'exemple est le traitement des données des employés dans le contexte de l'emploi d'un État. Elle informe l'autorité chef de file sans tarder, et celle-ci a trois semaines pour décider si elle prend le cas (article 56, paragraphe 3) ; si oui, l'autorité locale peut lui soumettre un projet de décision dont elle doit tenir le plus grand compte (56, paragraphe 4), et si non, l'autorité locale le traite selon les articles 61 et 62 (56, paragraphe 5). L'article 55, paragraphe 2, sort entièrement du mécanisme les autorités publiques et les organismes agissant sur la base de l'article 6, paragraphe 1, point c) ou e) : pour eux l'autorité de l'État concerné est compétente et l'article 56 ne s'applique pas.

Pas d'établissement dans l'Union : pas d'autorité chef de file

Une entreprise hors de l'Union qui offre des biens ou des services à des personnes qui s'y trouvent, ou qui suit leur comportement, relève du règlement par l'article 3, paragraphe 2, et doit désigner un représentant dans l'Union au titre de l'article 27, paragraphe 1, dans un État où se trouvent les personnes dont elle traite les données (27, paragraphe 3). Le représentant ne crée pas d'établissement principal, et le guichet unique de l'article 56 ne s'applique pas : le considérant 122 rend chaque autorité compétente pour le traitement effectué par un responsable ou un sous-traitant non établi dans l'Union lorsqu'il cible des personnes concernées résidant sur son territoire. Une telle entreprise peut donc répondre devant chaque autorité dont elle cible les résidents, et sa notification de violation va à chacune d'elles. La détermination gratuite dit lesquelles des obligations, le représentant et les autres, s'appliquent à une entreprise donnée.

À qui va la notification de violation

L'article 33, paragraphe 1, impose au responsable du traitement de notifier la violation de données à caractère personnel à l'autorité de contrôle compétente conformément à l'article 55, dans les 72 heures après en avoir pris connaissance. Pour un traitement transfrontalier, c'est l'autorité chef de file de l'article 56 ; pour une entreprise établie dans un seul État, sa propre autorité ; pour une entreprise sans établissement dans l'Union, l'autorité de chaque État dont les résidents sont affectés. Le registre que StandardOS tient est la liste des membres du Comité lui-même : 27 autorités pour les 27 États membres, et les autorités de l'Islande, du Liechtenstein et de la Norvège, membres pour les questions RGPD sans droit de vote, 30 lignes, chacune avec le nom que le Comité liste et le site qu'il liste en premier, lues le 12 septembre 2026. Le Comité note que la compétence est répartie entre plusieurs autorités dans deux États, l'Autriche et l'Allemagne, et renvoie à la liste que le Commissaire fédéral tient pour les Länder ; une entreprise établie en Allemagne y cherche son autorité par Land. Choisissez l'État de l'établissement principal sur la page du délai de violation : la lecture nomme l'autorité avec son adresse, et la notification rédigée selon l'article 33, paragraphe 3, la porte sous un titre qui lui est propre.

Quoi en faire

Le registre des traitements demande déjà où l'entreprise est établie ; ajoutez-lui une ligne qui nomme l'établissement principal et la raison, le lieu de l'administration centrale ou l'établissement qui prend les décisions, et l'autorité chef de file qui en découle. C'est cette ligne que les clauses de sous-traitance envoyées par un client demanderont, à qui l'analyse d'impact s'adresse au titre de l'article 36 quand une consultation est nécessaire, et que la procédure de violation nomme comme destinataire avant que quiconque ne soit sous le délai. StandardOS l'écrit à partir de l'État du registre et ouvre le délai de 72 heures avec l'autorité déjà nommée.