Manuel - Droit et protection des données à caractère personnel - 1re - 126

DROIT ET PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL
prend de plus en plus de force339
, à tel point que son caractère obligatoire
tend à devenir le principe. D'ailleurs, les rédacteurs du RGPD ont expressément
prévu la possibilité d'augmenter le nombre de cas où la désignation
d'un DPO serait obligatoire, les législations nationales ou celle de
l'Union pouvant y procéder. En effet, dans les cas autres que ceux visés
au premier paragraphe de l'article 37, le responsable du traitement ou le
sous-traitant, voire les associations et autres organismes représentant des
catégories de responsables du traitement ou de sous-traitants sont tenus
de désigner un délégué à la protection des données si le droit de l'Union
ou le droit d'un État membre l'exige340
.
Pour ce qui est de la désignation d'un DPO, l'article 37 s'applique à la fois
aux responsables du traitement et aux sous-traitants. Cependant, ces désignations,
parce qu'elles dépendent de la réalisation des critères de désignation
obligatoire, sont donc indépendantes l'unedel'autre : c'est dire que si dans
certains cas, seul le responsable du traitement ou le sous-traitant doit désigner
un DPO, dans d'autres, ils devront tous les deux désigner chacun un
DPO, étant entendu que ces derniers devront collaborer entre eux341
.
131. Le DPO dans le secteur public. - La désignation d'un DPO est
obligatoire lorsque le traitement est effectué par une autorité publique ou
un organisme public, à l'exception des juridictions agissant dans l'exercice
de leurs fonctions juridictionnelles342
. Cette dérogation est la seule
: en effet, l'exception vise
prévue par le texte, mais les juridictions ne sont pas pour autant dispensées
de se mettre en conformité avec le RGPD343
les seules activités juridictionnelles, ce qui signifie que les autres traitements
mis en œuvre par les juridictions peuvent donner lieu à la désignation
d'un DPO344
.
339. Il est intéressant de faire état du cas particulier du PNR (Passenger Name Record), adopté par le Parlement
européen le 14 avril 2016 (dir. (UE) 2016/681, 27 avr. 2016) qui, dans le cadre de la lutte antiterroriste,
contraint les compagnies aériennes à fournir aux autorités nationales des données des passagers pour
tous les vols à partir d'un pays tiers de l'Union et inversement. Il est prévu qu'un DPO soit nommé par
l'unité de renseignements sur les passagers pour assurer le contrôle du traitement des données PNR et
veiller à la mise en œuvre des garanties correspondantes. V. Ch. FÉRAL-SCHUL,Cyberdroit, Le droit à l'épreuve
de l'Internet, Praxis Dalloz, 2018/2019, nº 116 et s.
340. Art. 37-4, RGPD.
341. En ce sens, G29, Groupe de travail « Art. 29 » sur la protection des données, Lignes directrices concernant
les délégués à la protection des données, préc., p. 11. Le Groupe de travail donne deux exemples significatifs
: 1) Une petite entreprise recourt aux services d'un sous-traitant dont l'activité de base consiste à
fournir des services d'analyse de sites internet et d'assistance àlapublicité. Les activités de l'entreprise et
ses clients n'entraînent pas de traitement de données à « grande échelle », compte tenu du faible nombre de
clients et des activités relativement limitées. Toutefois, prises globalement, les activités du sous-traitant,
qui dispose d'un grand nombre de clients comme cette petite entreprise, consistent en un traitement à
grande échelle. Le sous-traitant doit donc désigner un DPO, tandis que l'entreprise n'est pas soumise à
cette obligation. 2)Une entreprise de taille moyenne spécialisée dans la fabrication de carrelage sous-traite
ses services de médecine du travail à un sous-traitant externe, qui dispose d'un grand nombre de clients
similaires. Le sous-traitant doit désigner un DPO dans la mesure où le traitement s'effectue à grande
échelle mais pas le fabricant.
342. Art. 37-1 a), RGPD.
343. DPO Consulting, La nomination d'un DPO : obligation ou opportunité, dpo-consulting.fr, 11 déc. 2017.
344. E.GEFFRAY et A. GUÉRIN-FRANÇOIS, Code de la protection des données personnelles, op. cit., comm. sous
art. 37.
126

http://www.dpo-consulting.fr

Manuel - Droit et protection des données à caractère personnel - 1re

Table des matières de la publication Manuel - Droit et protection des données à caractère personnel - 1re