Délégué à la protection des données

Les principales missions du Délégué à la protection des données sont prévues par les dispositions de l'article 39 du RGPD[3]. Elles consistent à (i) informer et conseiller son organisation sur les obligations lui incombant en vertu des réglementations sur la protection des données personnelles, à (ii) contrôler le bon respect par son organisation des réglementations sur la protection des données personnelles, à (iii) dispenser des conseils en ce qui concerne la réalisation d'analyse d'impact relative à la protection des données[4], à (iv) coopérer avec l'autorité de contrôle, comme la CNIL en France, ainsi qu'à (v) faire office de point de contact entre son organisation et l'autorité de contrôle sur des questions relatives aux traitements de données personnelles mis en œuvre par son organisation.

La désignation d'un Délégué à la protection des données est parfois obligatoire. Le Délégué peut être membre de l'organisation qu'il conseille, ou travailler en tant que consultant extérieur. Il peut aussi être mutualisé, lorsqu'un même Délégué est désigné par plusieurs structures. Dans tous les cas, le Délégué doit être doté des moyens pour réaliser sa mission et pouvoir agir de façon indépendante.

Les professionnels de la protection des données personnelles sont actuellement désignés sous les appellations de Beauftragter für Datenschutz en Allemagne, Personuppgiftsombude en Suède, Functionaris voor de gegevensbescherming aux Pays-Bas, Personas datu aizsardzības speciālista en Lituanie, Isikuandmete kaitse eest vastutav isik en Estonie, Chargé de la protection des données au Luxembourg, Préposé à la protection des données en Belgique, Datenschutzberater/responsabile della protezione dei dati en Suisse, Rapprezentant ta’data personali à Malte, Belső adatvédelmi fele lős en Hongrie, Dohľad nad ochranou osobných údajov en Slovaquie et Responsable de seguridad en Espagne[5].

Les Délégués à la protection des données sont désignés formellement et officiellement auprès de la Commission nationale de l'informatique et des libertés (CNIL). Leurs coordonnées sont rendues publiques sur la plateforme data.gouv.fr[6].

Le rapport annuel de la CNIL pour l'année 2015[7] indique que 4 321 Correspondants Informatique et Libertés ont été désignés auprès de la Commission par 16 406 responsables de traitement, privés ou publics. Dans son rapport annuel pour 2018 « La CNIL en bref »[8] la CNIL indique que 39 500 organismes ont désigné un Délégué, ce qui représente 16 000 Délégués à la protection des données. Ce nombre devrait dépasser les 21 000 à la fin de l'année 2019.

Dans le cadre du basculement sur les nouvelles règles l’Association française des correspondants à la protection des données à caractère personnel (AFCDP), association qui regroupe en France les professionnels de la conformité Informatique et Libertés et de la protection des données personnelles, avait demandé que soit ménagée une « clause de grand-père » qui aurait permis aux « Correspondants Informatique et Libertés » (CIL) qui le souhaitaient et qui répondaient aux nouvelles exigences d’être confirmés dans leur fonction en tant que DPO, ceci pour exploiter les travaux déjà réalisés et pour assurer la diffusion la plus large possible de l’esprit de la loi. Le Secrétaire général de la CNIL, en janvier 2017, déclarait d’ailleurs publiquement lors d’une conférence qui réunissait quatre cents CIL : « Nous avons tout intérêt à ce que la plupart d’entre vous soient confirmés en tant que DPO ».

Avant le règlement européen, désigner un correspondant informatique n’était pas une obligation légale. Avec le règlement européen la désignation peut se faire sous une forme non écrite. L’entrepreneur nomme le Délégué à la protection de données conformément au règlement et s’engage à informer immédiatement l’autorité de contrôle et à publier les coordonnées du représentant. Alternativement, les entrepreneurs peuvent opter pour un Délégué à la protection des données d’entreprise, à condition qu’il soit facilement joignable depuis n’importe quelle succursale. Cette option est particulièrement avantageuse pour les entreprises à l’échelle de l’UE disposant de plusieurs bureaux, car elle élimine la nécessité d’avoir plusieurs interlocuteurs, ce qui garantit une plus grande transparence et une plus grande sécurité dans le traitement et la gestion des données.

Une affectation externe n'est pas forcément nécessaire s'il existe un DPO interne possédant les qualifications appropriées. La méthode qui convient le mieux dépend de la forme et de la taille de l'entreprise ainsi que de la charge de travail du DPO.

La désignation d’une personne chargée de la conformité à la loi informatique et libertés et aux futures dispositions du règlement général sur la protection des données présente donc plusieurs bénéfices :

• Un renforcement de la sécurité juridique : la désignation d’un DPO permet d’identifier un référent sur les questions de protection des données personnelles et s’intègre dans les nouvelles pratiques de gouvernance en termes de mise en conformité. Il en découle une réduction des risques de contentieux contractuel, administratif et judiciaire.
• Un renforcement de la sécurité informatique : le DPO conseille l’organisme sur les nouvelles manières d’exploiter les données. Il permet d’éviter les erreurs stratégiques lors du lancement de nouveaux services ou produits, et optimiser en conséquence les investissements, la politique d’archivage et d’externalisation, les procédures internes relatives à la sécurité de l’information.
• Un vecteur de confiance avec les parties prenantes : la mise en place d’un délégué à la protection des données en 2018, est de nature à rassurer les personnes extérieures à l’organisme (clients, citoyens, fournisseurs, étudiants, partenaires potentiels, etc.) et le personnel interne sur les garanties prises pour une collecte et un traitement responsable des données personnelles.

C'est également la preuve d’un engagement éthique et citoyen et un outil de valorisation du patrimoine informationnel.

Le Délégué à la protection des données étant une évolution du détaché à la protection des données à caractère personnel de la directive 95/46/CE, de nombreuses caractéristiques sont conservées, comme son indépendance, la possibilité de réaliser les missions en temps partiel, le fait qu’il doive rester à l’abri des conflits d’intérêt, son rattachement le plus direct possible au responsable de traitement ou à l’organe de décision, son rôle d’interface avec la CNIL, son absence de responsabilité personnelle. Il est probable également que le Délégué à la protection des données poursuive les tâches du CIL : élaboration des dossiers de formalités auprès de la CNIL pour les traitements non exonérés de formalisme, élaboration d’une politique de protection des données à caractère personnel, sensibilisation des personnels aux dispositions de la loi, élaboration et le contrôle de l’application de codes de conduite spécifique.

Les évolutions principales du délégué à la protection des données par rapport au correspondant informatique et libertés actuelles sont :

• De facultatif, le Délégué devient obligatoire dans plusieurs cas ;
• Les sous-traitants, s’ils répondent aux critères, seront également dans l’obligation d’en désigner un ;
• Les coordonnées du Délégué seront rendues publiques ;
• Les groupes d’entreprises auront plus de facilité pour désigner un Délégué à la protection des données qui leur sera commun ;
• Les responsables de traitement auront totale liberté pour désigner un Délégué externe à l’organisme, alors que cette possibilité n’était offerte qu’aux organismes dont moins de cinquante collaborateurs ont accès aux données (les DPO externes doivent souscrire à une Assurance responsabilité civile professionnelle).

D’autres évolutions ne sont pas explicitement citées dans le règlement mais découlent de ses dispositions. Ainsi, le Délégué à la protection des données :

• veille à ce que des analyses de risques et des études d’impact pour les personnes concernées soient réalisées et mises à jour régulièrement concernant les traitements les plus sensibles ;
• assure la nouvelle obligation d’Accountability prévue par le règlement général sur les données, qui nécessite d’apporter les preuves de la conformité, en produisant à l’autorité de contrôle, à la demande de cette dernière, des éléments de preuve (documentation, procédures et processus, plan de contrôle interne, recensement des risques, résultats d’audits et de mesures correctrices prises à leur suite, etc.) ;
• fait en sorte que l’organisme notifie à la CNIL quand cela est nécessaire les violations aux traitements de données à caractère personnel, voire communique envers les personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique.

Jusqu’à présent, une amende maximale de 50 000 euros a été infligée pour défaut intentionnel ou négligent de désigner un délégué à la protection des données. À partir du 25 mai 2018, l’amende augmentera à 2 % du chiffre d’affaires annuel global jusqu’à 10 millions d’euros. L’autorité de surveillance se réserve le droit d’imposer une amende plus élevée. Les délégués à la protection des données doivent démontrer des qualifications différentes et être prêts à s'adapter aux changements dans les technologies de l'information. La formation continue et l'expertise juridique sont essentielles. Les personnes qui ne font pas partie du conseil de surveillance ou de la direction de la société sont des délégués à la protection des données. Même si la combinaison est autorisée, cette constellation peut entraîner des biais et entraver le respect du règlement de base sur la protection des données.

Les agences d’évaluation du crédit et les sociétés de traitement des données doivent, avec l’entrée en vigueur des OVDS de l’UE, être soumises au contrôle d’un Délégué à la protection des données, garantissant ainsi l’intégrité et la compétence de leur gestion des données. Le non-respect de cette obligation entraînera des amendes importantes pour l’entreprise concernée.

Le RGPD apporte de nouvelles exigences relatives au licenciement et à la cessation d’emploi d’un Délégué à la protection des données pour les autorités publiques et organismes privés. Les DPO font l'objet d'une protection spéciale contre le licenciement, le devoir de confidentialité et le droit de refuser de témoigner.

• Le Data Protection Officer. Une nouvelle fonction dans l'entreprise, Bruxelles, éditions Bruylant, collection Minilex, 3e édition, 2020.
• Collectif, Correspondant Informatique et Libertés : bien plus qu'un métier, édition AFCDP, Paris, 2015, 574 p. (ISBN 978-2-9552430-0-8)
• Guillaume Desgens-Pasanau, Le Correspondant Informatique et Libertés, éditions Lexis Nexis, collection « Droit & Professionnels », 2013, 374 p. (ISBN 978-2711018864)