Source: https://gdpr-expert.com/article.html?mid=2&id=38
Timestamp: 2019-09-19 14:40:51+00:00

Document:
GDPR.expert, l'outil d'analyse du nouveau règlement européen, développé par le cabinet d'avocats Ulys Article 38 : Fonction du délégué à la protection des données - GDPR.expert
Fonction du délégué à la protection des données
Afficher les articles et mots clés liés à l’article 38 du Règlement keyboard_arrow_down Cacher les articles et mots clés liés à l’article 38 keyboard_arrow_up
Articles liés à l'article 38
Mots clés liés à l'article 38
Afficher les considérants du Règlement liés à l'article 38 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 38 keyboard_arrow_up
(97) Lorsque le traitement est réalisé par une autorité publique, à l'exception des juridictions ou des autorités judiciaires indépendantes agissant dans l'exercice de leur fonction juridictionnelle, lorsque, dans le secteur privé, il est effectué par un responsable du traitement dont les activités de base consistent en opérations de traitement exigeant un suivi régulier et systématique à grande échelle des personnes concernées, ou lorsque les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données à caractère personnel et de données relatives à des condamnations pénales et à des infractions, une personne possédant des connaissances spécialisées de la législation et des pratiques en matière de protection des données devrait aider le responsable du traitement ou le sous-traitant à vérifier le respect, au niveau interne, du présent règlement. Dans le secteur privé, les activités de base d'un responsable du traitement ont trait à ses activités principales et ne concernent pas le traitement des données à caractère personnel en tant qu'activité auxiliaire. Le niveau de connaissances spécialisées requis devrait être déterminé notamment en fonction des opérations de traitement de données effectuées et de la protection exigée pour les données à caractère personnel traitées par le responsable du traitement ou le sous-traitant. De tels délégués à la protection des données, qu'ils soient ou non des employés du responsable du traitement, devraient être en mesure d'exercer leurs fonctions et missions en toute indépendance.
Afficher les considérants de la Directive 95/46 liés à l'article 38 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 38 keyboard_arrow_up
(49) considérant que, afin d'éviter des formalités administratives inadéquates, des exonérations ou des simplifications de la notification peuvent être prévues par les États membres pour les traitements de données qui ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées, à condition qu'ils soient conformes à un acte pris par l'État membre qui en précise les limites; que des exonérations ou simplifications peuvent pareillement être prévues par les États membres dès lors qu'une personne désignée par le responsable du traitement de données s'assure que les traitements effectués ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées; que la personne ainsi détachée à la protection des données, employée ou non du responsable du traitement de données, doit être en mesure d'exercer ses fonctions en toute indépendance;
(54) considérant que, au regard de tous les traitements mis en oeuvre dans la société, le nombre de ceux présentant de tels risques particuliers devrait être très restreint; que les États membres doivent prévoir, pour ces traitements, un examen préalable à leur mise en oeuvre, effectué par l'autorité de contrôle ou par le détaché à la protection des données en coopération avec celle-ci; que, à la suite de cet examen préalable, l'autorité de contrôle peut, selon le droit national dont elle relève, émettre un avis ou autoriser le traitement des données; qu'un tel examen peut également être effectué au cours de l'élaboration soit d'une mesure législative du Parlement national, soit d'une mesure fondée sur une telle mesure législative, qui définisse la nature du traitement et précise les garanties appropriées;
L’article 38 impose au responsable du traitement ou au sous-traitant une série d’obligations en vue de permettre à ce dernier d’assumer les missions prévues quant à elles, à l’article 39.
Ainsi, Le responsable du traitement ou le sous-traitant veillent à ce que le délégué à la protection des données soit associé d'une manière appropriée et en temps utile à toutes les questions relatives à la protection des données à caractère personnel. Ils aident le délégué à exercer les missions visées à l'article 39 en lui fournissant les ressources nécessaires à leur exécution et l'accès aux données à caractère personnel et aux traitements, ainsi qu’en permettant au délégué d’entretenir ses compétences spécialisées.
Il incombe au responsable ou au sous-traitant de veiller à l’indépendance du délégué dans l’exercice de ses missions. Ils doivent notamment veiller à ce qu’il ne reçoive pas d’instruction en ce qui concerne l’accomplissement de ses missions. Le délégué ne saurait du reste être pénalisé ou licencié par le responsable du traitement ou le sous-traitant pour l'accomplissement de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé du responsable du traitement ou du sous-traitant (§3).
Le délégué doit être lié par le secret ou la confidentialité, en ce qui concerne l’accomplissement de ses tâches, conformément au droit de l’Union ou au droit d’un État membre (art. 38, paragraphe 5).
La dernière version du Règlement prévoit en outre que les personnes concernées peuvent contacter le délégué sur n’importe quelle problématique liée au traitement de leurs données et à l’exercice de leurs droits (cfr. art. 38, paragraphe 4).
Enfin, le délégué peut exécuter d'autres missions et tâches, à charge du responsable du traitement ou le sous-traitant de veiller à ce que ces missions et tâches n'entraînent pas de conflits d'intérêts (§ 6).
La Directive était peu loquace quant aux fonctions du détaché à la protection des données : selon l’article 18, sa mission consistait à garantir que les activités de traitement ne portent pas atteinte aux droits et libertés des personnes concernées, en veillant, d’une manière indépendante, à la conformité du traitement aux dispositions nationales transposant la Directive.
En particulier, il lui incombait de tenir un registre des traitements effectués par le responsable du traitement, contenant les informations qui font l’objet d’une notification à l’autorité de contrôle nationale compétente, conformément à l’article 21, § 2 de la Directive.
La définition des fonctions du détaché à la protection des données a été reprise par la loi Informatique et Libertés en son article 22, III aux termes duquel ce dernier est chargé d'assurer, d'une manière indépendante, le respect des obligations prévues par la loi française.
Les fonctions du délégué et son statut devront faire l’objet d’une attention particulière dans les entreprises et responsables du traitement. Son indépendance devra être garantie, qu’il soit employé ou non. En interne, les règles de hiérarchies et les sanctions éventuelles en cas de mauvaise exécution des missions confiées par le responsable du traitement devront être revues afin de s’assurer du respect des nouvelles règles.
arrow_back Article précédent • Article 38 • Article suivant arrow_forward
arrow_back Article précédent • Article 38 Article suivant arrow_forward
2. Le responsable du traitement et le sous-traitant aident le délégué à la protection des données à exercer les missions visées à l'article 39 en fournissant les ressources nécessaires pour exercer ces missions, ainsi que l'accès aux données à caractère personnel et aux opérations de traitement, et lui permettant d’entretenir ses connaissances spécialisées.
1. Le responsable du traitement ou le sous-traitant veillent à ce que le délégué à la protection des données soit associé d'une manière appropriée et en temps utile à toutes les questions relatives à la protection des données à caractère personnel.
2. Le responsable du traitement ou le sous-traitant veillent à ce que le délégué à la protection des données accomplisse ses missions et obligations en toute indépendance et ne reçoive aucune instruction en ce qui concerne l'exercice de sa fonction. Le délégué à la protection des données fait directement rapport à la direction du responsable du traitement ou du sous-traitant.
3. Le responsable du traitement ou le sous-traitant aident le délégué à la protection des données à exercer ses missions et fournissent le personnel, les locaux, les équipements et toutes autres ressources nécessaires à l'exécution des missions et obligations énoncées à l’article 37.
2. Le responsable du traitement ou le sous-traitant aident le délégué à la protection des données à exercer les missions visées à l'article 37 en fournissant (…) les ressources nécessaires à l'exécution de ces missions ainsi que l'accès aux données à caractère personnel et aux traitements.
3. Le responsable du traitement ou le sous-traitant veillent à ce que le délégué à la protection des données puisse agir en toute indépendance dans l'accomplissement de ses missions et ne reçoive aucune instruction en ce qui concerne l'accomplissement de celles-ci. Il ne saurait être pénalisé par le responsable du traitement ou le sous-traitant pour l'accomplissement de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé du responsable du traitement ou du sous-traitant.
4. Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement ou le sous-traitant doivent veiller à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts.
2. Les États membres ne peuvent prévoir de simplification de la notification ou de dérogation à cette obligation que dans les cas et aux conditions suivants:
- lorsque, pour les catégories de traitement qui, compte tenu des données à traiter, ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées, ils précisent les finalités des traitements, les données ou catégories de données traitées, la ou les catégories de personnes concernées, les destinataires ou catégories de destinataires auxquels les données sont communiquées et la durée de conservation des données
- lorsque le responsable du traitement désigne, conformément au droit national auquel il est soumis, un détaché à la protection des données à caractère personnel chargé notamment:
- d'assurer, d'une manière indépendante, l'application interne des dispositions nationales prises en application de la présente directive,
- de tenir un registre des traitements effectués par le responsable du traitement, contenant les informations visées à l'article 21 paragraphe 2,
et garantissant de la sorte que les traitements ne sont pas susceptibles de porter atteinte faux droits et libertés des personnes concernées.

References: l'article 38
 l'article 38
 l'article 38
 l'article 38
 l'article 38
 l'article 38
 l'article 39
 art. 38
 § 2
 l'article 39
 l'article 37
 l'article 21