Règlement (UE) 2016/679, article 37.1 a)

DPO externalisé pour les collectivités territoriales

Pour une collectivité, la question de la désignation d'un délégué ne se pose pas : l'article 37.1 a) du règlement (UE) 2016/679 l'impose à toute autorité publique et à tout organisme public, sans condition de taille ni d'échelle des traitements. La seule décision qui reste est celle des modalités, et le texte permet expressément à plusieurs organismes publics d'en désigner un seul, comme il permet de confier le mandat à un prestataire extérieur.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Une obligation sans seuil, et des modalités ouvertes

L'article 37.1 a) du règlement impose la désignation d'un délégué lorsque le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle. Aucune condition d'échelle, de volume ou d'effectif n'assortit cette obligation : une commune de quelques centaines d'habitants y est soumise comme une métropole.

L'article 37.3 ouvre en revanche une souplesse déterminante : lorsque le responsable du traitement est une autorité publique ou un organisme public, un seul délégué peut être désigné pour plusieurs de ces autorités ou organismes, compte tenu de leur structure organisationnelle et de leur taille. C'est le fondement des mutualisations, qu'elles passent par un syndicat, un centre de gestion ou un prestataire commun.

L'article 37.6 permet par ailleurs que le délégué exerce sur la base d'un contrat de service plutôt que d'un contrat de travail. Rien n'impose donc à une collectivité de recruter : elle peut confier le mandat, à condition que les garanties d'indépendance et de moyens de l'article 38 soient effectivement réunies.

L'intérêt légitime est fermé aux autorités publiques

L'article 6.1 f) du règlement, qui fonde tant de traitements dans le secteur privé, se clôt par une phrase décisive : il ne s'applique pas au traitement effectué par les autorités publiques dans l'exécution de leurs missions. Une collectivité ne peut donc pas justifier un traitement par son seul intérêt légitime.

Elle dispose de deux bases principales. L'article 6.1 c), lorsqu'un texte lui impose le traitement : état civil, listes électorales, obligations comptables. Et l'article 6.1 e), lorsque le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique. Cette seconde base suppose, selon l'article 6.3, que le fondement du traitement soit défini par le droit de l'Union ou par le droit national : la mission doit donc pouvoir être rattachée à une compétence identifiée, et non simplement affirmée.

La conséquence pratique est que le registre d'une collectivité doit, pour chaque traitement, citer la compétence ou le texte qui le fonde. C'est plus exigeant qu'une mention de base légale, et c'est ce qui distingue un registre public utilisable d'un registre recopié d'un modèle.

Les traitements qui concentrent le risque

Les services périscolaires et la petite enfance

Ils portent sur des mineurs, parfois sur des données de santé pour les protocoles d'accueil individualisé et les allergies, et ils reposent sur des prestataires extérieurs pour la facturation et l'inscription en ligne. Trois facteurs de risque réunis sur un même traitement.

L'action sociale

Les données traitées par un centre communal d'action sociale révèlent des situations de précarité, de santé et de vie familiale. La restriction des habilitations y est la mesure décisive, davantage que le chiffrement.

La vidéoprotection de voie publique

Elle obéit à un régime d'autorisation propre, distinct du règlement et antérieur à lui. Les deux régimes se cumulent : l'autorisation préfectorale ne dispense ni de l'inscription au registre, ni de l'analyse d'impact lorsqu'elle est requise, ni de l'information du public.

L'ouverture des données publiques

L'obligation de publier des données publiques ne lève pas la protection des données personnelles. Une publication suppose soit une anonymisation effective, soit un fondement exprès dans un texte qui l'autorise nommément.

Ce qu'un mandat externalisé change, et ce qu'il ne change pas

Le délégué extérieur exerce les missions de l'article 39 : informer et conseiller, contrôler le respect du règlement, dispenser des conseils sur l'analyse d'impact, coopérer avec l'autorité de contrôle et être son point de contact. Il n'est pas responsable du traitement : la collectivité le demeure, et l'article 24 fait peser sur elle l'obligation de mettre en œuvre les mesures appropriées.

L'article 38 impose en contrepartie à la collectivité des obligations propres envers son délégué : l'associer d'une manière appropriée et en temps utile à toutes les questions relatives à la protection des données, lui fournir les ressources nécessaires, et ne lui donner aucune instruction sur l'exercice de ses missions. Un délégué extérieur informé des projets après leur mise en service n'est pas dans la situation que le texte prévoit, et c'est la collectivité qui en répond.

Questions fréquentes

Une petite commune doit-elle désigner un délégué à la protection des données ?

Oui. L'article 37.1 a) du règlement (UE) 2016/679 impose la désignation à toute autorité publique sans condition de taille ni de volume de traitements. L'article 37.3 permet en revanche à plusieurs organismes publics de désigner un seul délégué, ce qui rend la mutualisation possible, et l'article 37.6 permet de confier le mandat sur la base d'un contrat de service.

Une collectivité peut-elle fonder un traitement sur l'intérêt légitime ?

Non, pour ses missions. La dernière phrase de l'article 6.1 du règlement exclut l'application du point f) au traitement effectué par les autorités publiques dans l'exécution de leurs missions. La base pertinente est l'article 6.1 c) lorsqu'un texte impose le traitement, ou l'article 6.1 e) lorsqu'il est nécessaire à une mission d'intérêt public, dont le fondement doit être défini par le droit.

Le secrétaire de mairie peut-il être désigné délégué ?

L'article 38.6 du règlement admet le cumul de fonctions, à condition qu'il n'en résulte pas de conflit d'intérêts. Une personne qui décide des finalités et des moyens des traitements de la collectivité serait amenée à contrôler ses propres décisions, ce que les lignes directrices européennes sur le délégué signalent comme incompatible. La difficulté est structurelle dans les petites structures, et c'est ce qui motive le plus souvent la mutualisation.

La publication de données en open data est-elle compatible avec le RGPD ?

L'obligation de publication ne fait pas disparaître la protection des données personnelles. Une publication n'est régulière que si les données ont fait l'objet d'une anonymisation effective, au sens du considérant 26 du règlement, ou si un texte autorise expressément la diffusion des données personnelles concernées. Une simple suppression du nom ne constitue pas une anonymisation lorsque la réidentification reste possible par recoupement.

Ce que ce régime déclenche ailleurs

Les traitements d'action sociale, de vidéoprotection et de gestion des mineurs réunissent fréquemment deux des critères de l'article 35.3, qui rendent l'analyse obligatoire.

Conduire une analyse d'impact

Contrôle d'accès et vidéoprotection des sites, traçabilité des opérateurs, maintenance à distance des équipements, et articulation avec le régime NIS2.

Industrie

Géolocalisation des véhicules, caméras embarquées, données de livraison et de destinataires, sous-traitance de la chaîne logistique et articulation avec NIS2.

Transport

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.