Marcus Belke
CEO de 2B Advice GmbH, moteur de l'innovation dans le domaine de la vie privée conformité et de la gestion des risques, et a dirigé le développement d'Ailance, la nouvelle génération de conformité plateforme.
En Allemagne, le délégué à la protection des données interne bénéficie d'une protection spéciale particulièrement étendue contre le licenciement en vertu du droit du travail. Cette réglementation revêt une importance pratique considérable pour les entreprises. En effet, lorsqu'une entreprise nomme un salarié au poste de délégué à la protection des données, elle ne prend pas seulement une décision d'ordre organisationnel Conformité-Il ne s'agit pas seulement d'une décision, mais aussi d'un tournant en matière de droit du travail, aux conséquences à long terme. Ce que cela implique pour l'organisation des entreprises en matière de protection des données.
Protection spéciale contre le licenciement dont bénéficie le responsable de la protection des données (DSB) en vertu de la loi fédérale sur la protection des données (BDSG)
Pour les entreprises, l'article 38 de la BDSG est le principal point de référence. Selon cette disposition, les entreprises sont tenues de désigner un délégué à la protection des données si elles emploient en règle générale au moins 20 personnes en permanence avec le traitement automatisé des données. Traitement de données à caractère personnel.
En ce qui concerne les délégués à la protection des données internes, la loi renvoie à l'article 6, paragraphe 4, de la BDSG. Cette disposition confère une protection particulière en matière de droit du travail.
Les conséquences sont importantes :
- Tout licenciement pour motif valable est en principe exclu.
- En règle générale, un licenciement ne peut être envisagé que sous la forme d'un licenciement pour motif grave (§ 626 du Code civil allemand).
- Même après la cessation de l'activité, une protection contre le licenciement d'une durée d'un an continue de s'appliquer.
Le législateur poursuit ainsi un objectif clair : les délégués à la protection des données doivent pouvoir exercer leurs fonctions en toute indépendance, sans avoir à craindre de pressions liées au droit du travail.
Jurisprudence : des obstacles importants à la résiliation par le délégué à la protection des données
La jurisprudence des tribunaux du travail a confirmé et précisé cette protection à plusieurs reprises.
Une décision de la Cour fédérale du travail (Cour fédérale du travail (BAG), arrêt du 27 avril 2021 – 2 AZR 225/20). Le tribunal a précisé qu'un licenciement ordinaire à l'encontre d'un délégué à la protection des données désigné d'office est irrecevable et peut même être nul.
Il convient également de noter que, selon l'OFSP, cette protection s'applique même lorsque le licenciement est prononcé pendant la période d'essai ou le délai d'attente prévu par la loi sur la protection contre le licenciement. La BDSG ne prévoit aucune restriction à cet égard.
Cela montre clairement que la protection spéciale contre le licenciement n'est pas seulement un instrument théorique, mais qu'elle peut également avoir des répercussions concrètes sur les décisions en matière de personnel.
Classification en droit européen
Au niveau européen également, la question de la portée de la protection contre le licenciement a été clarifiée.
La Cour de justice des Communautés européennes (CJCE) a décidé que les réglementations nationales qui n'autorisent la révocation ou le licenciement d'un délégué à la protection des données que pour un motif grave sont en principe compatibles avec la RGPD sont compatibles.
A condition toutefois que de telles réglementations respectent les objectifs de la RGPD, La Commission ne doit pas porter atteinte à l'indépendance de l'ORD, notamment en ce qui concerne l'exercice effectif de ses fonctions.
Pour les entreprises, cela signifie que la protection spéciale contre le licenciement prévue par la législation allemande s'inscrit dans le cadre autorisé par le droit européen.
Conflits d'intérêts comme motif de révocation
Un autre point essentiel concerne les éventuels conflits d'intérêts.
Conformément à l'article 38, paragraphe 6 RGPD un délégué à la protection des données ne doit pas accomplir de tâches qui entraînent un conflit d'intérêts avec sa fonction de contrôle. Un tel conflit existe notamment lorsque la personne concernée décide des finalités et des moyens du traitement des données.
La CJUE et le BAG ont précisé ces principes dans plusieurs décisions.
Cela est apparu particulièrement clairement dans le cas d'un président de comité d'entreprise qui avait également été désigné délégué à la protection des données. La Cour fédérale du travail (BAG) a constaté que ces deux fonctions pouvaient être incompatibles. Dans une telle situation, il peut y avoir un conflit d'intérêts justifiant la révocation du délégué à la protection des données.
Il en découle une conséquence importante pour les entreprises : elles devraient examiner les conflits d'intérêts potentiels avant même de passer commande.
Désignation obligatoire ou volontaire du DPD ?
Une question centrale, souvent sous-estimée dans la pratique, concerne la base juridique de la nomination d’un délégué à la protection des données. En effet, la protection spéciale contre le licenciement prévue par l’article 6, paragraphe 4, de la BDSG (loi fédérale allemande sur la protection des données) suppose en principe que cette nomination soit obligatoire en vertu de la loi.
Les entreprises ne sont toutefois pas toujours obligées de désigner un délégué à la protection des données. Les directives déterminantes découlent de l'art. 37 RGPD ainsi que de l'article 38 de la BDSG, qui prévoit des obligations de désignation supplémentaires pour l'Allemagne.
Conformément à l'article 38, paragraphe 1, de la loi fédérale sur la protection des données (BDSG), l'obligation de désignation s'applique en particulier lorsque, dans une entreprise, au moins 20 personnes travaillent en permanence avec le système de traitement automatisé des données. Traitement de données à caractère personnel. Une désignation peut également s'avérer nécessaire lorsque l'activité principale de l'entreprise consiste à traiter un grand nombre de données à caractère personnel. Traitement de données sensibles ou d'une surveillance systématique des personnes.
La difficulté pratique réside toutefois dans le fait que les entreprises désignent souvent un délégué à la protection des données, même si elles n'y sont pas légalement tenues. Cela se produit par exemple pour des raisons de Conformité, La plupart du temps, il s'agit d'une question d'organisation, de clarté organisationnelle ou de recommandation de conseillers.
Cette désignation volontaire peut être utile du point de vue organisationnel, mais elle a d'autres conséquences du point de vue du droit du travail.
En effet, selon le libellé de la loi, la protection spéciale contre le licenciement prévue à l’article 6, paragraphe 4, de la BDSG ne s’applique que si la nomination a été effectuée en vertu d’une obligation légale. Cette disposition s’applique au secteur privé par le biais de l’article 38 de la BDSG. En l’absence d’une telle obligation, la situation en matière de droit du travail peut être différente.
Dans plusieurs décisions, les tribunaux du travail ont souligné que la protection particulière contre le licenciement ne s'applique pas automatiquement lorsqu'un délégué à la protection des données a simplement été désigné à titre volontaire. Ainsi, par exemple, le Tribunal régional du travail de Hamm (18 Sa 271/22) a décidé que la protection spéciale contre le licenciement prévue par la BDSG suppose l'existence d'une obligation légale de désignation. À défaut, le délégué à la protection des données peut, en droit du travail, être traité en principe comme n'importe quel autre salarié.
Pour les entreprises, cela soulève une question importante en matière de gouvernance : la nomination d'un délégué à la protection des données était-elle réellement obligatoire ou s'agissait-il d'une démarche volontaire ?
Risques pour les entreprises
La protection spéciale contre le licenciement peut comporter plusieurs risques pour les entreprises.
Risques liés au droit du travail
Un licenciement abusif peut entraîner la nullité ou l'invalidité de ce dernier. La relation de travail se poursuit alors. De plus, des droits à rémunération peuvent naître, par exemple sous la forme d'un salaire pour retard dans l'acceptation.
Risques organisationnels
Les contraintes importantes liées au droit du travail peuvent amener les entreprises à rester liées pendant longtemps à une structure organisationnelle qui ne correspond plus à leur gouvernance.
Risques de réputation
Les conflits avec les délégués à la protection des données ont souvent des répercussions sur la réputation. Les délégués à la protection des données sont considérés comme des instances de contrôle indépendantes et sont souvent en contact avec les autorités de contrôle.
Les litiges relevant du droit du travail peuvent donc être traités au-delà du cadre de l'entreprise.
Conséquences pratiques et modèles d'organisation alternatifs
En raison de la protection spéciale contre le licenciement, la nomination d'un délégué à la protection des données interne ne doit pas être considérée comme une décision purement opérationnelle.
Il s'agit plutôt d'une décision stratégique en matière de personnel, avec un effet d'engagement à long terme.
Dans la pratique, des conflits surgissent souvent dans les situations suivantes :
- Réorganisations
- structures de groupes internationaux
- Évolution de la Conformité-Organisation
- des exigences réglementaires croissantes
Lorsque le contexte organisationnel évolue, il peut s'avérer difficile de redéfinir le rôle du délégué à la protection des données ou d'y mettre fin.
Dans la pratique, cela donne souvent lieu à des litiges relevant du droit du travail.
Dans ce contexte, de nombreuses entreprises étudient des modèles alternatifs pour l'organisation de leur protection des données. Parmi les options les plus courantes, on trouve :
Délégué externe à la protection des données
Un prestataire externe assume le rôle de délégué à la protection des données. Cela permet d'éviter tout lien de subordination au regard du droit du travail, tout en préservant l'expertise et l'indépendance.
Responsable de la protection des données du groupe
Au sein des groupes d'entreprises, un délégué à la protection des données commun peut être désigné, à condition qu'il soit joignable par toutes les entreprises concernées.
Modèles hybrides
Dans de nombreuses organisations, la combinaison d'une gestion interne et d'une gestion externe a fait ses preuves. Équipe de protection des données et d'un délégué externe à la protection des données.
De tels modèles permettent d'allier proximité opérationnelle et souplesse organisationnelle.
Repenser l'organisation de la protection des données avec Ailance DSB
Le délégué à la protection des données interne est un élément central de l'organisation de la protection des données au sein des entreprises. Parallèlement, ce rôle bénéficie d'une protection exceptionnellement forte au regard du droit du travail.
Toute personne qui désigne un employé comme délégué à la protection des données doit être consciente de ces conséquences. La décision ne concerne pas seulement Conformité, Il ne s'agit pas seulement d'une question d'éthique, mais aussi de stratégie en matière de ressources humaines et de gouvernance.
Les entreprises ont donc tout intérêt à examiner attentivement le cadre organisationnel avant de passer une commande en interne.
Avec Ailance DSB 2B Advice propose une solution qui aide les entreprises à mettre en place leur organisation en matière de protection des données de manière à la fois professionnelle et flexible. Ce modèle combine :
des délégués à la protection des données externes expérimentés
processus de protection des données évolutifs
numérique Conformité-plateforme
ainsi que un accès direct à l'expertise juridique et technique
Les entreprises bénéficient ainsi d'une organisation de la protection des données clairement structurée, sans les effets contraignants d'une désignation interne au regard du droit du travail.
En particulier pour les entreprises en pleine croissance, les organisations internationales ou les structures complexes Conformité- Dans ce type de structures, un délégué à la protection des données externe peut constituer une alternative stratégiquement judicieuse.
Marcus Belke est CEO de 2B Advice ainsi que juriste et expert en IT pour Protection des données et numérique Conformité. Il écrit régulièrement sur la gouvernance de l'IA, RGPD-Conformité et la gestion des risques. Pour en savoir plus sur lui, rendez-vous sur son Page du profil de l'auteur.
German 
English 
Italian 
French