Où puis-je trouver un DPD accrédité ?
Quel est le rôle du DPD reconnu dans le cadre du GDPR ?
Un DPD reconnu s’occupe de toutes vos données personnelles.
- Le responsable du traitement et le sous-traitant désignent un délégué à la protection des données dans chaque cas où :
(a) le traitement est effectué par une autorité publique ou un organisme public, sauf dans le cas des tribunaux dans l’exercice de leurs fonctions judiciaires ;
(b) un responsable du traitement ou un sous-traitant est principalement chargé des traitements qui, du fait de leur nature, de leur portée et/ou de leurs finalités, nécessitent une observation régulière et systématique d’un grand nombre de personnes concernées ;
(c) le responsable du traitement ou le sous-traitant est principalement chargé du traitement à grande échelle de catégories particulières de données en vertu de l’article 9 et de données à caractère personnel relatives aux condamnations pénales et aux infractions visées à l’article 10.
2. Un groupe d’entreprises peut désigner un seul délégué à la protection des données ou DPD, à condition que le DPD reconnu puisse être facilement contacté depuis chaque succursale.
3. Lorsque le responsable du traitement ou le sous-traitant est une autorité publique ou un organisme public, un seul délégué à la protection des données peut être désigné pour plusieurs de ces autorités ou organismes, en tenant compte de leur structure organisationnelle et de leur taille.
4. Dans les autres cas, le responsable du traitement ou le sous-traitant ou les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent ou, si le droit de l’Union ou des États membres l’exige, désignent un délégué à la protection des données. Le DPD habilité peut agir pour le compte de ces associations et d’autres organismes représentant des catégories de responsables du traitement ou de sous-traitants.
5. Le DPD est nommé sur la base de ses qualités professionnelles et en particulier de son expertise en matière de droit et de pratique de la protection des données et de sa capacité à exécuter les tâches visées à l’article 39.
6. Le DPD peut être un membre du personnel du responsable du traitement ou du sous-traitant ou peut exécuter les tâches dans le cadre d’un contrat de service.
7. Le responsable du traitement ou le sous-traitant publie les coordonnées du délégué à la protection des données et les communique à l’autorité de contrôle.
Mon entreprise a-t-elle besoin d’un délégué à la protection des données (DPD) ?
L’opportunité d’engager un DPD dépend de plusieurs facteurs. Trois types d’entreprises sont tenus d’engager un DPD :
- Toutes les organisations du secteur public (à l’exception des organes judiciaires), telles que les organisations gouvernementales.
- les entreprises qui nécessitent une “observation régulière et systématique” du traitement des données, par exemple en raison de la “nature, de la portée ou des finalités” du traitement ;
- les entreprises qui traitent des données à caractère personnel appartenant à une “catégorie particulière”, telles que des informations sur la race, les opinions politiques, la religion, les données biométriques, la santé, l’orientation sexuelle ou les condamnations pénales.
Il est également important de noter qu’en vertu d’une précédente proposition du GDPR, un DPD ne pouvait être obligatoire que pour les entreprises de plus de 250 employés. Toutefois, cette condition ne figure pas dans la version finale, de sorte que la taille de l’entreprise n’a plus d’importance.
En outre, ce que la législation entend par “nature, portée ou objectifs” n’est pas concrètement clarifié. Il s’agit peut-être de big data, mais il n’y a pas de description précise.
Position du DPD dans la législation GDPR ?
1. Le responsable du traitement et le sous-traitant veillent à ce que le DPD soit associé de manière appropriée et en temps utile à toutes les questions relatives à la protection des données à caractère personnel.
2. Le responsable du traitement et le sous-traitant soutiennent le délégué à la protection des données dans l’exécution des missions visées à l’article 39 en lui donnant accès aux données à caractère personnel et aux opérations de traitement et en lui fournissant les ressources nécessaires à l’exécution de ces missions et au maintien de son expertise.
3. Le responsable du traitement et le sous-traitant veillent à ce que le DPD ne reçoive pas d’instructions relatives à l’exercice de ces fonctions. Il ne peut être licencié ou sanctionné par le responsable du traitement ou le sous-traitant en raison de l’exercice de ses fonctions. Le délégué à la protection des données rend compte directement au cadre supérieur du responsable du traitement ou du sous-traitant.
4. Les personnes concernées peuvent contacter le DPD pour toute question relative au traitement de leurs données et à l’exercice des droits que leur confère le présent règlement.
5. Le DPD est tenu au secret ou à la confidentialité dans l’exercice de ses fonctions conformément au droit de l’Union ou des États membres.
6. Le délégué à la protection des données ou le DPD peut accomplir d’autres tâches et fonctions. Le responsable du traitement ou le sous-traitant veille à ce que ces tâches ou fonctions ne conduisent pas à un conflit d’intérêts.
Où puis-je trouver un DPD ?
Le DPD ne doit pas nécessairement être un employé permanent ; vous pouvez également opter pour un consultant. En outre, un employé en poste peut également assumer le rôle de DPD, pour autant que ses autres fonctions n’entrent pas en conflit avec son travail de DPD. Ces deux options permettent de réduire les coûts et facilitent la recherche d’un DPD adéquat.
En outre, le GDPR ne décrit pas les spécifications qui s’appliquent à un DPD. Il n’est pas fait mention d’un diplôme ou d’un certificat spécifique, mais d’une “expertise en matière de droit et de pratique de la protection des données”. Avec cette définition large, la voie est ouverte aux effectifs existants, tels que les consultants juridiques ou les responsables de la protection de la vie privée, pour occuper le poste de DPD.
En d’autres termes, si votre organisation traite des données à grande échelle, il est probable que vous devrez rechercher un DPD.
