Article 37 du RGPD

Article 37 du RGPD : Ce qu'il faut comprendre

L’article 37 du RGPD exige la désignation d’un délégué à la protection des données (DPO) dans certains cas spécifiques. Le DPO est responsable de surveiller la conformité du traitement des données au RGPD et agit comme point de contact pour l’autorité de contrôle et les personnes concernées.

Cas où la désignation d’un DPO est obligatoire

1. Autorité ou organisme public : Toutes les autorités publiques ou organismes publics doivent désigner un DPO, sauf les juridictions dans l’exercice de leur fonction juridictionnelle.
2. Suivi régulier à grande échelle : Si les activités principales du responsable ou du sous-traitant consistent à suivre régulièrement et de manière systématique les personnes à grande échelle (comme le profilage des utilisateurs sur une plateforme en ligne), un DPO est obligatoire.
3. Traitement à grande échelle de données sensibles : Lorsque les activités principales impliquent le traitement à grande échelle de données sensibles (par exemple, les données de santé, ou les condamnations pénales), un DPO doit être nommé.

Désignation d’un DPO dans d’autres cas

Même si un DPO n’est pas obligatoire dans d’autres situations, les entreprises ou associations peuvent choisir d’en désigner un volontairement pour assurer la conformité aux règles de protection des données. Dans certains cas, les lois nationales peuvent rendre cette désignation obligatoire.

DPO pour plusieurs entités

• Un groupe d’entreprises peut désigner un DPO unique à condition qu’il soit facilement accessible à partir de chaque établissement.
• De même, une seule autorité publique peut désigner un DPO pour plusieurs organismes publics, en fonction de leur taille et de leur structure organisationnelle.

Critères pour la désignation d’un DPO

Le DPO doit être choisi en fonction de ses compétences professionnelles, notamment de sa connaissance du droit de la protection des données et de sa capacité à accomplir les tâches requises par l’article 39 du RGPD.

Statut du DPO

Le DPO peut être soit :

• Un employé de l’organisation (interne), soit
• Un prestataire externe qui exerce ses missions sur la base d’un contrat de service.

Communication et publication des coordonnées

Une fois désigné, le responsable du traitement ou le sous-traitant doit :

• Publier les coordonnées du DPO pour que les personnes concernées puissent le contacter.
• Informer l’autorité de contrôle (comme la CNIL) de cette désignation.

Article 37 du RGPD – Exemples concrets

• Exemple 1 : Hôpital
  Un hôpital qui traite de grandes quantités de données de santé doit désigner un DPO pour garantir que les traitements de données sensibles respectent les règles du RGPD.
• Exemple 2 : Plateforme de vente en ligne
  Une grande plateforme e-commerce qui suit les comportements d’achat de ses utilisateurs à grande échelle (pour des recommandations personnalisées, par exemple) doit nommer un DPO, car elle effectue un suivi régulier et systématique des personnes concernées.
• Exemple 3 : Groupe multinational
  Un groupe multinational ayant plusieurs filiales dans différents pays peut désigner un DPO unique pour toutes ses entités, à condition que ce DPO soit accessible pour chaque filiale.