Règlement (UE) 2016/679, articles 37.5 et 38

Qui peut être désigné délégué à la protection des données

Le règlement (UE) 2016/679 ne définit ni diplôme, ni certification, ni ancienneté pour exercer la fonction de délégué. Son article 37.5 pose un critère fonctionnel — les qualités professionnelles et les connaissances requises au regard des traitements en cause — et l'article 38 pose des conditions d'exercice dont la plus contraignante est l'absence de conflit d'intérêts.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Ce que l'article 37.5 exige réellement

Le délégué est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, ainsi que de sa capacité à accomplir les missions visées à l'article 39. Le texte retient trois éléments : des connaissances juridiques, une connaissance des pratiques, et une capacité à exercer.

Le niveau attendu n'est pas absolu : il s'apprécie au regard des traitements en cause. Le considérant 97 le dit expressément, en indiquant que le niveau de connaissances spécialisées requis devrait être déterminé en fonction des opérations de traitement effectuées et de la protection exigée pour les données traitées. Un délégué d'établissement de santé et un délégué de site marchand ne sont pas attendus sur les mêmes connaissances.

La capacité à accomplir les missions est la condition la moins souvent examinée. Elle recouvre le temps disponible autant que la compétence : une personne compétente à qui aucune décharge n'est accordée n'est pas en capacité d'exercer, et l'article 38.2 met alors l'organisation en écart, non l'intéressé.

La certification n'est pas une condition

Aucune disposition du règlement ne subordonne la désignation à la détention d'une certification. Des schémas de certification de compétences existent, dont un porté par l'autorité de contrôle française, mais ils constituent un moyen de démontrer les qualités exigées par l'article 37.5, non une condition d'accès à la fonction.

La question posée en contrôle n'est donc pas de savoir si le délégué est certifié, mais si l'organisation peut justifier de la manière dont elle a apprécié ses qualités professionnelles au moment de la désignation. Une note rédigée à ce moment-là répond à la question ; une certification produite sans cette note y répond partiellement.

L'indépendance et ses conséquences concrètes

L'article 38.3 énonce trois protections. Le responsable et le sous-traitant veillent à ce que le délégué ne reçoive aucune instruction en ce qui concerne l'exercice de ses missions. Le délégué ne peut être relevé de ses fonctions ni pénalisé pour l'exercice de celles-ci. Et il fait directement rapport au niveau le plus élevé de la direction.

Ces trois règles ont des traductions matérielles. Un délégué dont l'avis est systématiquement arbitré par un échelon intermédiaire ne fait pas rapport au niveau le plus élevé. Un délégué dont la rémunération variable dépend de l'aboutissement des projets sur lesquels il doit se prononcer est pénalisé par anticipation. Et un délégué extérieur dont le contrat peut être rompu sans préavis à la suite d'un avis défavorable est, en fait, dans la situation que le texte prohibe.

L'article 38.2 complète en imposant de fournir les ressources nécessaires pour exercer les missions, d'accéder aux données et aux opérations de traitement, et d'entretenir les connaissances spécialisées. L'accès aux traitements n'est pas une faveur : c'est une condition d'exercice.

Les fonctions incompatibles

L'article 38.6 admet que le délégué exécute d'autres missions et tâches, et impose au responsable de veiller à ce qu'elles n'entraînent pas de conflit d'intérêts. Le critère qui se dégage des lignes directrices européennes sur le délégué est simple à énoncer : est en conflit celui qui, dans ses autres fonctions, détermine les finalités et les moyens de traitements qu'il devrait contrôler.

Sont ainsi régulièrement signalées comme problématiques les fonctions de direction générale, de direction des systèmes d'information, de direction des ressources humaines, de direction marketing et de direction financière. La difficulté n'est pas théorique : ce sont précisément les personnes que les organisations désignent spontanément, parce qu'elles connaissent les traitements.

Le recours à un délégué extérieur, ouvert par l'article 37.6, répond directement à cette difficulté : n'exerçant aucune fonction opérationnelle dans l'organisation, il ne contrôle pas ses propres décisions. Ce recours n'écarte pas toute vigilance — un prestataire qui aurait conçu et vendu le traitement qu'il contrôle serait dans la même position — mais il supprime le conflit structurel.

Questions fréquentes

Faut-il un diplôme de juriste pour être DPO ?

Le règlement (UE) 2016/679 n'exige aucun diplôme. L'article 37.5 impose des qualités professionnelles et des connaissances spécialisées du droit et des pratiques de la protection des données, appréciées au regard des traitements en cause. Un profil technique doté d'une connaissance juridique suffisante peut satisfaire ce critère, comme un profil juridique doté d'une compréhension des systèmes.

Le DSI peut-il être le DPO de l'entreprise ?

Le cumul est en principe incompatible. Le directeur des systèmes d'information détermine les moyens des traitements ; il serait appelé, comme délégué, à contrôler ses propres décisions, ce que l'article 38.6 du règlement prohibe. Les lignes directrices européennes sur le délégué signalent expressément cette fonction, ainsi que la direction générale, les ressources humaines, le marketing et la direction financière.

Une certification DPO est-elle obligatoire ?

Non. Aucune disposition du règlement ne subordonne la désignation à une certification. Les schémas existants constituent un moyen de démontrer les qualités exigées par l'article 37.5, parmi d'autres. Ce qui est attendu de l'organisation est de pouvoir justifier la manière dont elle a apprécié ces qualités au moment de la désignation.

Le DPO est-il personnellement responsable des manquements ?

Non. L'article 24 du règlement fait peser sur le responsable du traitement l'obligation de mettre en œuvre les mesures appropriées et d'en démontrer le respect ; cette charge ne se transfère pas au délégué, dont les missions sont définies à l'article 39 et se limitent à informer, conseiller, contrôler et coopérer. Un délégué dont les avis n'ont pas été suivis n'endosse pas la décision prise contre son avis.

Ce que ce régime déclenche ailleurs

Les conditions d'exercice décrites ici ne se posent qu'une fois tranchée la question de l'obligation, qui relève de l'article 37.1.

Déterminer si la désignation est obligatoire

Ce que chaque fonction protège, d'où elle tire son existence, comment elle se situe dans l'organigramme, et les trois situations où les deux se croisent.

DPO ou RSSI

Les deux plafonds de l'article 83, les mesures correctrices qui ne sont pas des amendes, et les onze critères qui pèsent sur le montant.

Sanctions

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.