Règlement (UE) 2016/679, article 37.1

Quand la désignation d'un délégué à la protection des données est-elle obligatoire

L'article 37.1 du règlement (UE) 2016/679 énumère trois cas, et trois seulement, dans lesquels la désignation d'un délégué s'impose. Hors de ces cas, elle reste ouverte mais volontaire. La difficulté ne tient pas à la lecture de ces trois points : elle tient à deux notions qu'ils emploient sans les définir, les activités de base et la grande échelle.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Les trois cas du texte

L'article 37.4 ajoute que, dans les cas autres que ceux du paragraphe 1, le responsable, le sous-traitant ou leurs associations peuvent désigner un délégué, et qu'ils le doivent lorsque le droit de l'Union ou d'un État membre l'exige.

a) L'autorité ou l'organisme public

La désignation s'impose lorsque le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle. Aucune condition de taille ni d'échelle : une commune de quelques centaines d'habitants est concernée.

b) Le suivi régulier et systématique à grande échelle

Elle s'impose lorsque les activités de base du responsable ou du sous-traitant consistent en des opérations qui, du fait de leur nature, de leur portée ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées.

c) Les données sensibles à grande échelle

Elle s'impose lorsque les activités de base consistent en un traitement à grande échelle de catégories particulières de données visées à l'article 9, ou de données relatives aux condamnations pénales et aux infractions visées à l'article 10.

Ce que sont les activités de base

Les points b) et c) ne visent pas tous les traitements de l'organisation, mais ceux qui relèvent de ses activités de base. Le considérant 97 apporte l'éclairage décisif : dans le secteur privé, les activités de base d'un responsable ont trait à ses activités principales et ne concernent pas le traitement des données à caractère personnel en tant qu'activité auxiliaire.

La paie et la gestion du personnel sont l'exemple type de l'activité auxiliaire : toute organisation les conduit, elles ne caractérisent l'activité d'aucune. À l'inverse, le traitement des dossiers de patients par une clinique n'est pas auxiliaire : sans lui, l'activité de soin n'existe pas. Le critère n'est donc pas le volume mais l'indissociabilité : le traitement est-il inséparable de l'activité principale.

Un traitement auxiliaire mais massif ne déclenche pas l'obligation ; un traitement central mais de taille modeste ne la déclenche pas davantage, faute d'échelle. Les deux conditions sont cumulatives.

La grande échelle, appréciée par faisceau d'indices

Le règlement ne définit pas la grande échelle et ne fixe aucun seuil chiffré. Le considérant 91 donne deux indications, l'une positive et l'autre négative : il vise les traitements portant sur un volume important de données et susceptibles d'affecter un grand nombre de personnes, et il écarte expressément le traitement de données de patients ou de clients effectué par un médecin, un autre professionnel de la santé ou un avocat exerçant à titre individuel.

En l'absence de seuil, l'appréciation se conduit par faisceau : le nombre de personnes concernées en valeur absolue ou en proportion de la population pertinente, le volume et la variété des données, la durée ou la permanence du traitement, et son étendue géographique. Aucun de ces facteurs ne tranche à lui seul.

Le point pratique est le suivant : l'obligation n'est pas de conclure juste, elle est de conclure de manière motivée. Une organisation qui conclut à l'absence d'obligation après une analyse écrite et datée est dans une position différente de celle qui n'a jamais posé la question. C'est cette note, plus que sa conclusion, qui est examinée en contrôle.

Ce qu'entraîne une désignation volontaire

La désignation volontaire n'est pas une désignation allégée. Dès lors qu'un délégué est désigné, le régime des articles 37 à 39 s'applique intégralement : publication et communication de ses coordonnées à l'autorité de contrôle au titre de l'article 37.7, garanties d'indépendance et absence d'instruction au titre de l'article 38.3, protection contre le fait d'être relevé de ses fonctions pour l'exercice de ses missions, et missions de l'article 39.

Il en résulte un choix à faire consciemment. Une organisation qui souhaite un référent interne sans supporter ce régime doit le nommer autrement et s'abstenir de le présenter comme délégué : la désignation d'un délégué qui recevrait des instructions sur l'exercice de ses missions constitue un manquement que la désignation elle-même a rendu possible.

Questions fréquentes

Existe-t-il un seuil de salariés au-delà duquel un DPO est obligatoire ?

Non. L'article 37.1 du règlement (UE) 2016/679 ne fait aucune référence à un effectif : les critères sont la qualité d'autorité publique, le suivi régulier et systématique à grande échelle, et le traitement à grande échelle de données des articles 9 ou 10. Une entreprise de dix personnes peut être soumise à l'obligation et une entreprise de mille personnes y échapper.

Faut-il déclarer son délégué à la CNIL ?

L'article 37.7 du règlement impose de publier les coordonnées du délégué et de les communiquer à l'autorité de contrôle. Cette communication est due que la désignation soit obligatoire ou volontaire. Elle ne vaut pas agrément : l'autorité enregistre la désignation, elle n'approuve ni la personne ni l'étendue du mandat.

Que risque-t-on à ne pas désigner de délégué alors qu'on le devait ?

Le manquement à l'article 37 relève de l'article 83.4 du règlement, qui prévoit des amendes administratives pouvant s'élever jusqu'à 10 000 000 euros ou, pour une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Le défaut de désignation est en outre systématiquement relevé lorsqu'un contrôle est déclenché pour un autre motif.

Une désignation volontaire peut-elle être retirée ?

Rien n'interdit de mettre fin à un mandat volontaire, sous réserve d'en informer l'autorité de contrôle et de mettre à jour l'information publiée. L'article 38.3 fait en revanche obstacle à ce qu'un délégué soit relevé de ses fonctions en raison de l'exercice de ses missions : la protection s'applique aussi au délégué désigné volontairement.

Ce que ce régime déclenche ailleurs

L'article 37.6 admet expressément que le délégué exerce sur la base d'un contrat de service : c'est le mandat décrit sur la page pilier.

Le mandat de délégué exercé en abonnement

Les qualités exigées par l'article 37.5, la question des certifications, l'indépendance de l'article 38.3, et les fonctions incompatibles avec le mandat.

Qui peut être DPO

Ce que chaque fonction protège, d'où elle tire son existence, comment elle se situe dans l'organigramme, et les trois situations où les deux se croisent.

DPO ou RSSI

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.