Un délégué à la protection des données doit être désigné dans les cas suivants (RGPD, art. 37)
- Le traitement des données est effectué par une autorité ou un organisme public (à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle)
- Les activités de base du responsable de traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées
- Les activités de base du responsable de traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories de données particulières (sensibles selon l’article 9 du RGPD) ou de données relatives aux condamnations pénales et aux infractions
A première vue, il est possible de croire qu’une petite entreprise n’entrerait dans le champ d’application d’aucun de ces trois points. Pour autant, il faut se demander ce que signifient les termes « régulier », « systématique » et « à grande échelle » et comment les interpréter dans le cas de votre entreprise ou organisme.
Les notions de « suivi régulier et systématique » sont interprétés largement, au point de désigner toutes les formes de suivi et de profilage (dont la publicité comportementale).
Nombre d’entreprises tomberont facilement dans ces interprétations qui peuvent concerner la majorité des traitements de données personnelles.
Le G29 préconise d’ailleurs la désignation d’un DPO. Elle permet en effet de confier à un expert l’identification et la coordination des actions à mener en matière de protection des données personnelles.
