Règlement (UE) 2016/679, articles 37 à 39

Délégué à la protection des données interne ou externe : ce que le RGPD impose, et ce qui décide réellement

L'article 37.6 du RGPD traite la question en une phrase : le délégué peut être un membre du personnel ou exercer ses missions sur la base d'un contrat de service. Le texte est donc neutre. Ce qui départage les deux formules n'est pas une préférence du législateur mais la capacité de l'organisation à satisfaire trois exigences qui, elles, ne sont pas négociables : l'expertise, l'absence de conflit d'intérêts, et l'indépendance dans l'exercice des missions.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Quand la désignation est obligatoire

L'article 37.1 rend la désignation obligatoire dans trois cas, qui valent pour le responsable du traitement comme pour le sous-traitant.

Autorité ou organisme public

Le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle.

Suivi régulier et systématique à grande échelle

Les activités de base consistent en des opérations de traitement qui, du fait de leur nature, de leur portée ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées.

Traitement à grande échelle de données sensibles

Les activités de base consistent en un traitement à grande échelle de catégories particulières de données visées à l'article 9 ou de données relatives à des condamnations pénales et à des infractions visées à l'article 10.

Deux notions qui commandent tout : « activités de base » et « grande échelle »

Le règlement ne définit ni l'une ni l'autre. Les lignes directrices WP243 du groupe de travail Article 29, endossées par le Comité européen de la protection des données, en donnent la lecture de référence.

Les activités de base s'entendent des opérations essentielles à la réalisation des objectifs du responsable ou du sous-traitant, par opposition aux activités support. Le critère n'est pas que le traitement soit accessoire en volume, mais qu'il soit ou non indissociable de l'activité. La gestion de la paie et l'informatique interne sont des fonctions support, même indispensables. En revanche, le traitement des données de santé par un hôpital n'est pas une activité support : soigner suppose de traiter ces données, et le traitement fait partie de l'activité de base. De même, le traitement de données de localisation par une société de transport, ou de données de navigation par une régie publicitaire.

La grande échelle s'apprécie par un faisceau : le nombre de personnes concernées, en valeur absolue ou en proportion de la population pertinente ; le volume et l'éventail des données traitées ; la durée ou la permanence du traitement ; son étendue géographique. Aucun seuil chiffré ne figure dans le texte et aucun ne doit être invoqué comme s'il en émanait.

Une précision utile : l'article 37.4 permet au droit de l'Union ou d'un État membre de prévoir d'autres cas de désignation obligatoire. L'état du droit français sur ce point doit être vérifié sur Légifrance plutôt que présumé.

L'obstacle que la désignation interne rencontre le plus souvent : l'article 38.6

L'article 38.6 autorise le délégué à exécuter d'autres missions et tâches, à condition que le responsable ou le sous-traitant veille à ce que ces missions n'entraînent pas de conflit d'intérêts.

Les lignes directrices WP243 en tirent une conséquence directe : le délégué ne peut pas occuper, au sein de l'organisation, une fonction qui le conduirait à déterminer les finalités et les moyens du traitement. Sont ainsi généralement incompatibles les fonctions de direction générale, de direction opérationnelle, de direction financière, de responsable médical, de directeur des ressources humaines, de directeur des systèmes d'information, ainsi que les fonctions de rang inférieur dès lors qu'elles emportent la détermination des finalités et des moyens.

Cette règle écarte, dans une organisation de taille moyenne, la quasi-totalité des candidats internes que l'on désigne spontanément. Le directeur des systèmes d'information et le directeur des ressources humaines sont précisément les deux personnes que l'on nomme le plus souvent, et précisément les deux que la règle vise.

Le conflit d'intérêts ne s'apprécie pas au cas par cas dans l'esprit du dirigeant : il s'apprécie au regard de la fonction. Une autorité de contrôle qui constate la désignation d'un directeur informatique n'a pas à démontrer qu'un conflit s'est réalisé.

Ce que chaque formule garantit, ce qu’elle expose

Délégué interne : connaissance du terrain

Le délégué interne connaît les processus, les personnes et l'historique des décisions. Il est disponible en continu et son coût marginal est faible lorsque l'organisation atteint une taille suffisante pour justifier un poste dédié. L'article 38.1 exige d'ailleurs qu'il soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données : cette association continue est plus simple à organiser en interne.

Délégué interne : le lien de subordination

L'article 38.3 interdit que le délégué reçoive des instructions en ce qui concerne l'exercice de ses missions, et interdit qu'il soit relevé de ses fonctions ou pénalisé pour l'exercice de celles-ci. Un salarié reste néanmoins lié par un contrat de travail à celui qu'il contrôle, et l'article 38.3 exige en outre qu'il fasse directement rapport au niveau le plus élevé de la direction. Ces garanties doivent être organisées par écrit ; à défaut, elles sont théoriques.

Mandat externe : indépendance structurelle et expertise entretenue

Le prestataire n'a pas de lien de subordination et ne détermine aucune finalité de traitement : le conflit d'intérêts de l'article 38.6 ne peut pas se former. L'exigence de connaissances spécialisées du droit et des pratiques en matière de protection des données posée par l'article 37.5 est par ailleurs plus facile à tenir pour une personne dont c'est l'activité exclusive, alors que la matière évolue.

Mandat externe : ce qu'il faut organiser contractuellement

Un délégué externe n'est pas sur place et ne détecte pas seul ce qui ne lui est pas transmis. Le contrat doit donc organiser ce que le lien hiérarchique organise naturellement en interne : les cas de saisine obligatoire, les délais de réponse, le rattachement au niveau le plus élevé de la direction, les moyens mis à disposition au sens de l'article 38.2, et le point d'entrée interne chargé de lui transmettre les projets avant décision.

Les obligations qui ne varient pas selon la formule retenue

L'article 37.7 impose de publier les coordonnées du délégué et de les communiquer à l'autorité de contrôle, quelle que soit la formule.

L'article 38.2 impose de fournir les ressources nécessaires à l'exercice des missions, l'accès aux données et aux opérations de traitement, ainsi que les moyens d'entretenir les connaissances spécialisées. Un mandat externe ne dispense pas l'organisation de donner accès à ce qui est nécessaire.

L'article 38.4 prévoit que les personnes concernées peuvent prendre contact avec le délégué au sujet de toutes les questions relatives au traitement de leurs données et à l'exercice de leurs droits ; l'article 38.5 le soumet au secret professionnel ou à une obligation de confidentialité.

L'article 39 fixe enfin les missions minimales : informer et conseiller le responsable, le sous-traitant et les employés ; contrôler le respect du règlement et des politiques internes, y compris la répartition des responsabilités, la sensibilisation et la formation du personnel et les audits ; dispenser des conseils sur l'analyse d'impact et en vérifier l'exécution ; coopérer avec l'autorité de contrôle ; et faire office de point de contact pour celle-ci.

Un point est fréquemment mal compris : l'article 39 confie au délégué le contrôle du respect du règlement, non la responsabilité de ce respect. Celle-ci demeure entièrement sur le responsable du traitement au titre de l'article 24. Désigner un délégué, interne ou externe, ne transfère aucune responsabilité.

L'intervention correspondante

Sila exerce le mandat sur la base d'un contrat de service au sens de l'article 37.6, sous la forme d'un abonnement annuel, avec les modalités de saisine et de rattachement organisées par écrit.

Confier le mandat de délégué à la protection des données

Textes et sources cités

Cette analyse est d'ordre général et ne constitue pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.