Le délégué à la protection des données à caractère personnel (DPO): désignation, fonction et missions

Dans le cadre de la mise en œuvre du principe d’accountability — c’est-à-dire de l’obligation, pour les acteurs du traitement, non seulement de respecter les règles mais encore d’être en mesure de le démontrer à tout instant —, le RGPD prévoit la désignation, obligatoire dans certains cas, d’un délégué à la protection des données (DPD ou DPO pour Data Protection Officer).

Le DPD joue un rôle clé dans la promotion d’une culture de la protection des données au sein de l’organisme et contribue à mettre en œuvre des éléments essentiels du RGPD, tels que les principes relatifs au traitement des données, les droits des personnes concernées, la protection des données dès la conception et la protection des données par défaut, le registre des activités de traitement, la sécurité du traitement ainsi que la notification et la communication des violations de données.

Le DPD est présenté par le Groupe de l’article 29 comme « l’une des pierres angulaires du régime de responsabilité » institué par le législateur européen. L’image n’est pas fortuite : en confiant à une personne identifiée la surveillance permanente de la conformité, le règlement fait du DPD le pivot par lequel le principe abstrait d’accountability se traduit en procédures concrètes, vérifiables et opposables.

Plus précisément, il a pour finalité :

• D’une part, de faciliter le respect des règles grâce à la mise en œuvre d’outils de responsabilité (comme la facilitation d’analyses d’impact relatives à la protection des données et la facilitation ou la réalisation d’audits relatifs à la protection des données)
• D’autre part, d’agir comme un intermédiaire entre les acteurs concernés (par exemple, les autorités de contrôle, les personnes concernées et les entités économiques au sein d’un organisme).

Ces deux finalités révèlent la nature hybride de la fonction : le DPD n’est ni un simple auditeur interne, ni un mandataire de l’autorité de contrôle, mais un tiers de confiance dont la légitimité repose sur son indépendance et sur sa capacité à dialoguer simultanément avec l’ensemble des parties prenantes.

Au vrai, la désignation d’une personne chargée de veiller au respect de la conformité des procédures internes de l’entreprise avec les principes édictés par les textes n’est pas nouvelle.

La directive du 24 novembre 1995 prévoyait déjà la possibilité pour les États membres de désigner une personne détachée à la protection des données, laquelle sera connue, en France, sous le nom de Correspondant Informatique et Libertés (CIL).

Autant dire que le DPD a vocation à remplacer ce CIL, à la nuance près néanmoins, que la désignation du DPD est, dans certains cas, rendue obligatoire par le RGPD. La différence n’est pas seulement terminologique : là où le CIL procédait d’une démarche purement volontaire et n’emportait qu’un allègement des formalités déclaratives auprès de la CNIL, le DPD s’inscrit dans une logique de responsabilisation imposée, assortie d’un statut protégé et de missions définies par le règlement lui-même.

Étonnement, tandis que le RGPD détaille le statut du DPD, la loi française de transposition du 20 juin 2018 se limite à prévoir sa désignation. Pour le reste, elle renvoie au règlement européen qui, bien qu’il soit d’application directe, comporte de nombreuses zones d’imprécision.

Aussi, c’est à la CNIL et à la jurisprudence qu’il reviendra de préciser le statut juridique du DPD. Cette répartition des sources — un règlement européen d’application directe, une loi nationale lacunaire, des lignes directrices à valeur de droit souple et une jurisprudence encore embryonnaire — explique que le régime du DPD doive aujourd’hui être reconstitué par strates successives.

Pour l’heure, il convient de se reporter au RGPD et aux lignes directives du Groupe de l’article 29 afin d’appréhender le régime juridique du DPD.

I) La désignation du délégué à la protection des données

L’étude de la désignation suppose de répondre successivement à trois questions : dans quels cas la désignation s’impose-t-elle (A) ? selon quelles modalités peut-elle être organisée (B) ? et à quelle publicité doit-elle donner lieu (C) ?

A) Les cas de désignation d’un DPD

Il ressort du RGPD qu’il convient de distinguer les cas où la désignation d’un DPD est obligatoire et ceux où la désignation est facultative.

1. La désignation d’un DPD est obligatoire

A titre de remarque liminaire, il peut être observé que l’article 37 du RGPD s’applique à la fois aux responsables du traitement et aux sous-traitants en ce qui concerne la désignation d’un DPD.

Cette extension de l’obligation au sous-traitant n’a rien d’anecdotique. Elle traduit le principe selon lequel le statut de sous-traitant n’exonère nullement son titulaire de toute responsabilité en matière de protection des données : si la licéité de son activité de traitement demeure déterminée par le mandat que lui confie le responsable du traitement — lequel a précisément l’obligation de définir contractuellement la mission confiée —, le sous-traitant n’en supporte pas moins ses propres obligations, au premier rang desquelles figure, le cas échéant, la désignation d’un DPD. Le sous-traitant qui outrepasserait son mandat, en acquérant un rôle déterminant dans la définition des finalités ou des moyens essentiels du traitement, se verrait d’ailleurs requalifié en (co)responsable du traitement, avec toutes les conséquences qui s’y attachent.

En fonction de la personne qui remplit les critères de désignation obligatoire, dans certains cas, seul le responsable du traitement ou le sous-traitant est tenu de désigner un DPD, dans d’autres, le responsable de traitement et le sous-traitant sont tenus de désigner chacun un DPD (les deux DPD devant alors collaborer entre eux).

Il est important de souligner que, quand bien même le responsable du traitement remplit les critères de désignation obligatoire, son sous-traitant n’est pas nécessairement tenu de désigner un DPD. L’appréciation des critères de l’article 37 s’opère, en effet, de manière autonome au regard des activités propres de chaque acteur : un responsable du traitement peut ainsi être assujetti à l’obligation à raison de l’ampleur de ses propres traitements, sans que son sous-traitant, dont l’activité demeurerait en deçà des seuils, ne le soit lui-même.

Pour déterminer si la désignation est obligatoire, il convient de se reporter à l’article 37, 1. du RGPD qui énonce trois cas.

Dans le silence de la LIL et de la jurisprudence qui n’a pas encore eu l’opportunité de se prononcer, le champ d’application de ces trois cas doit être appréhendée à la lumière Lignes directrices concernant les délégués à la protection des données adoptées par le Groupe de l’article 29 en date du 13 décembre 2016.

• Premier cas: le traitement est effectué par une autorité publique ou un organisme public, à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle
  • Le G29 considère que cette notion doit être définie en fonction du droit national.
  • La réserve relative aux juridictions agissant dans l’exercice de leur fonction juridictionnelle s’explique par le souci de préserver l’indépendance de la justice : le contrôle de la conformité des traitements opérés dans l’exercice du pouvoir de juger ne saurait relever d’une fonction interne susceptible d’interférer, fût-ce indirectement, avec l’office du juge.
  • Bien qu’il n’y ait pas d’obligation dans ce cas, le G29 recommande, à titre de bonne pratique, que les organismes privés chargés d’effectuer des missions de service public ou exerçant l’autorité publique désignent un DPD. Les activités de ce DPD couvrent l’ensemble des opérations de traitement effectuées, y compris celles qui ne sont pas liées à la réalisation d’une mission de service public ou à l’exercice d’une charge officielle (par exemple, la gestion d’une base de données des employés).

• Deuxième cas: les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées
  • Sur la notion d’« activité de base »
    • Les « activités de base » peuvent être considérées comme les opérations essentielles nécessaires pour atteindre les objectifs du responsable du traitement ou du sous-traitant.
    • Toutefois, les « activités de base » ne doivent pas être interprétées comme excluant les activités pour lesquelles le traitement de données fait partie intégrante de l’activité du responsable du traitement ou du sous-traitant.
    • Il importe, à cet égard, de distinguer le traitement qui constitue le cœur de l’activité — ou qui en est indissociable — de celui qui n’en représente qu’un simple accessoire ou un support purement instrumental. Le critère décisif tient à ce que, sans le traitement considéré, l’activité principale ne pourrait être conduite : c’est alors le rapport de nécessité, et non le caractère central ou périphérique apparent, qui commande la qualification.
    • Par exemple, l’activité de base d’un hôpital est de fournir des soins de santé.
    • Toutefois, un hôpital ne peut fournir de soins de santé de manière sûre et efficace sans traiter des données concernant la santé, telles que les dossiers médicaux des patients.
    • Par conséquent, le traitement de ces données doit être considéré comme l’une des activités de base de tout hôpital, et les hôpitaux doivent donc désigner un DPD.
    • A contrario, le traitement des données de paie ou la gestion de l’infrastructure informatique de soutien, communs à toute organisation quelle que soit son objet, demeurent de simples activités de support et ne suffisent pas, à eux seuls, à caractériser une activité de base.
  • Sur la notion de suivi régulier et systématique
    • La notion de suivi régulier et systématique des personnes concernées n’est pas définie dans le RGPD, mais celle de « suivi du comportement des personnes concernées » est mentionnée au considérant 24 et inclut clairement toutes les formes de suivi et de profilage sur l’internet, y compris à des fins de publicité comportementale.
    • Toutefois, la notion de suivi n’est pas limitée à l’environnement en ligne et le suivi en ligne ne doit être considéré que comme un exemple de suivi du comportement des personnes concernées.
      • Sur le terme « régulier»
        • Le G29 interprète le terme « régulier » comme recouvrant une ou plusieurs des significations suivantes
          • Continu ou se produisant à intervalles réguliers au cours d’une période donnée
          • Récurrent ou se répétant à des moments fixes
          • Ayant lieu de manière constante ou périodique.
      • Sur le terme « systématique»
        • Le G29 interprète le terme « systématique » comme recouvrant une ou plusieurs des significations suivantes
          • Se produisant conformément à un système
          • Préétabli, organisé ou méthodique
          • Ayant lieu dans le cadre d’un programme général de collecte de données
          • Effectué dans le cadre d’une stratégie.
        • Il résulte de cette double exigence que le suivi visé par le texte ne se confond ni avec une collecte ponctuelle et isolée — qui ne saurait être qualifiée de régulière —, ni avec une surveillance désordonnée et fortuite — qui ne saurait être qualifiée de systématique. Les deux qualificatifs sont cumulatifs : c’est la conjonction de la permanence dans le temps et de l’organisation méthodique qui déclenche l’obligation.
        • Exemples d’activités pouvant constituer un suivi régulier et systématique des personnes concernées:
          • Exploitation d’un réseau de télécommunications
          • Fourniture de services de télécommunications
          • Reciblage par courrier électronique
          • Activités de marketing fondées sur les données
          • Profilage et notation à des fins d’évaluation des risques (par exemple, aux fins de l’évaluation du risque de crédit, de l’établissement des primes d’assurance, de la prévention de la fraude ou de la détection du blanchiment d’argent)
          • Géolocalisation, par exemple, par des applications mobiles
          • Programmes de fidélité
          • Publicité comportementale
          • Surveillance des données sur le bien-être, la santé et la condition physique au moyen de dispositifs portables
          • Systèmes de télévision en circuit fermé
          • Dispositifs connectés tels que les voitures et compteurs intelligents, la domotique, etc.

• Troisième cas: les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l’article 9 et de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10
  • Ce troisième cas se distingue du précédent en ce qu’il ne suppose aucun suivi régulier et systématique : c’est la sensibilité particulière des données traitées — données de santé, opinions, convictions, orientation sexuelle, données génétiques ou biométriques, données pénales — combinée à l’ampleur du traitement, qui justifie, à elle seule, l’obligation de désignation.
  • Si le RGPD ne définit pas la notion de traitement à « grande échelle », le considérant 91 fournit toutefois certaines orientations.
  • En effet, il n’est pas possible de donner un chiffre précis, que ce soit pour la quantité de données traitées ou le nombre d’individus concernés, qui soit applicable dans toutes les situations.
  • Cela n’exclut toutefois pas la possibilité qu’au fil du temps, une pratique courante puisse émerger, permettant de déterminer en des termes plus spécifiques ou quantitatifs ce qui constitue un traitement « à grande échelle » pour certains types d’activités de traitement courantes.
  • En tout état de cause, le G29 recommande que les facteurs suivants, en particulier, soient pris en considération pour déterminer si le traitement est mis en œuvre à grande échelle :
    • Le nombre de personnes concernées, soit en valeur absolue, soit en valeur relative par rapport à la population concernée
    • Le volume de données et/ou le spectre des données traitées
    • La durée, ou la permanence, des activités de traitement des données
    • L’étendue géographique de l’activité de traitement
  • Le G29 prend soin, par ailleurs, d’écarter du champ du traitement à grande échelle celui qu’un praticien isolé opère sur les données de ses propres patients ou clients — tel le médecin exerçant à titre individuel ou l’avocat traitant les dossiers de sa seule clientèle —, lequel demeure, en dépit de la sensibilité éventuelle des données, hors de l’obligation de désignation.

2. La désignation d’un DPD est facultative

L’article 37, 4. du RGPD prévoit que « le responsable du traitement ou le sous-traitant ou les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent désigner ou, si le droit de l’Union ou le droit d’un État membre l’exige, sont tenus de désigner un délégué à la protection des données ».

En dehors des trois hypothèses d’obligation, la désignation procède donc soit d’une simple faculté laissée à l’appréciation de l’organisme, soit d’une obligation que le droit de l’Union ou le droit national pourrait, à l’avenir, instituer dans des secteurs déterminés.

Cette désignation résultera d’une évaluation du niveau de risque de non-conformité auquel est exposé le responsable du traitement ou le sous-traitant.

A cet égard, il peut être observé que le G29 recommande que les responsables du traitement et les sous-traitants documentent l’analyse interne effectuée afin de déterminer si, oui ou non, il y a lieu de désigner un DPD, afin qu’ils soient en mesure de démontrer que les facteurs pertinents ont été correctement pris en considération.

On retrouve ici, jusque dans le choix de désigner ou non un DPD, la marque du principe d’accountability : l’organisme doit non seulement décider, mais encore conserver la trace écrite du raisonnement l’ayant conduit à sa décision, de sorte que celle-ci soit, en cas de contrôle, susceptible d’être justifiée.

Cette analyse fait partie de la documentation requise au titre du principe de responsabilité. Elle peut être exigée par l’autorité de contrôle et doit être tenue à jour le cas échéant, par exemple si les responsables du traitement ou les sous-traitants exercent de nouvelles activités ou s’ils proposent de nouveaux services susceptibles de correspondre aux cas énumérés à l’article 37.

B) Les modalités de désignation du DPD

Une fois acquis le principe de la désignation, le règlement laisse à l’organisme une certaine latitude dans son organisation matérielle. Deux questions méritent, à cet égard, une attention particulière : celle du recours à un DPD externe (1) et celle de la mutualisation d’un DPD unique entre plusieurs organismes (2).

1. La désignation d’un DPD externe

Le Groupe de l’article 29 prévient : lorsqu’un organisme désigne un DPD sur une base volontaire, les conditions prévues aux articles 37 à 39 s’appliquent à la désignation, à la fonction et aux missions de celui-ci comme si la désignation avait été obligatoire. Autrement dit, la désignation volontaire ne saurait être un demi-engagement : dès lors qu’un organisme confère à une personne le titre de DPD, il s’oblige à lui garantir l’ensemble des prérogatives et des protections attachées à la fonction, sans pouvoir se prévaloir du caractère facultatif de la nomination pour en restreindre la portée.

Rien n’empêche un organisme qui n’est pas tenu légalement de désigner un DPD et ne souhaite pas en désigner sur une base volontaire d’employer du personnel ou des consultants extérieurs chargés de missions liées à la protection des données à caractère personnel.

En pareil cas, il importe de veiller à ce qu’il n’y ait pas de confusion quant à leur titre, leur statut, leur fonction et leurs missions.

Ainsi, il convient d’indiquer clairement, dans toute communication au sein de l’entreprise ainsi qu’avec les autorités chargées de la protection des données, les personnes concernées et le public au sens large, que cette personne ou ce consultant ne porte pas le titre de délégué à la protection des données (DPD). Cette exigence de clarté terminologique n’est pas formelle : du titre dépendent un régime de protection contre la révocation, un faisceau de missions définies par le règlement et une responsabilité propre, en sorte que l’emploi indu de l’appellation entraînerait, par voie de conséquence, l’application de l’ensemble de ce régime.

2. La désignation d’un DPD unique pour plusieurs organismes

L’article 37, 4 du RGPD prévoit que « un groupe d’entreprises peut désigner un seul délégué à la protection des données à condition qu’un délégué à la protection des données soit facilement joignable à partir de chaque lieu d’établissement ».

Le règlement consacre ainsi la possibilité d’une mutualisation, dictée par un souci d’économie de moyens et de cohérence de la politique de conformité à l’échelle du groupe. Cette faculté n’est toutefois ouverte que sous une réserve impérative — la joignabilité du DPD depuis chaque établissement —, laquelle constitue le garde-fou contre une désignation purement nominale qui priverait la fonction de toute effectivité.

Pour le Groupe de l’article 29 la notion de joignabilité renvoie aux missions du DPD en tant que point de contact pour les personnes concernées, pour l’autorité de contrôle, mais également en interne au sein de l’organisme, compte tenu du fait que l’une des missions du DPD consiste à « informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu du présent règlement ».

Afin de veiller à ce que le DPD, qu’il soit interne ou externe, soit joignable, il est important de s’assurer que ses coordonnées sont mises à disposition conformément aux exigences du RGPD.

Il doit donc être en mesure, avec l’aide d’une équipe si nécessaire, de communiquer efficacement avec les personnes concernées et de coopérer avec les autorités de contrôle compétentes, ce qui implique également que cette communication s’effectue dans la ou les langues utilisées par les autorités de contrôle et les personnes concernées en question. L’exigence linguistique, loin d’être accessoire, conditionne l’effectivité même du droit des personnes concernées à s’adresser au DPD : une joignabilité formelle, mais dépourvue de la possibilité d’un dialogue compréhensible, ne satisferait pas à la lettre du règlement.

La disponibilité d’un DPD (qu’il se trouve physiquement dans le même lieu que les employés ou qu’il soit joignable à travers un service d’assistance téléphonique ou d’autres moyens de communication sécurisés) est essentielle pour que les personnes concernées puissent prendre contact avec lui.

En outre, l’article 37 du RGPD autorise la désignation d’un seul délégué à la protection des données pour plusieurs autorités publiques ou organismes publics, compte tenu :

• De leur structure organisationnelle
• De leur taille.

La mutualisation, admise dans la sphère privée pour les groupes d’entreprises, est ainsi transposée à la sphère publique, sous une double considération — organisationnelle et dimensionnelle — destinée à garantir que le partage du DPD ne se fasse pas au détriment de l’effectivité de ses missions.

Les mêmes considérations en matière de ressources et de communication s’appliquent.

Étant donné que le DPD est chargé d’une série de missions, le responsable du traitement ou le sous-traitant doit s’assurer qu’un seul DPD peut, avec l’aide d’une équipe si nécessaire, s’acquitter efficacement de ces missions en dépit du fait qu’il soit désigné par plusieurs autorités publiques et organismes publics. La mutualisation trouve, en ce point, sa limite naturelle : dès lors que le cumul des charges excéderait la capacité d’un seul délégué à les assumer avec diligence, la désignation unique deviendrait incompatible avec l’exigence d’effectivité et devrait céder le pas à une pluralité de désignations.

C) La publicité de la désignation du DPD

L’article 37, 7 du RGPD met à la charge du responsable du traitement une obligation de publier « les coordonnées du délégué à la protection des données et les communiquent à l’autorité de contrôle ».

Cette obligation présente un caractère bicéphale : elle comporte, d’une part, un volet de publicité externe — la mise à la disposition du public des coordonnées du DPD — et, d’autre part, un volet de communication institutionnelle — la notification de ces coordonnées à l’autorité de contrôle. Les deux volets sont complémentaires et concourent à une même finalité : assurer l’accessibilité du DPD à l’ensemble des acteurs susceptibles de devoir le saisir.

Ces exigences visent à garantir que les personnes concernées (tant à l’intérieur qu’à l’extérieur de l’organisme) et les autorités de contrôle puissent aisément et directement prendre contact avec le DPD sans devoir s’adresser à un autre service de l’organisme.

Sur la communication des coordonnées du DPD

Les coordonnées du DPD doivent contenir des informations permettant aux personnes concernées et aux autorités de contrôle de joindre celui-ci facilement (une adresse postale, un numéro de téléphone spécifique et/ou une adresse de courrier électronique spécifique).

On observera que le G29 n’impose pas la divulgation du nom du DPD, laquelle relève de l’opportunité laissée à l’organisme et à l’intéressé ; la publicité porte d’abord sur la fonction et ses points de contact, et non nécessairement sur l’identité de la personne qui l’exerce, ce qui permet de concilier l’exigence d’accessibilité avec la protection de la vie privée du délégué.

Le cas échéant, aux fins de la communication avec le public, d’autres moyens de communication pourraient également être prévus, par exemple, une assistance par téléphone spécifique, ou un formulaire de contact spécifique adressé au DPD sur le site web de l’organisme.

Sur la communication du nom du DPD

L’article 37, 7 n’exige pas que les coordonnées publiées incluent le nom du DPD. Le texte se borne, en effet, à imposer la publication des coordonnées du délégué — adresse postale, ligne téléphonique dédiée, adresse de courrier électronique fonctionnelle — sans requérir la divulgation de son identité nominative au public. Cette dissociation procède d’un choix délibéré : ce qui importe à l’égard des tiers, ce n’est pas tant la personne du délégué que la fonction qu’il incarne, laquelle doit demeurer joignable indépendamment des changements affectant son titulaire.

Toutefois, la communication du nom du DPD à l’autorité de contrôle est essentielle pour que le DPD puisse faire office de point de contact entre l’organisme et l’autorité de contrôle. Il convient, à cet égard, de bien distinguer deux registres de communication dont les exigences ne se confondent pas :

• À l’égard du public et des personnes concernées — seules les coordonnées fonctionnelles doivent être rendues accessibles, de sorte que toute personne souhaitant exercer ses droits puisse atteindre la fonction de délégué sans connaître nécessairement l’identité de celui qui l’exerce.
• À l’égard de l’autorité de contrôle — la transmission du nom du délégué, en sus de ses coordonnées, s’impose en pratique, faute de quoi l’autorité ne disposerait pas d’un interlocuteur clairement identifié auprès duquel diligenter ses demandes, conduire ses investigations ou solliciter la coopération de l’organisme.

La logique qui sous-tend cette asymétrie est aisément intelligible : la publicité des coordonnées poursuit une finalité d’accessibilité, tandis que la communication nominative à l’autorité de contrôle poursuit une finalité d’identification, indispensable à l’efficacité du dialogue institutionnel entre l’organisme et le régulateur.

II) La fonction de délégué à la protection des données

A) Les conditions d’éligibilité à la fonction de DPD

L’article 37, 5. du RGPD prévoit que « le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l’article 39 ».

Le considérant 97 précise que le niveau de connaissances spécialisées requis doit être déterminé notamment en fonction des opérations de traitement de données effectuées et de la protection exigée pour les données à caractère personnel traitées par le responsable du traitement ou le sous-traitant. L’appréciation doit, autrement dit, être effectuée au cas par cas.

Il s’infère de cette exigence d’appréciation in concreto que le législateur européen a délibérément renoncé à fixer un seuil de compétence abstrait et uniforme. Aucun diplôme particulier, aucune certification, aucune ancienneté minimale ne sont juridiquement requis : ce qui est exigé, c’est une adéquation entre le profil du délégué et les caractéristiques propres des traitements qu’il aura à superviser. La conséquence en est double — un même niveau d’expertise pourra être jugé suffisant dans une structure aux traitements limités et insuffisant dans un organisme manipulant des données sensibles à grande échelle.

En tout état de cause, pour être éligible à la fonction de DPD, la personne désignée doit justifier :

1. Un niveau adéquat d’expertise

• Bien que le niveau d’expertise requis ne soit pas défini, il doit être proportionné à la sensibilité, à la complexité et au volume des données traitées par un organisme.
• Par exemple, lorsqu’une opération de traitement de données est particulièrement complexe, ou lorsqu’une grande quantité de données sensibles est concernée, il est possible que le DPD doive disposer d’un niveau plus élevé d’expertise et de soutien.
• Cette exigence obéit à une logique de proportionnalité : le degré de compétence attendu est une fonction croissante du risque que les traitements font peser sur les droits et libertés des personnes concernées. Plus le traitement est susceptible de porter atteinte à la vie privée — par sa nature, son échelle ou la vulnérabilité des personnes visées —, plus l’organisme doit s’assurer que son délégué dispose des moyens intellectuels d’en maîtriser les enjeux.

2. Des qualités professionnelles suffisantes

• Pour le Groupe de l’article 29, il est nécessaire que le DPD dispose d’une expertise dans le domaine des législations et pratiques nationales et européennes en matière de protection des données, ainsi que d’une connaissance approfondie du RGPD.
• Il doit encore disposer d’une bonne compréhension des opérations de traitement effectuées, ainsi que des systèmes d’information et des besoins du responsable du traitement en matière de protection et de sécurité des données.
• Les qualités professionnelles attendues se déploient ainsi sur un double registre, à la fois juridique et technique : le délégué doit maîtriser le corpus normatif applicable — règlement européen, droit national, lignes directrices et jurisprudence —, mais aussi comprendre l’architecture informationnelle concrète de l’organisme, sans quoi son expertise demeurerait purement théorique et inopérante au stade de la mise en œuvre.
• S’y ajoute une connaissance fine du secteur d’activité de l’organisme : le délégué d’une banque, d’un hôpital ou d’une collectivité territoriale doit appréhender les contraintes métier propres à chacun de ces environnements, dont dépend la pertinence de ses conseils.

3. Une aptitude à exercer ses missions

• L’aptitude à exercer les missions qui incombent au DPD doit être interprétée tant au regard des qualités personnelles et connaissances du DPD que de sa fonction au sein de l’organisme.
• Parmi les qualités personnelles figurent par exemple l’intégrité et un haut niveau de déontologie, la préoccupation première du DPD devant être de permettre le respect du RGPD.
• L’aptitude se distingue ainsi de la seule compétence technique : elle suppose, outre le savoir, un savoir-être. L’intégrité du délégué et son indépendance d’esprit conditionnent la crédibilité de sa fonction, dès lors qu’il lui appartiendra, le cas échéant, de contredire la direction de l’organisme dont il relève. Un délégué techniquement irréprochable mais dépourvu de courage déontologique ne saurait remplir utilement sa mission.

Ces trois exigences se cumulent : l’expertise sans l’aptitude resterait stérile, et l’aptitude sans l’expertise, impuissante. C’est de leur réunion que naît la garantie recherchée par le règlement, à savoir la présence, au sein de l’organisme, d’un acteur à la fois compétent, crédible et résolu.

B) La fonction du DPD

L’article 38 du RGPD prévoit que « le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel ».

Il ressort de cette disposition que, dès lors qu’une situation intéresse le traitement de données à caractère personnel, le DPD doit, a minima, en être informé par le responsable du traitement, voire être consulté pour avis.

Deux conditions, posées par le texte, encadrent cette association du délégué et en commandent l’effectivité :

• Une association « d’une manière appropriée » — le délégué doit être impliqué selon des modalités adaptées à la nature et à l’importance de la question soulevée, ce qui suppose qu’il soit destinataire d’une information complète et qu’il dispose des éléments nécessaires à la formation d’un avis éclairé.
• Une association « en temps utile » — l’intervention du délégué doit être suffisamment précoce pour être réellement opérante. Consulter le DPD une fois la décision arrêtée et le traitement déployé reviendrait à vider la garantie de sa substance. C’est en amont, au stade de la conception des traitements, que son association produit son plein effet — exigence qui rejoint la logique de protection des données dès la conception consacrée à l’article 25 du règlement.

L’association du délégué « à toutes les questions relatives à la protection des données » doit, par ailleurs, être entendue largement : elle ne se cantonne pas aux seuls projets formellement identifiés comme touchant aux données personnelles, mais s’étend à toute initiative — déploiement d’un nouvel outil, conclusion d’un contrat de sous-traitance, réorganisation interne — dont les implications, fussent-elles incidentes, intéressent les traitements de l’organisme.

C) Les ressources du DPD

L’article 38 du RGPD met à la charge du responsable du traitement une obligation de fourniture, au DPD :

• Des ressources nécessaires pour exercer ces missions ;
• De l’accès aux données à caractère personnel et aux opérations de traitement, et lui permettant d’entretenir ses connaissances spécialisées.

Cette obligation de fourniture de ressources est le corollaire indispensable de la fonction : elle prévient le risque d’un délégué de pure façade, formellement désigné pour satisfaire à l’exigence réglementaire mais matériellement privé des moyens d’exercer sa mission. Concrètement, les ressources visées par le texte recouvrent plusieurs réalités :

• Des ressources humaines et matérielles — temps de travail effectivement consacré à la fonction, équipe de soutien lorsque la taille de l’organisme le justifie, locaux et équipements adéquats.
• Un accès effectif à l’information — le délégué doit pouvoir accéder aux données et aux opérations de traitement, ainsi qu’au soutien des autres services de l’organisme (informatique, juridique, ressources humaines), faute de quoi son contrôle demeurerait nominal.
• Un soutien à la formation continue — la fourniture de moyens permettant au délégué d’entretenir ses connaissances spécialisées consacre une obligation de mise à jour, justifiée par le caractère mouvant du droit de la protection des données et des techniques de traitement.

Le Groupe de l’article 29 précise que, d’une manière générale, plus les opérations de traitement sont complexes ou sensibles, plus les ressources octroyées au DPD devront être importantes. La fonction de protection des données doit être effective et dotée de ressources adéquates au regard du traitement de données réalisé. Là encore se retrouve la logique de proportionnalité qui irrigue l’ensemble du régime : les moyens alloués au délégué doivent être ajustés à la mesure des risques que les traitements de l’organisme font peser sur les personnes concernées.

D) Les garanties d’exercice de la fonction

L’article 38 du RGPD pose un certain nombre de règles qui sont destinées à permettre au DPD d’exercer ses missions en toute indépendance.

A cet égard, le considérant 97 précise que le DPD, qu’il soit ou non employé du responsable du traitement, doit, en tout état de cause, être en mesure d’exercer ses fonctions et missions en toute indépendance.

Cette indépendance, qui constitue la pierre angulaire du régime, est garantie par un triptyque de protections étroitement articulées :

1. L’autonomie dont jouit le DPD dans l’exercice de ses missions

• A cet égard, le responsable du traitement et le sous-traitant doivent veiller à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l’exercice des missions.
• Cela signifie que, dans l’exercice de ses missions, en application de l’article 39 du RGPD, le DPD ne doit pas recevoir d’instructions sur la façon de traiter une affaire, par exemple quel résultat devrait être obtenu, comment enquêter sur une plainte ou s’il y a lieu de consulter l’autorité de contrôle.
• Le RGPD précise que le délégué à la protection des données fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant.
• Ce rattachement au sommet de la hiérarchie n’est pas une simple commodité organisationnelle : il garantit que les avis du délégué parviennent, sans filtre ni déformation par les échelons intermédiaires, aux organes décisionnaires, et place le délégué à l’abri des pressions que pourraient exercer les responsables opérationnels dont il a précisément vocation à contrôler l’action.

2. L’immunité dont il jouit quant au licenciement et aux sanctions disciplinaires

• Le DPD ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l’exercice de ses missions.
• Cette exigence renforce l’autonomie des DPD et contribue à garantir que ceux-ci agissent en toute indépendance et bénéficient d’une protection suffisante dans l’exercice de leurs missions relatives à la protection des données.
• Par exemple, si un DPD considère qu’un traitement particulier est susceptible d’engendrer un risque élevé et conseille au responsable du traitement ou au sous-traitant de procéder à une analyse d’impact relative à la protection des données, mais que le responsable du traitement ou le sous-traitant n’est pas d’accord avec l’évaluation du DPD, ce dernier ne peut être relevé de ses fonctions pour avoir formulé cet avis.
• Il importe, toutefois, d’en mesurer exactement la portée : la protection couvre l’exercice des missions de protection des données, et non la personne du délégué en tant que telle. Le DPD demeure justiciable des règles ordinaires de la discipline pour des manquements étrangers à sa fonction de délégué — faute professionnelle caractérisée, manquement à ses autres obligations contractuelles —, mais il ne saurait, en aucun cas, être sanctionné pour avoir accompli, fût-ce à rebours des intérêts immédiats de l’organisme, les diligences que sa mission lui commandait.

3. La prévention du conflit d’intérêts

• Si le RGPD autorise le DPD à exercer d’autres missions et tâches au sein de l’entreprise, le responsable du traitement ou le sous-traitant doivent veiller à ce que ces missions et tâches n’entraînent pas de conflit d’intérêts.
• Pour le Groupe de l’article 29, cela signifie que le DPD ne peut exercer au sein de l’organisme une fonction qui l’amène à déterminer les finalités et les moyens du traitement de données à caractère personnel.
• La raison en est limpide : nul ne saurait être à la fois le contrôleur et le contrôlé. Un délégué qui déterminerait lui-même les finalités et moyens d’un traitement serait conduit à apprécier la conformité de ses propres décisions — situation dans laquelle l’impartialité requise par sa fonction se trouverait structurellement compromise. Sont, à ce titre, regardées comme incompatibles avec la fonction de délégué les positions de direction qui emportent un tel pouvoir de détermination : direction générale, direction des systèmes d’information, direction des ressources humaines ou direction du marketing.
• S’agissant d’un DPD externe, il peut y avoir conflit d’intérêts s’il est appelé à représenter le responsable du traitement ou le sous-traitant devant les tribunaux dans des affaires ayant trait à des questions liées à la protection des données.

Ces trois garanties forment un ensemble cohérent et complémentaire : l’absence d’instruction préserve la liberté de jugement du délégué au moment où il forme son avis ; l’immunité protège ce jugement contre les représailles qu’il pourrait susciter une fois exprimé ; la prévention du conflit d’intérêts garantit, en amont, l’impartialité structurelle de la fonction. Privée de l’une quelconque de ces composantes, l’indépendance du délégué resterait incomplète et, partant, illusoire.

III) Les missions du délégué à la protection des données

Les missions qui doivent être confiées au DPD sont énoncées, non exhaustivement, à l’article 39 du RGPD.

Le caractère non exhaustif de cette énumération mérite d’être souligné : l’article 39 fixe un socle minimal de missions, sans interdire au responsable du traitement de confier au délégué des tâches additionnelles, pourvu qu’elles demeurent compatibles avec son indépendance et n’engendrent aucun conflit d’intérêts. Au demeurant, ces missions présentent une nature constante — elles sont, pour l’essentiel, des fonctions de conseil et de contrôle, et non de décision, laquelle demeure l’apanage du responsable du traitement.

Cette disposition prévoit en ce sens que le DPD a pour mission :

• D’informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent
  • Le DPD se voit ainsi confier une mission pédagogique auprès des différents acteurs de l’entreprise.
  • Cette mission peut se traduire par la mise en place de formations et de notes informatives.
  • Elle revêt une dimension à la fois préventive et diffuse : préventive, en ce qu’elle tend à faire naître une culture de la conformité avant que ne survienne le manquement ; diffuse, en ce qu’elle irrigue l’ensemble des services et non les seuls organes de direction, dès lors que la conformité se joue, au quotidien, dans les pratiques concrètes des agents qui manipulent les données.

• De contrôler le respect du RGPD
  • Le contrôle du respect du RGPD ne signifie pas que le DPD est personnellement responsable en cas de non-respect de celui-ci.
  • Le RGPD établit clairement que c’est le responsable du traitement, et non le DPD, qui est tenu de mettre « en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement » (article 24).
  • Le respect de la protection des données relève de la responsabilité du responsable du traitement des données, et non du DPD.
  • Cette dissociation entre la mission de contrôle et la charge de la responsabilité est cardinale : elle découle directement du principe d’accountability qui irrigue le règlement, en vertu duquel c’est sur le responsable du traitement — et sur lui seul — que pèse la charge de démontrer la conformité. Le délégué surveille, alerte et recommande ; il ne décide ni ne répond. En pratique, ce contrôle se déploie au travers de la collecte d’informations permettant de recenser les traitements, de l’analyse et de la vérification de leur conformité, ainsi que de l’information et du conseil adressés au responsable du traitement.

• De dispenser des conseils, sur demande, en ce qui concerne l’analyse d’impact relative à la protection des données et vérifier l’exécution de celle-ci
  • Conformément à l’article 35, il incombe au responsable du traitement, et non au DPD, d’effectuer, si nécessaire, une analyse d’impact relative à la protection des données.
  • Le G29 recommande que le responsable du traitement demande conseil au DPD sur les questions suivantes notamment :
    • La question de savoir s’il convient ou non de procéder à une analyse d’impact relative à la protection des données ;
    • La méthodologie à suivre lors de la réalisation d’une analyse d’impact relative à la protection des données ;
    • La question de savoir s’il convient d’effectuer l’analyse d’impact relative à la protection des données en interne ou de la sous-traiter ;
    • Les mesures (y compris des mesures techniques et organisationnelles) à appliquer pour atténuer les risques éventuels pesant sur les droits et les intérêts des personnes concernées ;
    • La question de savoir si l’analyse d’impact relative à la protection des données a été correctement réalisée et si ses conclusions (opportunité ou non de procéder au traitement et garanties à mettre en place) sont conformes au RGPD.
  • Si le responsable du traitement est en désaccord avec l’avis fourni par le DPD, la documentation de l’analyse d’impact relative à la protection des données devrait expressément justifier, par écrit, la raison pour laquelle l’avis n’a pas été pris en considération.
  • On retrouve ici, transposée au cas particulier de l’analyse d’impact, la logique générale qui gouverne les rapports entre le délégué et le responsable du traitement : le premier éclaire, le second arbitre. La traçabilité écrite du désaccord constitue, à cet égard, une exigence remarquable — elle ne prive pas le responsable de son pouvoir de décision, mais elle l’oblige à motiver son refus de suivre l’avis du délégué, de telle sorte que ce refus puisse, le cas échéant, être ultérieurement apprécié par l’autorité de contrôle.

• De coopérer avec l’autorité de contrôle et de faire office de point de contact
  • Selon le Groupe de l’article 29, ces missions ont trait au rôle de « facilitateur » du DPD.
  • En effet, celui-ci fait office de point de contact pour faciliter l’accès de l’autorité de contrôle aux documents et informations nécessaires à l’exécution de ses missions, ainsi qu’à l’exercice de ses pouvoirs d’enquête, de ses pouvoirs d’adopter des mesures correctrices, de ses pouvoirs d’autorisation et de ses pouvoirs consultatifs.
  • Ce rôle de point de contact présente une double orientation. Tourné vers l’extérieur, le délégué constitue l’interlocuteur privilégié de l’autorité de contrôle et, plus largement, des personnes concernées qui entendent exercer leurs droits — droit d’accès, de rectification, d’effacement, d’opposition. Tourné vers l’intérieur, il assure la circulation de l’information au sein de l’organisme et veille à ce que les sollicitations externes trouvent une réponse appropriée. C’est en cette double qualité que se mesure pleinement la fonction de pivot du délégué, point de jonction entre l’organisme, les personnes concernées et le régulateur.

Au terme de cette analyse, l’économie générale de la fonction se laisse aisément saisir : le délégué à la protection des données n’est ni un décideur ni un garant — il n’assume pas la responsabilité de la conformité —, mais un conseil indépendant et un contrôleur interne, dont l’autorité procède moins de pouvoirs contraignants que de la compétence, de l’indépendance et de la crédibilité que lui confèrent le statut et les garanties que le règlement a pris soin de lui reconnaître.