Source: https://gdpr-expert.com/article.html?mid=1&id=39
Timestamp: 2020-07-08 03:46:29+00:00
Document Index: 325842134

Matched Legal Cases: ["l'article 39", "l'article 39", "l'article 39", "l'article 35", "l'article 36", "l'article 21", 'arrêt ', "l'article 33", "l'article 34"]

GDPR.expert, l'outil d'analyse du nouveau règlement européen, développé par le cabinet d'avocats Ulys Article 39 : Missions du délégué à la protection des données - GDPR.expert
Afficher les articles et mots clés liés à l’article 39 du Règlement keyboard_arrow_down Cacher les articles et mots clés liés à l’article 39 keyboard_arrow_up
Mots clés liés à l'article 39
mission d'avis et de conseil
Il n'y a pas de considérant du Règlement lié à l'article 39.
Il n'y pas de considérant de la Directive 95/46 lié à l'article 39.
Le délégué à la protection des données reçoit plusieurs missions minimales en application de l’article 39 : une mission d’avis et de conseil (1) ; une mission de contrôle (2) ; une mission de point de contact avec l’autorité de contrôle (3).
Elles peuvent être résumées comme suit :
informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les salariés traitant des données à caractère personnel sur les obligations qui leur incombent en vertu du Règlement et d'autres dispositions en matière de protection des données. Il doit aussi conseiller le responsable du traitement lorsque ce dernier est tenu d’effectuer une analyse d'impact relative à la protection des données conformément à l'article 35 ;
contrôler la conformité des traitements au Règlement, à d'autres dispositions de l'Union ou de l'État membre concerné en matière de protection des données et aux règles internes du responsable du traitement ou du sous-traitant y compris la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux traitements, et les audits s'y rapportant;
être le point de contact de l'autorité de contrôle sur les questions liées au traitement de données à caractère personnel, y compris concernant la consultation préalable visée à l'article 36, et consulter celle-ci, le cas échéant, sur tout autre sujet. Il doit bien entendu coopérer avec celle-ci ;
Le Règlement précise que le délégué à la protection des données tient dûment compte, dans l'accomplissement de ses missions, du risque associé aux opérations de traitement eu égard à la nature, à la portée, au contexte et aux finalités du traitement.
L’article 18 de la Directive prévoyait, dans le cas très spécifique de sa désignation, la finalité de la mission du délégué à la protection des données à savoir : garantir que les activités de traitement ne portent pas atteinte aux droits et libertés des personnes concernées. Il était chargé notamment:
- de tenir un registre des traitements effectués par le responsable du traitement, contenant les informations visées à l'article 21 paragraphe 2, contenues dans le registre public diffusé par l’autorité de contrôle.
En Belgique, à défaut d’arrêt royal d’exécution de l’article 17bis de la loi, les missions du délégué n’ont jamais été précisées.
Les différentes missions du délégué à la protection des données risquent fort d’imposer de revoir l’organigramme des fonctions ainsi que les règles de gouvernance qui actuellement, dans les entreprises ou autorités publiques, ont trait à l’application et au contrôle du respect des règles en matière de protection des données.
Il n’est pas rare en effet de voir à l’heure actuelle les compétences du futur délégué partagées entre le service juridique, le service de compliance, voire le délégué à la protection des données déjà désigné.
arrow_back Article précédent • Article 39 • Article suivant arrow_forward
arrow_back Article précédent • Article 39 Article suivant arrow_forward
Lignes directrices concernant les délégués à la protection des données (DPD) (5 avril 2017)
Le règlement général sur la protection des données (RGPD), qui devrait prendre effet le 25 mai 2018, fournit un cadre de conformité modernisé, fondé sur la responsabilité, en matière de protection des données en Europe. Les délégués à la protection des données (DPD) seront au coeur de ce nouveau cadre juridique pour de nombreux organismes, pour faciliter la conformité avec les dispositions du RGPD.
En vertu du RGPD, certains responsables du traitement et sous-traitants ont l’obligation de désigner un DPD. Cette obligation s’appliquera à l’ensemble des autorités et organismes publics (indépendamment de la nature des données qu’ils traitent), ainsi qu’à d’autres organismes dont les activités de base consistent en un suivi systématique à grande échelle de personnes ou en un traitement à grande échelle de catégories particulières de données à caractère personnel.
Même lorsque le RGPD n’exige pas spécifiquement la désignation d’un DPD, les organismes peuvent parfois juger utile d’en désigner un sur une base volontaire. Le groupe de travail «Article 29» sur la protection des données («G29») encourage ces efforts déployés sur une base volontaire.
La notion de DPD n’est pas nouvelle. Bien que la directive 95/46/CE ne contraigne aucun organisme à désigner un DPD, la pratique consistant à désigner un DPD s’est néanmoins installée dans plusieurs États membres au fil des ans.
Avant l’adoption du RGPD, le G29 avait fait valoir que le DPD était l’une des pierres angulaires du régime de responsabilité et que la désignation d’un DPD pouvait faciliter le respect des règles et, en outre, devenir un avantage concurrentiel pour les entreprises. Outre qu’ils favorisent le respect des règles grâce à la mise en oeuvre d’outils de responsabilité (comme la facilitation d’analyses d’impact relatives à la protection des données et la facilitation ou la réalisation d’audits relatifs à la protection des données), les DPD agissent comme intermédiaires entre les acteurs concernés (par exemple, les autorités de contrôle, les personnes concernées et les entités économiques au sein d’un organisme).
Les DPD ne sont pas personnellement responsables en cas de non-respect du RGPD. Ce dernier établit clairement que c’est le responsable du traitement ou le sous-traitant qui est tenu de s’assurer et d’être en mesure de démontrer que le traitement est effectué conformément à ses dispositions (article 24, paragraphe 1). Le respect de la protection des données relève de la responsabilité du responsable du traitement ou du sous-traitant.
Le responsable du traitement ou le sous-traitant jouent également un rôle essentiel pour permettre l’exécution efficace des missions du DPD. La désignation d’un DPD est une première étape, mais celui-ci doit aussi disposer d’une autonomie et de ressources suffisantes pour s’acquitter efficacement de ses missions.
Le RGPD reconnaît le DPD en tant qu’acteur clé dans le nouveau système de gouvernance des données et établit les conditions relatives à sa désignation, à sa fonction et à ses missions. L’objectif des présentes lignes directrices est de préciser les dispositions pertinentes du RGPD afin d’aider les responsables du traitement et les sous-traitants à respecter la législation, mais aussi d’assister les DPD dans leur rôle. Les présentes lignes directrices formulent également des recommandations en matière de bonnes pratiques, en s’appuyant sur l’expérience acquise dans certains États membres de l’Union. Le G29 assurera le suivi de la mise en oeuvre des présentes lignes directrices et pourrait les compléter avec des précisions supplémentaires si nécessaire.
Recommandation relative à la désignation d’un délégué à la protection des données conformément au Règlement général sur la protection des données (RGPD), en particulier l’admissibilité du cumul de cette fonction avec d’autres fonctions dont celle de conseiller en sécurité n° 04/2017 (24 mai 2017)
1. Le Règlement général sur la protection des données (ci-après RGPD) est entré en vigueur le 24 mai 2016 et sera d’application à dater du 25 mai 2018.
2. Dans le chapitre IV du RGPD qui énonce les obligations des responsables de traitement et des sous-traitants, la section IV est entièrement consacrée au délégué à la protection des données. Plus spécifiquement, l’article 37 détaille les cas dans lesquels la désignation du délégué à la protection des données est obligatoire ainsi que les modalités de cette désignation ; l’article 38 encadre la fonction même de délégué à la protection des données (statut) et l’article 39 décrit quelles sont ses missions. Quelques autres articles du RGPD viennent compléter l’encadrement de cette fonction nouvelle.
3. Immédiatement après l’adoption du RGPD, les autorités de protection des données ont identifié la question du délégué à la protection des données comme prioritaire. Elles ont incité les responsables de traitement et sous-traitants à vérifier rapidement si oui ou non ils sont juridiquement tenus de désigner un délégué à la protection des données en application de l’article 37.1. du RGPD ainsi qu’à procéder aux engagements ou à programmer les formations nécessaires. Réunies au sein du Groupe de l’Article 29, elles ont également encouragé la désignation volontaire de tels délégués et proposé des lignes directrices d’interprétation commune des articles pertinents du RGPD ainsi que formulé un certain nombre de recommandations (best practice).
4. Outre les questions récurrentes auxquelles elle a déjà répondu par la voie de FAQ sur son site Internet (et pour la réponse auxquelles elle s’appuie sur le travail d’interprétation commune du groupe de l’Article 29 déjà cité), la CPVP reçoit régulièrement la question de savoir si le « conseiller en sécurité » que doivent désigner certaines institutions, organismes et autres entités en application de différentes règlementations belges peut devenir le délégué à la protection des données - exigé pour toute autorité et organisme publics notamment (37.1. du RGPD). Peut-il exercer cumulativement les fonctions de conseiller en sécurité et de délégué à la protection des données et, le cas échéant, à quelles conditions ?
5. La présente recommandation a pour objectif de guider les responsable de traitement et les sous-traitants dans leur analyse et leur choix d’un délégué à la protection des données dans le respect du RGPD (voy. le point III). Compte tenu des nombreuses questions que la CPVP reçoit quant au cumul de cette fonction avec celle de « conseiller en sécurité », une attention particulière, mais non exclusive, sera accordée à cet aspect dans la présente recommandation.
1. Le responsable du traitement ou le sous-traitant confient au délégué à la protection des données au moins les missions suivantes:
a) informer et conseiller le responsable du traitement ou le sous-traitant sur les obligations qui leur incombent en vertu du présent règlement et conserver une trace documentaire de cette activité et des réponses reçues;
b) contrôler la mise en œuvre et l'application des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris la répartition des responsabilités, la formation du personnel participant aux traitements, et les audits s'y rapportant;
c) contrôler la mise en œuvre et l'application du présent règlement, notamment en ce qui concerne les exigences relatives à la protection des données dès la conception, à la protection des données par défaut et à la sécurité des données, ainsi que l'information des personnes concernées et l’examen des demandes présentées dans l'exercice de leurs droits au titre du présent règlement;
d) veiller à ce que la documentation visée à l’article 28 soit tenue à jour;
e) contrôler la documentation, la notification et la communication, prévues aux articles 31 et 32, et relatives aux violations de données à caractère personnel ;
f) vérifier que le responsable du traitement ou le sous-traitant a réalisé l’analyse d’impact relative à la protection des données, et que les demandes d'autorisation ou de consultation préalables ont été introduites, si elles sont requises au titre des articles 33 et 34;
g) vérifier qu'il a été répondu aux demandes de l’autorité de contrôle et, dans le domaine de compétence du délégué à la protection des données, coopérer avec l’autorité de contrôle, à la demande de celle-ci ou à l'initiative du délégué à la protection des données;
h) faire office de point de contact pour l'autorité de contrôle sur les questions liées au traitement, et consulter celle-ci, le cas échéant, de sa propre initiative.
2. La Commission est habilitée à adopter des actes délégués en conformité avec l’article 86, aux fins de préciser davantage les critères et exigences applicables aux missions, à la certification, au statut, aux prérogatives et aux ressources du délégué à la protection des données au sens du paragraphe 1.
1. Les missions du (...) délégué à la protection des données (…) sont les suivantes:
a) informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les salariés traitant des données à caractère personnel sur les obligations qui leur incombent en vertu du présent règlement et d'autres dispositions de l'Union ou de l'État membre concerné en matière de protection des données (…);
b) contrôler la conformité au présent règlement, à d'autres dispositions de l'Union ou de l'État membre concerné en matière de protection des données et aux règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux traitements, et les audits s'y rapportant;
f) dispenser des conseils, lorsque cela est demandé, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution des tâches conformément à l'article 33;
g) vérifier qu'il a été répondu aux demandes de l'autorité de contrôle et, dans le domaine de compétence du délégué à la protection des données, coopérer avec l'autorité de contrôle, à la demande de celle-ci ou à l'initiative du délégué à la protection des données;
h) faire office de point de contact pour l'autorité de contrôle sur les questions liées au traitement de données à caractère personnel, y compris la consultation préalable visée à l'article 34, et consulter celle-ci, le cas échéant, sur tout autre sujet
2 bis. Le délégué à la protection des données tient dûment compte, dans l'accomplissement de ses missions, du risque associé aux opérations de traitement eu égard à la nature, à la portée, au contexte et aux finalités du traitement.
et garantissant de la sorte que les traitements ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées.