TL;DR
Le délégué est obligatoire dans les trois hypothèses de l'art. 37, § 1 RGPD et, en outre, dans les seize cas de l'art. 34, § 1 de la LOPDGDD. La désignation volontaire du § 2 soumet malgré tout l'organisme au même régime que le RGPD. Dans les deux cas — obligatoire et volontaire — les désignations et les cessations doivent être notifiées à l'AEPD dans un délai de dix jours (§ 3), et la liste des délégués est publique et accessible par voie électronique (§ 4).
Deux listes qui s'additionnent, non entre lesquelles choisir
L'art. 37, § 1 RGPD impose le délégué dans trois situations : traitement effectué par une autorité ou un organisme public ; activités de base consistant en des opérations exigeant un suivi régulier et systématique à grande échelle des personnes concernées ; activités de base consistant en un traitement à grande échelle de catégories particulières visées à l'art. 9 ou de données relevant de l'art. 10. L'art. 34, § 1 de la LOPDGDD renvoie à ce texte et ajoute « et, en tout état de cause, lorsqu'il s'agit des entités suivantes ». La conjonction compte : ce ne sont pas seize hypothèses à la place des trois, ce sont seize en plus des trois. Un organisme ne figurant dans aucune des lettres peut rester tenu au titre de l'art. 37, et l'inverse est vrai aussi.
Les seize lettres
- a) Ordres professionnels et leurs conseils généraux. b) Établissements d'enseignement de tout niveau et universités publiques et privées.
- c) Exploitants de réseaux et fournisseurs de services de communications électroniques, lorsqu'ils traitent des données de manière habituelle et systématique à grande échelle. d) Prestataires de services de la société de l'information élaborant à grande échelle des profils d'utilisateurs.
- e) Entités relevant de l'art. 1 de la loi 10/2014 (établissements de crédit). f) Établissements financiers de crédit. g) Entreprises d'assurance et de réassurance. h) Entreprises d'investissement.
- i) Distributeurs et fournisseurs d'électricité et de gaz naturel. j) Responsables de fichiers communs de solvabilité et de crédit, ou de prévention de la fraude, y compris les fichiers de lutte contre le blanchiment.
- k) Entreprises de publicité et de prospection commerciale lorsqu'elles traitent des préférences ou élaborent des profils. l) Établissements de santé tenus de conserver les dossiers médicaux — avec une exception expresse pour le professionnel de santé exerçant à titre individuel.
- m) Entités émettant des renseignements commerciaux sur des personnes physiques. n) Opérateurs de jeux par canaux électroniques. ñ) Entreprises de sécurité privée. o) Fédérations sportives lorsqu'elles traitent des données de mineurs.
La désignation volontaire n'est pas un geste de bonne volonté
Le § 2 prévoit que l'organisme non tenu « pourra désigner volontairement » un délégué, « qui sera soumis au régime établi par le règlement (UE) 2016/679 et par la présente loi organique ». C'est-à-dire : indépendance, absence de conflit d'intérêts, moyens, interdiction de le sanctionner pour l'exercice de ses missions, rattachement au niveau le plus élevé. Et le § 3 impose de notifier la désignation à l'AEPD dans les dix jours « tant lorsque la désignation est obligatoire que lorsqu'elle est volontaire ». Mettre « DPO » dans la signature électronique de quelqu'un sans le notifier est un manquement qui s'établit en une minute.
Le § 4 se lit avec le précédent : l'AEPD et les autorités des communautés autonomes tiennent une liste à jour des délégués, accessible par voie électronique. La conséquence pratique est que l'affirmation « nous avons un DPO » est vérifiable par n'importe qui — y compris un client en phase de sélection et un concurrent préparant une réclamation. Ce n'est pas un registre interne : c'est public.
Enfin, le § 5 permet une affectation à temps plein ou à temps partiel en fonction, entre autres critères, du volume des traitements, des catégories particulières traitées et des risques pour les personnes concernées. Ce n'est pas un blanc-seing pour le minimum : c'est un critère à motiver et à consigner, car c'est exactement ce que l'on demande lorsqu'un délégué n'a pas pu traiter quelque chose à temps.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
