Source: https://www.lexology.com/library/detail.aspx?g=5b17c848-400a-4e13-bbf0-ccd07b835a9c
Timestamp: 2018-11-16 09:56:06+00:00
Document Index: 307109072

Matched Legal Cases: ['art. 37', 'art. 37', 'art. 37', '§3', '§ 6', 'arrêt ']

Quel profil pour le DPO/DPD ? Un récent jugement fait réfléchir … - Lexology
Le Tribunal de l’UE déclare qu’une même personne ne peut pas occuper à la fois le poste de président du conseil d’administration et de « dirigeant effectif » dans les établissements de crédit soumis à la surveillance prudentielle.
Un signal préoccupant pour celles et ceux qui cumulent la fonction de DPO avec une autre fonction exécutive.
lorsque le traitement est effectué par une autorité ou un organisme public, à l’exclusion des juridictions agissant dans le cadre de leur compétence judiciaire (art. 37, paragraphe 1, a)) ;
lorsque les activités de base du responsable ou du sous-traitant consistent en des traitements qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique des personnes concernées (art. 37, paragraphe 1, b)) ;
lorsque les activités de base du responsable ou du sous-traitant consistent en des traitements à grande échelle de données sensibles au sens de l’article 9 du Règlement ou de données relatives à des condamnations et infractions pénales (art. 37, paragraphe 1, c)).
il doit être doté de connaissances spécialisées de la législation et des pratiques en matière de protection des données ;
être capable d’accomplir les tâches qui lui sont confiées par l’article 39 (dont notamment la sensibilisation des travailleurs à la protection des données, contrôle de la conformité du traitement, correspondance avec l’autorité nationale de contrôle….).
L’indépendance du DPO
Le délégué peut être un membre du personnel du responsable du traitement ou du sous-traitant ou accomplir ses missions sur la base d’un contrat de service.
Le responsable du traitement ou le sous-traitant veillent à ce que le délégué à la protection des données soit associé d’une manière appropriée et en temps utile à toutes les questions relatives à la protection des données à caractère personnel. Ils aident le délégué à exercer les missions visées à l’article 39 en lui fournissant les ressources nécessaires à leur exécution et l’accès aux données à caractère personnel et aux traitements, ainsi qu’en permettant au délégué d’entretenir ses compétences spécialisées.
Il incombe au responsable ou au sous-traitant de veiller à l’indépendance du délégué dans l’exercice de ses missions. Ils doivent notamment veiller à ce qu’il ne reçoive pas d’instruction en ce qui concerne l’accomplissement de ses missions. Le délégué ne saurait du reste être pénalisé ou licencié par le responsable du traitement ou le sous-traitant pour l’accomplissement de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé du responsable du traitement ou du sous-traitant (§3).
Enfin, le délégué peut exécuter d’autres missions et tâches, à charge du responsable du traitement ou le sous-traitant de veiller à ce que ces missions et tâches n’entraînent pas de conflits d’intérêts (§ 6).
La décision rendue par le Tribunal de l’UE
C’est en gardant à l’esprit la nécessaire indépendance du DPO qu’il faut lire le jugement rendu par le Tribunal de l’UE la semaine passée en matière bancaire, car il y a des similitudes.
Le Crédit agricole est un groupe bancaire français non centralisé qui dispose, entre autres, de caisses régionales de crédit agricole mutuel. Quatre de ces caisses régionales ont souhaité nommer une même personne aux postes de président du conseil d’administration et de « dirigeant effectif ».
Chargée de la surveillance prudentielle du Crédit agricole, la Banque centrale européenne (BCE) a approuvé la désignation des personnes concernées en tant que présidents du conseil d’administration, mais s’est opposée à ce qu’elles remplissent simultanément la fonction de « dirigeant effectif ».
La BCE a en effet considéré que les fonctions permettant à une personne d’obtenir l’approbation de « dirigeant effectif » au sens du droit français et du droit de l’Union étaient des fonctions exécutives (comme celles de directeur général), différentes de celles confiées au président du conseil d’administration. Selon la BCE, il doit en principe exister une séparation entre l’exercice des fonctions exécutives et non exécutives au sein d’un organe de direction.
Les quatre caisses régionales ont saisi le Tribunal de l’Union européenne pour faire annuler les décisions de la BCE. En substance, elles font valoir que la BCE n’a pas correctement interprété la notion de « dirigeant effectif » en limitant celle-ci aux membres de la direction disposant de fonctions exécutives.
Par arrêt du 24 avril, le Tribunal rejette les recours des quatre caisses régionales et valide l’approche retenue par la BCE.
Le Tribunal analyse la notion de « dirigeant effectif » d’un établissement de crédit au regard de l’article 13 de la directive 2013/36/UE. Sur la base d’une interprétation littérale, historique, téléologique et contextuelle, il en conclut que cette notion vise les membres de l’organe de direction qui relèvent de la direction générale de l’établissement de crédit.
En particulier, le Tribunal rappelle l’objectif poursuivi par le législateur de l’Union en matière de bonne gouvernance des établissements de crédit. Cet objectif passe par la recherche d’une supervision efficace de la direction générale par les membres non exécutifs de l’organe de direction, laquelle implique un équilibre des pouvoirs au sein de l’organe de direction.
Or, l’efficacité d’une telle supervision pourrait être compromise si le président de l’organe de direction dans sa fonction de surveillance, tout en n’occupant pas formellement la fonction de directeur général, était conjointement chargé de la direction effective de l’activité de l’établissement de crédit.
Le Tribunal considère que, la BCE ayant correctement interprété la notion de « dirigeant effectif », elle a tout aussi correctement appliqué l’article 88 de la directive 2013/36/UE qui dispose que le président de l’organe de direction dans sa fonction de surveillance d’un établissement de crédit (tel que le président du conseil d’administration) ne peut pas exercer simultanément, à moins d’une autorisation expresse délivrée par les autorités compétentes, la fonction de directeur général dans le même établissement.
Comparaison n’est pas raison, et la règlementation bancaire présente des particularités. Il n’empêche que l’idée sous-jacente est la même : on ne peut pas être juge et partie, contrôler et être contrôlé.
Dans l’un des premiers avis rendus, le Groupe 29 le soulignait déjà :
« L’absence de conflit d’intérêts est étroitement liée à l’obligation d’agir en toute indépendance. Bien que les DPD soient autorisés à exercer d’autres fonctions, un DPD ne peut se voir confier d’autres missions et tâches qu’à condition que celles-ci ne donnent pas lieu à un conflit d’intérêts. Cela signifie en particulier que le DPD ne peut exercer au sein de l’organisme une fonction qui l’amène à déterminer les finalités et les moyens du traitement de données à caractère personnel. En raison de la structure organisationnelle spécifique de chaque organisme, cet aspect doit être étudié au cas par cas.
En règle générale, parmi les fonctions susceptibles de donner lieu à un conflit d’intérêts au sein de l’organisme peuvent figurer les fonctions d’encadrement supérieur (par exemple, directeur général, directeur opérationnel, directeur financier, médecin-chef, responsable du département marketing, responsable des ressources humaines ou responsable du service informatique), mais aussi d’autres rôles à un niveau inférieur de la structure organisationnelle si ces fonctions ou rôles supposent la détermination des finalités et des moyens du traitement. En outre, il peut également y avoir conflit d’intérêts, par exemple, si un DPD externe est appelé à représenter le responsable du traitement ou le sous-traitant devant les tribunaux dans des affaires ayant trait à des questions liées à la protection des données. »
En jugeant que « l’efficacité [de la] supervision pourrait être compromise si le président de l’organe de direction dans sa fonction de surveillance, tout en n’occupant pas formellement la fonction de directeur général, était conjointement chargé de la direction effective de l’activité de l’établissement de crédit » le tribunal de l’UE rappelle que l’objectif assigné à la règlementation est un critère fondamental d’appréciation … Or, en l’occurrence, il n’est guère discutable que l’objectif que le législateur avait en tête en créant la fonction de DPO intègre une très forte dose d’indépendance.
De quoi rendre le choix du DPO encore plus délicat …
En lisant la décision rendue et l’avis du Groupe 29, disponibles en annexe.
Êtes-vous conformes au nouveau règlement de protection des données en Europe ? *
Avocat et DPO ? L’ordre bruxellois répond favorablement * - Belgium
M-4 : Notification des violations de données à caractère personnel * - France