menu MENU
arrow_back Retour à tous les articles
Changer de pays (Actuellement : Belgique) language
Contactez notre membre local en Belgique mail_outline
Visitez le site web de Ulys account_balance

arrow_backArticle précédent
Article 38
Article suivantarrow_forward

Fonction du délégué à la protection des données

Textes
Officiels Guidelines
& Jurisprudence Analyse du
droit européen Analyse du
droit national
Afficher les articles et mots clés liés à l’article 38 du Règlement keyboard_arrow_down Cacher les articles et mots clés liés à l’article 38 keyboard_arrow_up

Articles liés à l'article 38

Mots clés liés à l'article 38

Afficher les considérants du Règlement liés à l'article 38 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 38 keyboard_arrow_up

(97) Lorsque le traitement est réalisé par une autorité publique, à l'exception des juridictions ou des autorités judiciaires indépendantes agissant dans l'exercice de leur fonction juridictionnelle, lorsque, dans le secteur privé, il est effectué par un responsable du traitement dont les activités de base consistent en opérations de traitement exigeant un suivi régulier et systématique à grande échelle des personnes concernées, ou lorsque les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données à caractère personnel et de données relatives à des condamnations pénales et à des infractions, une personne possédant des connaissances spécialisées de la législation et des pratiques en matière de protection des données devrait aider le responsable du traitement ou le sous-traitant à vérifier le respect, au niveau interne, du présent règlement. Dans le secteur privé, les activités de base d'un responsable du traitement ont trait à ses activités principales et ne concernent pas le traitement des données à caractère personnel en tant qu'activité auxiliaire. Le niveau de connaissances spécialisées requis devrait être déterminé notamment en fonction des opérations de traitement de données effectuées et de la protection exigée pour les données à caractère personnel traitées par le responsable du traitement ou le sous-traitant. De tels délégués à la protection des données, qu'ils soient ou non des employés du responsable du traitement, devraient être en mesure d'exercer leurs fonctions et missions en toute indépendance.

Afficher les considérants de la Directive 95/46 liés à l'article 38 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 38 keyboard_arrow_up

(49) considérant que, afin d'éviter des formalités administratives inadéquates, des exonérations ou des simplifications de la notification peuvent être prévues par les États membres pour les traitements de données qui ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées, à condition qu'ils soient conformes à un acte pris par l'État membre qui en précise les limites; que des exonérations ou simplifications peuvent pareillement être prévues par les États membres dès lors qu'une personne désignée par le responsable du traitement de données s'assure que les traitements effectués ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées; que la personne ainsi détachée à la protection des données, employée ou non du responsable du traitement de données, doit être en mesure d'exercer ses fonctions en toute indépendance;

(54) considérant que, au regard de tous les traitements mis en oeuvre dans la société, le nombre de ceux présentant de tels risques particuliers devrait être très restreint; que les États membres doivent prévoir, pour ces traitements, un examen préalable à leur mise en oeuvre, effectué par l'autorité de contrôle ou par le détaché à la protection des données en coopération avec celle-ci; que, à la suite de cet examen préalable, l'autorité de contrôle peut, selon le droit national dont elle relève, émettre un avis ou autoriser le traitement des données; qu'un tel examen peut également être effectué au cours de l'élaboration soit d'une mesure législative du Parlement national, soit d'une mesure fondée sur une telle mesure législative, qui définisse la nature du traitement et précise les garanties appropriées;

Le GDPR

L’article 38 impose au responsable du traitement ou au sous-traitant une série d’obligations en vue de permettre à ce dernier d’assumer les missions prévues quant à elles, à l’article 39.

Ainsi, Le responsable du traitement ou le sous-traitant veillent à ce que le délégué à la protection des données soit associé d'une manière appropriée et en temps utile à toutes les questions relatives à la protection des données à caractère personnel. Ils aident le délégué à exercer les missions visées à l'article 39 en lui fournissant les ressources nécessaires à leur exécution et l'accès aux données à caractère personnel et aux traitements, ainsi qu’en permettant au délégué d’entretenir ses compétences spécialisées.  

Il incombe au responsable ou au sous-traitant de veiller à l’indépendance du délégué dans l’exercice de ses missions. Ils doivent notamment veiller à ce qu’il ne reçoive pas d’instruction en ce qui concerne l’accomplissement de ses missions. Le délégué ne saurait du reste être pénalisé ou licencié par le responsable du traitement ou le sous-traitant pour l'accomplissement de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé du responsable du traitement ou du sous-traitant (§3).

Le délégué doit être lié par le secret ou la confidentialité, en ce qui concerne l’accomplissement de ses tâches, conformément au droit de l’Union ou au droit d’un État membre (art. 38, paragraphe 5).

La dernière version du Règlement prévoit en outre que les personnes concernées peuvent contacter le délégué sur n’importe quelle problématique liée au traitement de leurs données et à l’exercice de leurs droits (cfr. art. 38, paragraphe 4).

Enfin, le délégué peut exécuter d'autres missions et tâches, à charge du responsable du traitement ou le sous-traitant de veiller à ce que ces missions et tâches n'entraînent pas de conflits d'intérêts (§ 6).

La Directive

La Directive était peu loquace quant aux fonctions du détaché à la protection des données : selon l’article 18, sa mission consistait à garantir que les activités de traitement ne portent pas atteinte aux droits et libertés des personnes concernées, en veillant, d’une manière indépendante, à la conformité du traitement aux dispositions nationales transposant la Directive.

En particulier, il lui incombait de tenir un registre des traitements effectués par le responsable du traitement, contenant les informations qui font l’objet d’une notification à l’autorité de contrôle nationale compétente, conformément à l’article 21, § 2 de la Directive.

Belgique

En droit belge, l'article 17bis, alinéa 2 de la loi du 8 décembre 1992 dispose que le Roi peut déterminer que le responsable du traitement désigne un préposé à la protection des données chargé d'assurer, d'une manière indépendante, l'application de la loi du 8 décembre 1992, ainsi que de ses mesures d'exécution. Toutefois, aucun texte réglementaire n’organise le statut et les fonctions du préposé en droit belge.

Difficultés probables ?

Les fonctions du délégué et son statut devront faire l’objet d’une attention particulière dans les entreprises et responsables du traitement. Son indépendance devra être garantie, qu’il soit employé ou non. En interne, les règles de hiérarchies et les sanctions éventuelles en cas de mauvaise exécution des missions confiées par le responsable du traitement devront être revues afin de s’assurer du respect des nouvelles règles.

arrow_back Article précédent • Article 38 • Article suivant arrow_forward
arrow_back Article précédent • Article 38 Article suivant arrow_forward

Groupe 29

Guidelines on Data Protection Officers (‘DPOs’) (5 april 2017)

(Endorsed by the EDPB)

The General Data Protection Regulation (‘GDPR’), due to come into effect on 25 May 2018, provides a modernised, accountability-based compliance framework for data protection in Europe. Data Protection Officers (‘DPO’s) will be at the heart of this new legal framework for many organisations, facilitating compliance with the provisions of the GDPR.

Under the GDPR, it is mandatory for certain controllers and processors to designate a DPO. This will be the case for all public authorities and bodies (irrespective of what data they process), and for other organisations that - as a core activity - monitor individuals systematically and on a large scale, or that process special categories of personal data on a large scale.

Even when the GDPR does not specifically require the appointment of a DPO, organisations may sometimes find it useful to designate a DPO on a voluntary basis. The Article 29 Data Protection Working Party (‘WP29’) encourages these voluntary efforts.

The concept of DPO is not new. Although Directive 95/46/EC did not require any organisation to appoint a DPO, the practice of appointing a DPO has nevertheless developed in several Member States over the years.

Before the adoption of the GDPR, the WP29 argued that the DPO is a cornerstone of accountability and that appointing a DPO can facilitate compliance and furthermore, become a competitive advantage for businesses. In addition to facilitating compliance through the implementation of accountability tools (such as facilitating data protection impact assessments and carrying out or facilitating audits), DPOs act as intermediaries between relevant stakeholders (e.g. supervisory authorities, data subjects, and business units within an organisation).

DPOs are not personally responsible in case of non-compliance with the GDPR. The GDPR makes it clear that it is the controller or the processor who is required to ensure and to be able to demonstrate that the processing is performed in accordance with its provisions (Article 24(1)). Data protection compliance is a responsibility of the controller or the processor.

The controller or the processor also has a crucial role in enabling the effective performance of the DPO’s tasks. Appointing a DPO is a first step but DPOs must also be given sufficient autonomy and resources to carry out their tasks effectively.

The GDPR recognises the DPO as a key player in the new data governance system and lays down conditions for his or her appointment, position and tasks. The aim of these guidelines is to clarify the relevant provisions in the GDPR in order to help controllers and processors to comply with the law, but also to assist DPOs in their role. The guidelines also provide best practice recommendations, building on the experience gained in some EU Member States. The WP29 will monitor the implementation of these guidelines and may complement them with further details as appropriate.

Read the Guidelines

Jurisprudence de la CJUE

C-92/09 ; C-93/09 (9 novembre 2010)

1)      Les articles 42, point 8 ter, et 44 bis du règlement (CE) n° 1290/2005 du Conseil, du 21 juin 2005, relatif au financement de la politique agricole commune, tel que modifié par le règlement (CE) n° 1437/2007 du Conseil, du 26 novembre 2007, ainsi que le règlement (CE) n° 259/2008 de la Commission, du 18 mars 2008, portant modalités d’application du règlement n° 1290/2005 en ce qui concerne la publication des informations relatives aux bénéficiaires de fonds en provenance du Fonds européen agricole de garantie (FEAGA) et du Fonds européen agricole pour le développement rural (Feader), sont invalides dans la mesure où, s’agissant des personnes physiques bénéficiaires d’aides du FEAGA et du Feader, ces dispositions imposent la publication de données à caractère personnel relatives à tout bénéficiaire, sans opérer de distinction selon des critères pertinents, tels que les périodes pendant lesquelles elles ont perçu de telles aides, la fréquence ou encore le type et l’importance de celles-ci.

2)      L’invalidité des dispositions du droit de l’Union mentionnées au point 1 de ce dispositif ne permet pas de remettre en cause les effets de la publication des listes des bénéficiaires d’aides du FEAGA et du Feader effectuée par les autorités nationales, sur le fondement desdites dispositions, pendant la période antérieure à la date du prononcé du présent arrêt.

3)      L’article 18, paragraphe 2, second tiret, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, doit être interprété en ce sens qu’il ne soumet pas le détaché à la protection des données à caractère personnel à une obligation de procéder à la tenue du registre prévue par cette disposition préalablement à la mise en œuvre d’un traitement de données à caractère personnel, tel que celui résultant des articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005, tel que modifié par le règlement n° 1437/2007, ainsi que du règlement n° 259/2008.

4)      L’article 20 de la directive 95/46 doit être interprété en ce sens qu’il ne fait pas obligation aux États membres de soumettre aux contrôles préalables prévus par cette disposition la publication des informations résultant des articles 42, point 8 ter, et 44 bis du règlement n° 1290/2005, tel que modifié par le règlement n° 1437/2007, ainsi que du règlement n° 259/2008.

Conclusions de l'Avocat général

Arrêt rendu

Autorité nationale

Recommandation relative à la désignation d’un délégué à la protection des données conformément au Règlement général sur la protection des données (RGPD), en particulier l’admissibilité du cumul de cette fonction avec d’autres fonctions dont celle de conseiller en sécurité n° 04/2017 (24 mai 2017)

1. Le Règlement général sur la protection des données (ci-après RGPD) est entré en vigueur le 24 mai 2016 et sera d’application à dater du 25 mai 2018.


2. Dans le chapitre IV du RGPD qui énonce les obligations des responsables de traitement et des sous-traitants, la section IV est entièrement consacrée au délégué à la protection des données. Plus spécifiquement, l’article 37 détaille les cas dans lesquels la désignation du délégué à la protection des données est obligatoire ainsi que les modalités de cette désignation ; l’article 38 encadre la fonction même de délégué à la protection des données (statut) et l’article 39 décrit quelles sont ses missions. Quelques autres articles du RGPD viennent compléter l’encadrement de cette fonction nouvelle.


3. Immédiatement après l’adoption du RGPD, les autorités de protection des données ont identifié la question du délégué à la protection des données comme prioritaire. Elles ont incité les responsables de traitement et sous-traitants à vérifier rapidement si oui ou non ils sont juridiquement tenus de désigner un délégué à la protection des données en application de l’article 37.1. du RGPD ainsi qu’à procéder aux engagements ou à programmer les formations nécessaires. Réunies au sein du Groupe de l’Article 29, elles ont également encouragé la désignation volontaire de tels délégués et proposé des lignes directrices d’interprétation commune des articles pertinents du RGPD ainsi que formulé un certain nombre de recommandations (best practice).


4. Outre les questions récurrentes auxquelles elle a déjà répondu par la voie de FAQ sur son site Internet (et pour la réponse auxquelles elle s’appuie sur le travail d’interprétation commune du groupe de l’Article 29 déjà cité), la CPVP reçoit régulièrement la question de savoir si le « conseiller en sécurité » que doivent désigner certaines institutions, organismes et autres entités en application de différentes règlementations belges peut devenir le délégué à la protection des données - exigé pour toute autorité et organisme publics notamment (37.1. du RGPD). Peut-il exercer cumulativement les fonctions de conseiller en sécurité et de délégué à la protection des données et, le cas échéant, à quelles conditions ?


5. La présente recommandation a pour objectif de guider les responsable de traitement et les sous-traitants dans leur analyse et leur choix d’un délégué à la protection des données dans le respect du RGPD (voy. le point III). Compte tenu des nombreuses questions que la CPVP reçoit quant au cumul de cette fonction avec celle de « conseiller en sécurité », une attention particulière, mais non exclusive, sera accordée à cet aspect dans la présente recommandation.

Lien

arrow_back Article précédent • Article 38 Article suivant arrow_forward
Règlement
1e 2e

Art. 38

1. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel.

2. Le responsable du traitement et le sous-traitant aident le délégué à la protection des données à exercer les missions visées à l'article 39 en fournissant les ressources nécessaires pour exercer ces missions, ainsi que l'accès aux données à caractère personnel et aux opérations de traitement, et lui permettant d’entretenir ses connaissances spécialisées.

3. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant.

4. Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l'exercice des droits que leur confère le présent règlement.

5. Le délégué à la protection des données est soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l'exercice de ses missions, conformément au droit de l'Union ou au droit des États membres.

6. Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts.

 
Proposition 1 close

1. Le responsable du traitement ou le sous-traitant veillent à ce que le délégué à la protection des données soit associé d'une manière appropriée et en temps utile à toutes les questions relatives à la protection des données à caractère personnel.

2. Le responsable du traitement ou le sous-traitant veillent à ce que le délégué à la protection des données accomplisse ses missions et obligations en toute indépendance et ne reçoive aucune instruction en ce qui concerne l'exercice de sa fonction. Le délégué à la protection des données fait directement rapport à la direction du responsable du traitement ou du sous-traitant.

3. Le responsable du traitement ou le sous-traitant aident le délégué à la protection des données à exercer ses missions et fournissent le personnel, les locaux, les équipements et toutes autres ressources nécessaires à l'exécution des missions et obligations énoncées à l’article 37.
Proposition 2 close

1. Le responsable du traitement ou le sous-traitant veillent à ce que le délégué à la protection des données soit associé d'une manière appropriée et en temps utile à toutes les questions relatives à la protection des données à caractère personnel.

2. Le responsable du traitement ou le sous-traitant aident le délégué à la protection des données à exercer les missions visées à l'article 37 en fournissant (…) les ressources nécessaires à l'exécution de ces missions ainsi que l'accès aux données à caractère personnel et aux traitements.

3. Le responsable du traitement ou le sous-traitant veillent à ce que le délégué à la protection des données puisse agir en toute indépendance dans l'accomplissement de ses missions et ne reçoive aucune instruction en ce qui concerne l'accomplissement de celles-ci. Il ne saurait être pénalisé par le responsable du traitement ou le sous-traitant pour l'accomplissement de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé du responsable du traitement ou du sous-traitant.

4. Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement ou le sous-traitant doivent veiller à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts.
Directive close

Art. 18

2. Les États membres ne peuvent prévoir de simplification de la notification ou de dérogation à cette obligation que dans les cas et aux conditions suivants:

- lorsque, pour les catégories de traitement qui, compte tenu des données à traiter, ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes concernées, ils précisent les finalités des traitements, les données ou catégories de données traitées, la ou les catégories de personnes concernées, les destinataires ou catégories de destinataires auxquels les données sont communiquées et la durée de conservation des données

et/ou

- lorsque le responsable du traitement désigne, conformément au droit national auquel il est soumis, un détaché à la protection des données à caractère personnel chargé notamment:

- d'assurer, d'une manière indépendante, l'application interne des dispositions nationales prises en application de la présente directive,

- de tenir un registre des traitements effectués par le responsable du traitement, contenant les informations visées à l'article 21 paragraphe 2,

et garantissant de la sorte que les traitements ne sont pas susceptibles de porter atteinte faux droits et libertés des personnes concernées.
Belgique
compare_arrows
visibility Ancienne loi

Aucune disposition spécifique
Ancienne loi close

Art. 17bis.

Le Roi détermine, après avis de la Commission de la protection de la vie privée, les catégories de traitements qui présentent des risques particuliers au regard des droits et libertés des personnes concernées, et fixe, également sur proposition de la Commission de la protection de la vie privée, des conditions particulières pour garantir les droits et libertés des personnes concernées.

Il peut en particulier déterminer que le responsable du traitement désigne un préposé à la protection des données chargé d'assurer, d'une manière indépendante, l'application de la présente loi ainsi que de ses mesures d'exécution.

Le Roi détermine par arrêté délibéré en Conseil des ministres, après avis de la Commission de la protection de la vie privée, le statut du préposé à la protection des données.
arrow_back Article précédent • Article 38 Article suivant arrow_forward
close

2016 - www.itiplaw.eu.