Article considérant 33

(33) Les principes ne traitent pas spécifiquement de la question des décisions relatives à la personne concernée reposant uniquement sur le traitement automatisé de données à caractère personnel. Cependant, pour ce qui est des données à caractère personnel qui ont été collectées dans l’Union, toute décision fondée sur un traitement automatisé sera généralement prise par le responsable du traitement de l’Union (qui est en relation directe avec la personne concernée) et relève par conséquent directement du règlement (UE) 2016/679. Cela inclut les cas de transfert dans lesquels le traitement est effectué par un opérateur économique étranger (américain, par exemple) en tant qu’agent (sous-traitant) agissant au nom du responsable du traitement de l’Union (ou en tant que sous-traitant ultérieur agissant au nom du sous-traitant de l’Union ayant obtenu les données auprès d’un responsable du traitement de l’Union qui les a collectées) qui prend ensuite la décision sur cette base.