{"id":13448,"date":"2023-10-19T10:48:26","date_gmt":"2023-10-19T08:48:26","guid":{"rendered":"https:\/\/www.dp-institute.eu\/?p=13448"},"modified":"2023-10-19T10:55:13","modified_gmt":"2023-10-19T08:55:13","slug":"role-dpo-superviseur-conseiller","status":"publish","type":"post","link":"https:\/\/www.dp-institute.eu\/fr\/role-dpo-superviseur-conseiller\/","title":{"rendered":"Le double r\u00f4le du DPD: superviseur ou conseiller ?"},"content":{"rendered":"

Le double r\u00f4le du DPD\u00a0: superviseur ou conseiller\u00a0?<\/p>\n

La conf\u00e9rence n\u00e9erlandophone sur la protection de la vie priv\u00e9e PrivCon2023 s\u2019est tenue r\u00e9cemment et DPI \u00e9tait bien entendu \u00e9galement pr\u00e9sent. Un th\u00e8me r\u00e9current \u00e9tait le r\u00f4le du DPD, et en particulier une interpr\u00e9tation apparemment diff\u00e9rente entre les orateurs et participants n\u00e9erlandais et belges sur la mani\u00e8re dont ce r\u00f4le devrait \u00eatre rempli.<\/p>\n

1.Superviseur ou conseiller ?<\/strong><\/h5>\n

Aux Pays-Bas, le DPD est consid\u00e9r\u00e9 comme un superviseur interne. Ce superviseur interne doit \u00eatre aussi ind\u00e9pendant que possible. Cela signifie qu\u2019il ne peut pas \u00eatre impliqu\u00e9 dans des questions op\u00e9rationnelles telles que la r\u00e9alisation d\u2019AIPD, qu\u2019il ne donne pas de sessions de sensibilisation et qu\u2019il ne signale les risques qu\u2019\u00e0 distance. L\u2019un des orateurs n\u00e9erlandais a fait la comparaison avec le mod\u00e8le bien connu des trois lignes de d\u00e9fense\u00a0: dans ce mod\u00e8le, le DPD est \u00e0 vrai dire une quatri\u00e8me ligne de d\u00e9fense et supervise d\u2019en haut.<\/p>\n

Cela contraste avec l\u2019approche belge. En Belgique, le DPD a d\u2019abord un r\u00f4le de conseiller et d\u2019informateur, et (\u00e9ventuellement) ensuite de superviseur. L\u2019accent est mis sur \u00eatre connu au sein de l\u2019organisation, sensibiliser, conseiller et \u00eatre le plus possible \u00e9cout\u00e9 afin que le RGPD soit correctement appliqu\u00e9 \u00e0 tous les niveaux de l\u2019organisation<\/p>\n

2. Que dit la loi ?<\/strong><\/h5>\n

Avec des points de vue aussi oppos\u00e9s, il est presque in\u00e9vitable que l\u2019un ait raison et l\u2019autre tort, n\u2019est-ce pas\u00a0? Il est temps de se r\u00e9f\u00e9rer au texte de loi proprement dit, en se concentrant principalement sur les passages suivants de l\u2019article 39.1.a. et b.\u00a0:<\/p>\n

Les missions du d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es sont au moins les suivantes\u00a0:<\/em><\/p>\n

    \n
  1. informer et conseiller<\/em><\/strong> le responsable du traitement ou le sous-traitant ainsi que les employ\u00e9s qui proc\u00e8dent au traitement sur les obligations qui leur incombent<\/strong> en vertu du pr\u00e9sent r\u00e8glement et d\u2019autres dispositions du droit de l\u2019Union ou du droit des \u00c9tats membres en mati\u00e8re de protection des donn\u00e9es\u00a0;<\/em><\/li>\n
  2. contr\u00f4ler le respect<\/em><\/strong> du pr\u00e9sent r\u00e8glement, d\u2019autres dispositions du droit de l\u2019Union ou du droit des \u00c9tats membres en mati\u00e8re de protection des donn\u00e9es et des r\u00e8gles internes du responsable du traitement ou du sous-traitant en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel, y compris en ce qui concerne la r\u00e9partition des responsabilit\u00e9s, la sensibilisation et la formation du personnel participant aux op\u00e9rations de traitement, et les audits s\u2019y rapportant\u00a0;<\/strong><\/em><\/li>\n<\/ol>\n

    Le RGPD, comment pourrait-il en \u00eatre autrement, laisse place \u00e0 l\u2019interpr\u00e9tation. La formulation \u00ab\u00a0informer et conseiller sur les obligations qui leur incombent\u00a0\u00bb peut \u00eatre interpr\u00e9t\u00e9e comme la fourniture de conseils limit\u00e9s suite aux obligations \u00e9nonc\u00e9es dans la loi, une APD interne. Mais \u2018informer et conseiller\u2019 peut \u00e9galement \u00eatre consid\u00e9r\u00e9 d\u2019un point de vue plus pratique.<\/p>\n

    Il en va de m\u00eame pour l\u2019article 39.1.b : le DPD est-il \u00e9galement (en partie) responsable de cette sensibilisation et de cette formation, ou doit-il seulement en assurer la mise en \u0153uvre ?<\/p>\n

    Le consid\u00e9rant 97, quant \u00e0 lui, \u00e9voque le r\u00f4le du DPD qui consiste \u00e0 \u00ab\u00a0aider le responsable du traitement ou le sous-traitant \u00e0 v\u00e9rifier le respect<\/strong>, au niveau interne, du pr\u00e9sent r\u00e8glement\u00a0\u00bb. \u2018Aider\u2019 insinue que le DPD ne proc\u00e8de pas lui-m\u00eame \u00e0 la v\u00e9rification, mais en m\u00eame temps, effectuer cette v\u00e9rification constitue \u00e9galement une forme d\u2019aide.<\/p>\n

    3. Que dit l\u2019EDPB ?<\/strong><\/h5>\n

    Pour plus de clart\u00e9, consultons les lignes directrices de l\u2019EDPB. Les lignes directrices concernant les DPD (WP 243)<\/a>, bien qu\u2019elles aient \u00e9t\u00e9 r\u00e9dig\u00e9es par le pr\u00e9d\u00e9cesseur de l\u2019EDPB, le Groupe de travail Article 29, ont par la suite \u00e9t\u00e9 approuv\u00e9es par l\u2019EDPB. Le point 4.1 fait express\u00e9ment r\u00e9f\u00e9rence au fait d\u2019informer et de conseiller, sans mentionner \u00e0 cet \u00e9gard qu\u2019il ne s\u2019agirait que des obligations, et mentionne m\u00eame sp\u00e9cifiquement le fait de \u00ab\u00a0formuler des recommandations\u00a0\u00bb.<\/p>\n

    Il existe \u00e9galement une certaine ambigu\u00eft\u00e9 dans d\u2019autres r\u00e9f\u00e9rences de la directive\u00a0: le registre doit ainsi en principe \u00eatre tenu par le responsable du traitement, mais le DPD peut \u00e9galement \u00eatre charg\u00e9 de tenir ce registre, sous la supervision du responsable du traitement. L\u2019explication du r\u00f4le du DPD dans le cadre d\u2019une AIPD suit le m\u00eame sch\u00e9ma\u00a0: il incombe au responsable du traitement, et non au DPD, d\u2019effectuer une AIPD, mais le DPD doit jouer un r\u00f4le d\u2019assistance. L\u2019\u00e9num\u00e9ration qui suit permet au DPD d\u2019\u00eatre impliqu\u00e9 dans tous les aspects de l\u2019AIPD, y compris la m\u00e9thodologie \u00e0 suivre, le fait de sous-traiter l\u2019AIPD et les mesures \u00e0 appliquer.<\/p>\n

    4. Conclusion : cela d\u00e9pend…<\/strong><\/h5>\n

    En bref, quelle que soit votre approche, vous trouverez dans la litt\u00e9rature disponible de nombreuses pistes pour \u00e9tayer votre point de vue et ce n\u2019est donc pas une question d\u2019avoir raison ou tort. Peut-\u00eatre devrions-nous faire preuve de bon sens et adopter une approche plus pragmatique, des termes que le G29 a lui-m\u00eame utilis\u00e9s dans sa ligne directrice.<\/p>\n

    Qu\u2019est-ce qui fonctionne le mieux pour notre organisation\u00a0? O\u00f9 se situent les risques les plus importants\u00a0? La maturit\u00e9 d\u2019une organisation jouera \u00e9galement un r\u00f4le \u00e0 cet \u00e9gard. En effet, opter pour un r\u00f4le de simple superviseur, dans une organisation qui est loin d\u2019y \u00eatre pr\u00eate, comporte aussi des risques. \u00c0 l\u2019inverse, une organisation qui dispose d\u00e9j\u00e0 d\u2019un Chief Privacy Officer, avec une \u00e9quipe de dix personnes charg\u00e9e de la protection de la vie priv\u00e9e, b\u00e9n\u00e9ficiera beaucoup plus d\u2019un DPD assumant principalement un r\u00f4le de superviseur.<\/p>\n

    Quoi qu\u2019il en soit, les choix effectu\u00e9s doivent \u00eatre bien consign\u00e9s. Chaque DPD doit disposer d\u2019une description de fonction approuv\u00e9e d\u00e9finissant clairement les t\u00e2ches \u00e0 accomplir et pouvant si n\u00e9cessaire \u00e9galement \u00eatre pr\u00e9sent\u00e9e aux autorit\u00e9s de contr\u00f4le. Le responsable du traitement et le DPD b\u00e9n\u00e9ficient ainsi tous deux d\u2019une plus grande s\u00e9curit\u00e9 et clart\u00e9.<\/p>\n

    ***<\/p>\n

    Vous voulez rester au courant de toutes les tendances dans le monde de la protection des donn\u00e9es\u00a0? Abonnez-vous \u00e0 Stay Tuned ou inscrivez-vous \u00e0 l\u2019une de nos formations.<\/h5>\n
    Abonnez-vous ici \u00e0 notre lettre d\u2019information pour plus d\u2019informations pertinentes sur la protection de la vie priv\u00e9e directement dans votre bo\u00eete aux lettres \u00e9lectronique\u00a0!<\/h5>\n
    \n
    \n
    \n
    \nNewsletter<\/legend>\r\n\r\n
    \n\n\n\n\n\n\n\n\n
    \r\n \r\n