Qui a besoin d'un délégué à la protection des données ?

Qui a besoin d'un délégué à la protection des données ?
Catégories :

Qui doit désigner un délégué à la protection des données selon les règles de l'UE ?

Le droit européen et le droit allemand de la protection des données prévoient des cas différents dans lesquels un Délégué à la protection des données (DPD) doit être désigné. On oublie souvent que même si ces règles ne sont pas applicables dans votre cas, toutes les entreprises (et en outre toutes les autorités et associations) doivent respecter les règles du RGPD.

Cela signifie que même si vous n'y êtes pas obligé, vous devriez quand même avoir un délégué à la protection des données qui vous aide à respecter vos obligations en matière de protection des données.

Articles similaires de notre blog : Quels sont les coûts d'un délégué à la protection des données ? Lire ici

Quand est-il obligatoire de désigner un DPD au sens strict du terme ?

 

L'obligation selon le droit allemand

L'Allemagne a inscrit dans son Loi fédérale sur la protection des données (§38) a adopté des règles strictes.

Dans la mesure où vingt personnes travaillent en permanence avec le système de traitement automatisé des données, il n'y a pas de raison qu'elles ne le fassent pas. Traitement de données à caractère personnel, les entreprises doivent désigner un délégué à la protection des données. Les éléments suivants doivent être pris en considération à cet égard. Le nombre d'employés d'une entreprise peut être pris en compte dans l'ensemble. Les employés qui n'ont pas accès aux installations de traitement des données avec lesquelles données à caractère personnel comme le personnel de nettoyage ou les travailleurs à la chaîne, ne devraient pas être pris en compte. Le statut des personnes qui Traitement dans l'entreprise n'a aucune importance. Peu importe qu'il s'agisse d'employés à temps plein ou à temps partiel, de freelances ou d'intérimaires, ainsi que d'apprentis, de volontaires et de stagiaires, et la direction compte également parmi les vingt personnes susmentionnées.
En règle générale et en permanence, l'objectif est que les changements ponctuels ne soient pas envisagés.

Le nombre de salariés ne suffit pas à lui seul à exclure l'obligation de désignation. L'impact de l'activité de l'entreprise sur les personnes physiques joue également un rôle important. Si celle-ci est susceptible d'entraîner un risque élevé pour les droits des personnes physiques, une "désignation" doit être effectuée. Analyse d'impact sur la protection des données Cela signifie que les risques doivent être examinés en détail et que les mesures prises par l'entreprise pour réduire ces risques doivent être prises en compte. Les entreprises qui effectuent non pas une seule fois mais plus souvent des traitements soumis à de telles évaluations d'impact sur la vie privée doivent également désigner un délégué à la protection des données. Si, par exemple, une station-service a besoin d'installer un Vidéosurveillance ne doit effectuer qu'une seule fois une analyse d'impact sur la protection des données, elle n'est pas tenue de désigner un délégué à la protection des données.

Une obligation existe également si votre entreprise données à caractère personnel à titre commercial, dans le but de Transmission traitées, le terme commercial ne devant pas être interprété dans son sens traditionnel, c'est-à-dire qu'il englobe également les activités qui ne génèrent pas de profit, mais qui sont exercées pendant un certain temps. Dans la pratique, on entend par là des entreprises telles que les agences d'évaluation du crédit, qui vérifient la solvabilité des personnes, ou des sociétés qui fournissent à des tiers des données d'adresses à des fins publicitaires.
Le fait que les données soient transmises de manière anonyme ne constitue pas une exception à l'obligation de désignation. Si vous données à caractère personnel à des fins d'études de marché ou d'opinion pour des clients, vous devez également avoir un délégué à la protection des données.

L'obligation prévue par la législation européenne

En revanche, la plupart des États membres de l'Union européenne n'ont pas adopté de règles spécifiques concernant le DPO, de sorte que seules les dispositions de la Règlement général sur la protection des données (RGPD, article 37) doivent être prises en compte.

Selon l'art.37 al.1 let.b RGPD il existe tout d'abord une obligation de désignation lorsque l'activité principale de l'entreprise nécessite une surveillance régulière et systématique à grande échelle des personnes au sens d'une observation de leur comportement (comme par exemple le comportement de clic d'un utilisateur sur le site web de l'entreprise). Le nombre de personnes concernées, la quantité de données traitées et la portée géographique de la collecte de données ainsi que la durée doivent être pris en compte. A cette fin, il convient de n'inclure que les traitements qui sont soit continus, soit répétitifs et qui suivent un plan et une organisation spécifiques.
Enfin, il convient de noter que les traitements qui sont indissociables de l'activité principale doivent également être considérés comme l'une des activités principales, comme dans le cas des services de santé dans les hôpitaux, qui ne peuvent être fournis sans les Traitement le Données de santé des patients sont possibles.

Il existe également une obligation de désignation (art.37, al.1, let.c). RGPD), si l'activité principale consiste en la vaste Traitement de catégories particulières de données ou de données à caractère personnel relatives à des condamnations pénales, et Crimes et délits est constitué. Le site Traitement Dans la plupart des entreprises, le traitement de données particulières ne concerne que les congés de maladie, les certificats d'incapacité de travail, la grossesse (protection de la maternité) et (dans le cas de l'Allemagne et de l'Autriche) l'appartenance religieuse. Il ne s'agit toutefois pas d'activités principales et ces traitements peuvent être considérés comme mineurs, de sorte que l'article 37, paragraphe 1, point c), de la directive sur la protection des données s'applique. RGPD peut être interprété comme n'étant pas applicable.

La plupart des entreprises peuvent bénéficier d'un délégué à la protection des données

Si l'on résume les réglementations susmentionnées, on pourrait en conclure que les entreprises actives en Allemagne n'ont qu'exceptionnellement besoin d'un délégué à la protection des données et que les entreprises des autres pays de l'UE n'en ont que très rarement besoin.

Ce serait une erreur, car même sans obligation de désignation, les obligations du RGPD doivent être respectées. Par conséquent, au moins un membre du personnel devrait se consacrer à ce sujet et contrôler si tous les traitements de données à caractère personnel sont conformes au cadre juridique.

Au terme d'une simple analyse coûts/bénéfices, les entreprises constatent souvent qu'il est moins cher de désigner un délégué à la protection des données que de prendre le risque de ne pas respecter les règles de protection des données. En plus du Amende(1 ) La Cour de justice des Communautés européennes a statué sur la question de savoir si le requérant devait être condamné à une amende ou à une peine d'emprisonnement. Autorité de surveillance et, le cas échéant, de la procédure judiciaire), l'entreprise peut subir une perte de confiance de la part de ses clients.

Mais comme les petites entreprises en particulier sont souvent confrontées aux obligations légales en matière de protection des données (réponse aux demandes des personnes concernées, Documentation), il vaut la peine de demander l'aide d'un responsable externe de la protection des données.
De manière générale, quel est l'avantage de désigner un délégué à la protection des données externe ? Contrairement à un collaborateur de l'entreprise qui a besoin de temps pour se former, qui peut commettre des erreurs parce qu'il évalue mal un cas en raison de son manque d'expérience et qui doit finalement demander de l'aide, le délégué externe à la protection des données possède l'expérience nécessaire pour agir rapidement et de manière ciblée. Il peut échanger des informations avec des collègues qui ont eux-mêmes de l'expérience dans d'autres domaines. Il existe différents cadres pour un mandat de DPD externe, en fonction du nombre d'heures pour le collaborateur qui agit en tant que délégué interne à la protection des données, de la taille de l'entreprise et des tâches à accomplir.

Chez 2B Advice GmbH, le nombre d'heures dans les paquets de travail proposés est adapté en fonction de la taille de l'entreprise. C'est pourquoi, outre les grandes et moyennes entreprises, nous avons également pour clients des petites entreprises.

N'hésitez pas à contacter notre service commercial pour que nous puissions vous soumettre une offre adaptée à vos besoins.

Articles similaires de notre blog : Analyse d'impact sur la protection des données (AIPD) : Que faut-il faire ? Lire ici

Les tags :
Partager ce post :