Correspondants à la protection des données (eu)

Introduction

L’article 18 de la directive 95/46 dispose que les États membres peuvent prévoir une simplification de l’obligation de notification ou une dérogation à cette obligation lorsque le responsable du traitement désigne un « détaché à la protection des données à caractère personnel chargé notamment d'assurer, d'une manière indépendante, l'application interne des dispositions nationales prises en application de la présente directive, de tenir un registre des traitements effectués par le responsable du traitement,garantissant les droits et libertés des personnes concernées ».

La loi du 6 août 2004 qui transpose la directive du 24 octobre 1995,prevoit la possibilité pour les entreprises ou collectivités publiques, de désigner un « correspondant à la protection des données à caractère personnel » (CPD).

Dans ce contexte, il est intéressant de considérer quelques systèmes existants sur ce sujet dans les autres pays de l’Union Européenne, afin d’en connaître les caractéristiques.

Caractère Obligatoire ou Facultatif de la désignation du CPD

En Allemagne

L’Allemagne a une grande expérience de ce système, qui préexistait largement à l’adoption de la directive 95/46, laquelle s’est d’ailleurs inspiré de l’expérience allemande sur ce point. La désignation d’un « délégué à la protection des données » y est obligatoire dans différents cas, limitativement énumérés par la loi :

Dans le secteur privé :

• si le responsable de traitement emploie au moins 5 personnes pour traiter des données personnelles de manière automatisée (ou au moins 20 personnes pour des traitements non-automatisés)
• si le responsable de traitement met en œuvre des traitements soumis à autorisation préalable
• si le responsable de traitement est une société d’un type particulier, visant en particulier les sociétés de marketing direct ou de « credit referencing » (c'est à dire des sociétés fournissant des informations personnelles pour la finalité d’octroi de crédit, entre autres).

Dans le secteur public fédéral :

• si le responsable de traitement met en œuvre des traitements automatisés, quelque soit le nombre de personnes employées ;
• si le responsable de traitement emploie au moins 20 personnes pour des traitements non-automatisés de données, Il est alors possible aux autorités fédérales de nommer un seul délégué pour plusieurs départements ou organismes publics.

Dans le secteur public au niveau des Länder :

ce sont les lois locales qui régissent la question :

• la majorité des lois de protection des données personnelles des Länder impose la désignation d’un CIL dans chaque autorité locale, quelque soit le nombre de personnes employées ;
• il est loisible aux petites collectivités locales de se regrouper pour désigner un CIL commun.

En Suède et aux Pays-Bas

La nomination d’un tel délégué est optionnelle. La loi dispose alors expressément que cette nomination ne préjuge en rien des compétences et des pouvoirs détenus par l’autorité de protection des données.

Aux Pays-Bas, par ailleurs, il est possible qu’une organisation professionnelle regroupant plusieurs organisations (ex : syndicat professionnel) désigne un CPD qui soit compétent pour l’ensemble de cette branche. Le succès de ce système aux Pays-Bas a par ailleurs poussé les CPD à créer leur propre syndicat professionnel, qui a établi ses propres standards que les CPD sont tenus d’appliquer dans leurs organisations, et qui est devenu un interlocuteur quotidien de l’autorité de protection des données.

Conclusion

Il ressort de la comparaison des différentes situations existantes que le choix d’un système de désignation optionnelle est préférable à un système obligatoire : hormis l’attrait indéniable que présente cette désignation, qui permet de ne plus avoir à notifier les traitements à l’autorité de protection, les organisations qui choisissent de désigner un CPD le font en règle générale dans un esprit d’ouverture et de sensibilisation aux questions de protection des données personnelles ; cet état d’esprit offre a priori de meilleures garanties de qualité de travail aux CPD que si leur désignation ne résultait que de la volonté de remplir une obligation légale sans conviction quant à sa justification.