Comment choisir un Délégué à la Protection des Données ?

Le Délégué à la Protection des Données doit être une personne compétente et ne doit pas avoir de conflits d’intérêts. La personne peut être interne ou externe à l’entreprise, du moment qu’elle est impliquée et réalise ses obligations.

Si le responsable de traitement de données personnelles nomme, par souhait ou par obligation^[1], un Délégué à la Protection des Données (DPD), le RGPD demande que cette personne soit « désigné[e] sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection ». Le niveau de compétences de cette personne devrait, par ailleurs, être proportionnel à la quantité et la sensibilité des données traitées.

« Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l’article 39. »

La personne nommée Délégué à la Protection des Données peut avoir, en plus de son rôle de DPD, un autre rôle au sein de l’entreprise, mais le RGPD demande que les activités parallèles « n’entraînent pas de conflit d’intérêts ». Un directeur de l’entreprise qui interviendrait dans la définition des finalités ou des moyens d’un traitement ne pourrait ainsi, par exemple, pas avoir ce rôle.

« Le délégué à la protection des données peut exécuter d’autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n’entraînent pas de conflit d’intérêts. »

Le Délégué à la Protection des Données n’a pas l’obligation d’être un salarié de l’entreprise. Il peut très bien être externe à l’entreprise, du moment qu’il est suffisamment impliqué et qu’il est en mesure de réaliser ses missions^[2].

Le fait de nommer un Délégué à la Protection des Données qui ne présentent pas les qualités requises peut être sanctionnée par l’autorité de contrôle. De nombreuses entreprises ont d’ailleurs déjà été rappelés à l’ordre, notamment par l’autorité luxembourgeoise, qui a réalisé de nombreux contrôles sur ce thème. Par exemple :

• une entreprise a été rappelée à l’ordre, car son Délégué à la Protection des Données avait également les rôles de « Responsable de la conformité » et de « Directeur des signalements sur le blanchiment d’argent »^[3] ;
• une entreprise a été sanctionnée, car son Délégué à la Protection des Données intervenait uniquement de façon ponctuelle et ne s’assurait pas du respect de la règlementation^[4] ;