RGPD – Délégué à la protection des données

Le Règlement Général sur la Protection des Données (RGPD) a établi le concept de Délégué à la Protection des Données (DPD) en Europe. Contrairement à la croyance populaire, décisif pour l’obligation légale de nommer un Délégué à la Protection des Données n’est pas la taille de l’entreprise mais les activités de traitement principales qui sont définies comme celles essentielles à la réalisation des objectifs de l’entreprise. Si ces activités principales consistent en un traitement de données personnelles sensibles à grande échelle ou une forme de traitement de données qui a une portée particulièrement importante pour les droits des personnes concernées, l’entreprise doit nommer un DPD. Les organismes publics, en revanche, doivent toujours nommer un DPD, à l’exception des tribunaux agissant dans leur capacité judiciaire. En outre, la norme légale pour nommer un Délégué à la Protection des Données comporte une clause de flexibilité pour les États membres. Ceux-ci sont libres de décider si une entreprise doit nommer un Délégué à la Protection des Données sous des exigences plus strictes (par exemple, l’article 38 de la Loi Fédérale allemande sur la Protection des Données). Si une telle obligation existe en vertu du Règlement Général sur la Protection des Données ou d’une loi nationale plus spécifique, un groupe d’entreprises peut également nommer un seul Délégué à la Protection des Données. Si le groupe décide de le faire, il doit être facilement accessible aux autorités de contrôle, aux employés et aux personnes concernées externes. Si aucune obligation légale n’existe, les entreprises peuvent nommer un DPD sur une base volontaire pour aider à la conformité en matière de protection des données (ce qui est par exemple recommandé par l’autorité française de protection des données CNIL).

Les groupes et les entreprises ont deux possibilités pour satisfaire à leur obligation de nommer un Délégué à la Protection des Données. Soit ils désignent un employé comme Délégué à la Protection des Données interne, soit ils nomment un Délégué à la Protection des Données externe. Lors du choix de cette personne, ils doivent veiller à ce qu’un Délégué à la Protection des Données interne ne soit pas en conflit d’intérêts en raison de son travail au sein du Département informatique, du Département des ressources humaines ou de la direction, où il devrait se superviser lui-même. Quelle que soit l’option choisie, un Délégué à la Protection des Données doit posséder des connaissances professionnelles expertes en droit de la protection des données et en sécurité informatique, l’étendue dépendant de la complexité du traitement des données et de la taille de l’entreprise.

Les obligations d’un Délégué à la Protection des Données incluent : Travailler à la conformité avec toutes les lois pertinentes sur la protection des données, surveiller des processus spécifiques, tels que les analyses d’impact sur la protection des données ou la sensibilisation et la formation des employés à la protection des données, ainsi que collaborer avec les autorités de contrôle. Par conséquent, l’employé agissant en tant que Délégué à la Protection des Données ne doit pas être licencié ou pénalisé en raison de l’accomplissement de ses tâches. Malgré sa fonction de surveillance, l’entreprise elle-même reste responsable de se conformer aux lois sur la protection des données. Elle doit donc impliquer le Délégué à la Protection des Données dans toutes les questions liées à la protection des données personnelles « de manière appropriée et en temps opportun ». Lorsqu’un Délégué à la Protection des Données est nommé, son supérieur doit publier ses coordonnées et communiquer sa nomination et ses coordonnées aux autorités de contrôle de la protection des données. Si une entreprise a nommé volontairement un Délégué à la Protection des Données, elle doit également respecter les critères et dispositions susmentionnés. Notez également que l’absence volontaire ou négligente de désignation d’un Délégué à la Protection des Données malgré une obligation légale constitue une infraction passible d’amendes.