Quand et pourquoi avez-vous besoin d’un délégué à la protection des données ?

Le délégué à la protection des données (DPD), également appelé Data Protection Officer (DPO), est une figure clé dans la plupart des entreprises. Sa fonction principale est de veiller au respect du règlement européen sur la protection des données (RGPD) et des autres réglementations applicables, en minimisant les risques et en assurant la protection des informations relatives aux employés, aux clients et aux fournisseurs.

Bien que dans de nombreux cas elle ne soit pas obligatoire, la mise en place d’un DPD est une décision stratégique qui peut apporter tranquillité d’esprit et sécurité juridique à l’organisation. Dans cet article, nous examinerons le rôle du DPD, ses fonctions et les cas dans lesquels sa présence est indispensable.

Qu’est-ce qu’un délégué à la protection des données ?

Le délégué à la protection des données est le professionnel chargé de veiller à la bonne application de la réglementation sur la protection des données au sein d’une organisation. Cette fonction a été instaurée par le règlement européen sur la protection des données (RGPD) et la nomination d’un DPD doit être notifiée à l’Agence espagnole de la protection des données (AEPD) ou à l’autorité compétente de chaque pays de l’UE.

Dans quels cas le délégué à la protection des données est-il obligatoire ?

Le règlement européen sur la protection des données définit, dans son article 37, les cas dans lesquels une organisation est tenue de désigner un délégué à la protection des données. Cette obligation s’applique lorsque l’une ou plusieurs des situations suivantes se présentent :

• Lorsque le traitement est effectué par une autorité ou un organisme public, à l’exception des tribunaux agissant dans le cadre de l’exercice de leurs fonctions judiciaires.
• Lorsque les activités principales du responsable ou du sous-traitant sont des opérations de traitement qui, par leur nature, leur portée et/ou leur finalité, nécessitent un suivi régulier et systématique des personnes concernées à grande échelle.
• Lorsque les activités principales du responsable ou du sous-traitant consistent à traiter à grande échelle des catégories spéciales de données personnelles conformément à l’article 9 du règlement et de données relatives à des condamnations et infractions pénales visées à l’article 10.

Même si les termes susmentionnés peuvent sembler quelque peu ambigus, en pratique, la désignation d’un délégué à la protection des données est requise dans les entreprises de taille moyenne ou grande, en particulier celles qui traitent d’importants volumes de données de clients, d’employés ou de bases de données. De même, elle est obligatoire lorsque les informations traitées par une entreprise incluent des données sensibles, comme les données relatives à la santé, aux convictions politiques, à l’idéologie, à l’orientation sexuelle ou les données biométriques (empreintes digitales, reconnaissance faciale, etc.).

Par ailleurs, la désignation d’un délégué à la protection des données est également obligatoire dans le cas d’une entité ou entreprise relevant d’une des catégories définies dans les dispositions de l’article 34.1 de la loi organique espagnole 3/2018, du 5 décembre, relative à la protection des données.

Quelques exemples

• Les entités qui exploitent des réseaux et fournissent des services de communications électroniques conformément à leur législation spécifique, lorsqu’elles traitent habituellement et systématiquement des données personnelles à grande échelle.
• Les fournisseurs de services de la société de l’information qui élaborent des profils à grande échelle.
• Les entités d’assurance et de réassurance.
• Les entités qui exercent des activités de publicité et de prospection commerciale, y compris d’études commerciales et d’études de marché, comportant des opérations de traitement basées sur les préférences des personnes concernées, ou qui réalisent des activités incluant l’élaboration de profils.
• Les établissements de santé légalement tenus de conserver les dossiers cliniques de leurs patients (avec des exceptions, en fonction de leur taille ou selon que l’activité est exercée ou non à titre individuel).
• Les opérateurs qui exercent des activités de jeu en ligne ou interactif, conformément à la réglementation sur le jeu.
• Les entreprises de sécurité privée.
• Les fédérations sportives lorsqu’elles traitent des données relatives à des mineurs.

Comme indiqué précédemment, il faut savoir que même si dans certains cas la désignation d’un délégué à la protection des données n’est pas obligatoire, l’entreprise peut juger utile d’y recourir. Cela peut concerner notamment de nombreuses multinationales ou moyennes entreprises d’une certaine envergure qui traitent une grande quantité de données relatives à leurs employés ou clients, qui doivent signer de manière récurrente des contrats comprenant des clauses de protection des données ou qui gèrent un service client relativement volumineux. Par ailleurs, cela peut également s’avérer pertinent lorsque les opérations de traitement automatisé sont au cœur de l’activité d’une entreprise (par exemple, les entreprises qui développent et déploient des logiciels, qui utilisent des technologies disruptives comme l’IA, le Big Data, etc.).

Quelles sont les fonctions du délégué à la protection des données ?

Le délégué à la protection des données joue un rôle clé dans l’entreprise. Ses principales fonctions sont les suivantes :

• Garantir le respect du RGPD, grâce à l’analyse et à l’examen périodique du niveau de conformité et des mesures prises par l’entreprise en lien avec les opérations de traitement des données effectuées.
• Informer et conseiller tant le responsable du traitement que les sous-traitants et les employés eux-mêmes sur leurs obligations en matière de protection des données.
• Superviser et conseiller sur la conformité à la réglementation, y compris en ce qui concerne l’attribution de responsabilités, la sensibilisation et la formation du personnel.
• Coopérer avec l’autorité de contrôle, en servant de point de contact pour les questions relatives au traitement des données personnelles au sein de l’entité.
• Recommander la réalisation d’évaluations d’impact sur la vie privée, d’études d’impact préalables au lancement d’un projet ou à une opération de traitement, et apporter son soutien à la réalisation de l’analyse de légitimité préalable à une opération de traitement des données.
• Apporter son soutien dans la gestion des réclamations et l’exercice des droits.

Par expérience, nous pouvons dire que le délégué à la protection des données est un allié transversal qui apporte son soutien à de nombreux départements de l’entreprise, en les conseillant sur les bonnes pratiques et les mesures à mettre en œuvre pour garantir la conformité à la réglementation. Il constitue notamment une figure clé pour les départements des ressources humaines, de la communication, de l’administration, de l’informatique ou des systèmes de l’entreprise.

Qui peut être délégué à la protection des données ?

Le règlement européen sur la protection des données n’impose pas de diplômes spécifiques pour le délégué à la protection des données, mais stipule que celui-ci doit posséder des connaissances spécialisées en droit et en protection des données. La fonction de délégué à la protection des données peut être assurée par :

• Un employé de l’entreprise.
• Un professionnel externe engagé pour fournir ce service.

Dans les deux cas, le DPD doit agir en toute indépendance et ne doit pas recevoir d’instructions sur la manière d’exercer ses fonctions.

Comment pouvons-nous vous aider en matière de protection des données ?

Notre équipe de professionnels du département de TMT & IP propose un service personnalisé, qui s’adapte précisément aux besoins spécifiques des entreprises. Forts de plus de 17 ans d’expérience dans ce domaine, nous conseillons toutes les entreprises qui ont besoin de ce type de service.

Dans certains cas, les entreprises ont besoin non d’un délégué à la protection des données à proprement parler, mais plutôt d’un consultant ou d’un avocat pour les accompagner dans le cadre de cette mise en conformité réglementaire si pointue et spécialisée.

Chez AGM Abogados, nous considérons que les informations personnelles constituent un atout majeur pour les entreprises, qu’il s’agisse des données de leurs employés ou de leurs clients. Il est donc essentiel de les traiter avec respect et rigueur pour assurer le bon fonctionnement de l’activité.

Pour toute question concernant la réglementation ou si vous avez besoin de conseils spécialisés, consultez notre service de protection des données ou contactez-nous.