Source: https://www.gdpr-expert.eu/article.html?id=37
Timestamp: 2017-09-26 16:07:04+00:00
Document Index: 114684723

Matched Legal Cases: ["l'article 37", "l'article 37", "l'article 37", "l'article 37", 'art. 37', 'art. 37', 'art. 37', '§ 3', 'art. 4', '§1', "l'article 39", '§ 6', '§ 7', "l'article 37", "l'article 37", "l'article 37", "l'article 37"]

Article 37 : Désignation du délégué à la protection des données - GDPR.expert
arrow_back Article précédent • Article 37 • Article suivant arrow_forward
Afficher les articles et mots clés liés à l’article 37 expand_more Cacher les articles et mots clés liés à l’article 37 expand_less
Afficher les considérants du Règlement liés à l'article 37 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 37 keyboard_arrow_up
Afficher les considérants de la Directive 95/46 liés à l'article 37 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 37 keyboard_arrow_up
La Directive, en son article 18, avait introduit la possibilité pour le responsable du traitement de désigner un détaché à la protection des données à caractère personnel. La désignation du délégué conditionne alors une simplification, voire une dérogation à l’obligation de notification auprès de l’autorité nationale de contrôle.
Le considérant 49 précisait qu'afin d'éviter des formalités administratives inadéquates, des exonérations ou des simplifications de la notification peuvent être prévues dès lors qu'une "personne désignée par le responsable du traitement de données s'assure que les traitements effectués ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées. La personne ainsi détachée à la protection des données, employée ou non du responsable du traitement de données, doit être en mesure d'exercer ses fonctions en toute indépendance".
Le Législateur belge s’est limité à investir le roi d’un pouvoir d’exécution l’autorisant à déterminer les cas dans lesquels le responsable du traitement désigne un préposé à la protection des données chargé d'assurer, d'une manière indépendante, l'application de la loi du 8 décembre 1992, ainsi que de ses mesures d'exécution. A l’heure actuelle, aucune mesure d’exécution n’a été arrêtée. Le rapport au Roi de l’arrêté royal du 13 février 2001 portant exécution de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel indique à cet égard que l'idée d'instituer un préposé à la protection des données n'a jamais rencontré beaucoup d'écho en Belgique.
En droit français, la loi Internet et Libertés a créé le statut de Correspondant Informatique et Libertés chargé d'assurer, d'une manière indépendante, le respect des obligations prévues dans par la loi. Son statut et ses fonctions sont fixés par la loi Informatique et Libertés, ainsi que par les articles 42 à 55 du décret n° 2005 1309 du 20 octobre 2005, pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Ce dernier doit notamment bénéficier des qualifications requises pour exercer ses missions.
Le moins que l’on puisse dire, c’est que les États membres ont eu du mal à s’accorder sur les hypothèses dans lesquelles la désignation d’un délégué à la protection des données s’imposait.
Initialement, l’article 37 de la proposition de Règlement déterminait les conditions dans lesquelles un délégué à la protection des données devait être désigné tant pour le secteur public, que pour le secteur privé, en fonction soit du nombre d’employés soit du fait que le traitement supposait un suivi régulier et systématique des personnes concernées, du fait de sa nature, de la portée ou de l’objet de ses finalités.
En lieu et place du paragraphe 1er de l’article 37, la seconde proposition de Règlement énonçait de manière lapidaire que le responsable peut ou doit désigner un délégué à la protection des données si le droit de l’Union ou le droit d’un État membre l’exige…
La version finale du Règlement a finalement réintroduit trois cas dans lesquels la désignation d’un délégué est obligatoire :
- lorsque le traitement est effectué par une autorité ou un organisme public, à l’exclusion des juridictions agissant dans le cadre de leur compétence judiciaire (art. 37, paragraphe 1, a)) ;
- lorsque les activités de base du responsable ou du sous-traitant consistent en des traitements qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique des personnes concernées (art. 37, paragraphe 1, b)) ;
- lorsque les activités de base du responsable ou du sous-traitant consistent en des traitements à grande échelle de données sensibles au sens de l’article 9 du Règlement ou de données relatives à des condamnations et infractions pénales (art. 37, paragraphe 1, c)).
Le Règlement prévoit alors qu’un groupe d’entreprise peut également nommer un délégué unique. La possibilité existe aussi pour les autorités et entités publiques, tenant compte de la structure de leur organisation et de leur taille (§ 3). La notion de groupe d’entreprises doit être entendue « comme une entreprise qui exerce le contrôle et les entreprises qu'elle contrôle » (art. 4, 19)).
Dans tous les cas, le responsable ou le sous-traitant disposent de la faculté de désigner un délégué à la protection des données. Il en va de même des associations ou autres organismes qui représentent des catégories de responsables ou de sous-traitants; ce délégué à la protection des données pourra alors agir pour ces associations ou ces organismes représentant les responsables ou sous-traitants. Le paragraphe 4 précise que le droit de l’Union ou le droit d’un Etat membre peut également exiger une désignation d’un délégué dans d’autres cas que ceux visés au §1er.
Le paragraphe 5 détermine les qualités auxquelles doit répondre le délégué à la protection des données :
- il doit être doté de connaissances spécialisées de la législation et des pratiques en matière de protection des données ;
- être capable d’accomplir les tâches qui lui sont confiées par l'article 39 (dont notamment la sensibilisation des travailleurs à la protection des données, contrôle de la conformité du traitement, correspondance avec l’autorité nationale de contrôle….).
Le délégué peut être un membre du personnel du responsable du traitement ou du sous-traitant ou accomplir ses missions sur la base d'un contrat de service (§ 6).
Le Règlement oblige également le responsable du traitement -ou le cas échéant, le sous-traitant- à publier les coordonnées relatives au délégué et à les communiquer à l’autorité de contrôle (§ 7).
Le texte final de cette disposition est le fruit d’un compromis. On a clairement voulu éviter une charge administrative et organisationnelle trop lourde pour des petites ou moyennes structures d’entreprise. On a du reste reporté sur les Etats membre la possibilité d’étendre les cas de désignation.
Néanmoins, pour gérer correctement les devoirs issus du Règlement, toute entreprise devra nécessairement désigner un responsable interne qui ne bénéficiera pas d’un statut particulier, ce qui pourra poser difficulté, notamment quant à sa neutralité ou à sa capacité à imposer les mesures nécessaires pour assurer la mise en conformité des traitements.
Les cas de désignations obligatoires devront faire l’objet d’une interprétation du texte qui ne sera pas toujours simple en pratique.
Afficher les articles et mots clés liés à l’article 37 expand_more
Articles liés à l'article 37
Mots clés liés à l'article 37
4. Dans les cas autres que ceux visés au paragraphe 1, le responsable du traitement ou le sous-traitant ou les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent désigner ou, si le droit de l'Union ou le droit d'un État membre l'exige, sont tenus de désigner un délégué à la protection des données.
Le délégué à la protection des données peut agir pour ces associations et autres organismes représentant des responsables du traitement ou des sous-traitants.
1. Le responsable du traitement et le sous-traitant désignent systématiquement un délégué à la protection des données lorsque:
a) le traitement est effectué par une autorité ou un organisme publics;
ou b) le traitement est effectué par une entreprise employant 250 personnes ou plus;
ou c) les activités de base du responsable du traitement ou du sous-traitant consistent en des traitements qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique des personnes concernées.
2. Dans le cas visé au paragraphe 1, point b), un groupe d'entreprises peut désigner un délégué à la protection des données unique.
3. Lorsque le responsable du traitement ou le sous-traitant est une autorité ou un organisme publics, le délégué à la protection des données peut être désigné pour plusieurs de ses entités, compte tenu de la structure organisationnelle de l'autorité ou de l'organisme publics.
4. Dans les cas autres que ceux visés au paragraphe 1, le responsable du traitement ou le sous-traitant ou les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent désigner un délégué à la protection des données.
5. Le responsable du traitement ou le sous-traitant désignent le délégué à la protection des données sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées de la législation et des pratiques en matière de protection des données, et de sa capacité à accomplir les tâches énumérées à l’article 37. Le niveau de connaissances spécialisées requis est déterminé notamment en fonction du traitement des données effectué et de la protection exigée pour les données à caractère personnel traitées par le responsable du traitement ou le sous-traitant.
6. Le responsable du traitement ou le sous-traitant veillent à ce que d'éventuelles autres fonctions professionnelles du délégué à la protection des données soient compatibles avec les tâches et fonctions de cette personne en qualité de délégué à la protection des données et n'entraînent pas de conflit d'intérêts.
7. Le responsable du traitement ou le sous-traitant désignent un délégué à la protection des données pour une durée minimale de deux ans. Le mandat du délégué à la protection des données est reconductible. Durant son mandat, le délégué à la protection des données ne peut être démis de ses fonctions que s'il ne remplit plus les conditions requises pour l'exercice de celles-ci.
8. Le délégué à la protection des données peut être un salarié du responsable du traitement ou du sous-traitant, ou accomplir ses tâches sur la base d'un contrat de service.
9. Le responsable du traitement ou le sous-traitant communiquent le nom et les coordonnées du délégué à la protection des données à l’autorité de contrôle et au public.
10. Les personnes concernées ont le droit de prendre contact avec le délégué à la protection des données au sujet de toutes questions relatives au traitement de données les concernant et de demander à exercer les droits que leur confère le présent règlement.
11. La Commission est habilitée à adopter des actes délégués en conformité avec l’article 86, aux fins de préciser davantage les critères et exigences applicables aux activités de base du responsable du traitement ou du sous-traitant, visées au paragraphe 1, point c), ainsi que les critères applicables aux qualités professionnelles du délégué à la protection des données visées au paragraphe 5.
1. Le responsable du traitement ou le sous-traitant peuvent ou doivent, si le droit de l'Union ou le droit d'un État membre l'exigent, désigner un délégué à la protection des données (…).
2. Un groupe d'entreprises peut désigner un délégué à la protection des données unique.
3. Lorsque le responsable du traitement ou le sous-traitant est une autorité ou un organisme public, un seul délégué à la protection des données peut être désigné pour plusieurs autorités ou organismes de ce type, compte tenu de leur structure organisationnelle et de leur taille.
5. Le (…) délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées de la législation et des pratiques en matière de protection des données, et de sa capacité à accomplir les tâches énumérées à l'article 37, notamment l'absence de tout conflit d'intérêts. (…)
7. (…) Durant son mandat, sauf motifs graves au regard de la législation de l'État membre concerné justifiant le licenciement d'un employé ou d'un fonctionnaire, le délégué à la protection des données ne peut être démis de ses fonctions que s'il ne remplit plus les conditions requises pour exercer les missions qui lui incombent en vertu de l'article 37.
8. Le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou accomplir ses missions sur la base d'un contrat de service.
9. Le responsable du traitement ou le sous-traitant publient les coordonnées du délégué à la protection des données et les communiquent à l'autorité de contrôle
10. Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de données les concernant et à l'exercice des droits que leur confère le présent règlement.
Art. 22 (cfr. également les articles 42 à 55 du décret n° 2005 1309 du 20 octobre 2005, pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés).