Article 37 RGPD - Désignation du délégué à la protection des données

1. Le responsable du traitement et le sous-traitant désignent en tout état de cause un délégué à la protection des données lorsque:
a) le traitement est effectué par une autorité publique ou un organisme public, à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle;
b) les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées; ou
c) les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l’article 9 ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10.
2. Un groupe d’entreprises peut désigner un seul délégué à la protection des données à condition qu’un délégué à la protection des données soit facilement joignable à partir de chaque lieu d’établissement.
3. Lorsque le responsable du traitement ou le sous-traitant est une autorité publique ou un organisme public, un seul délégué à la protection des données peut être désigné pour plusieurs autorités ou organismes de ce type, compte tenu de leur structure organisationnelle et de leur taille.
4. Dans les cas autres que ceux visés au paragraphe 1, le responsable du traitement ou le sous-traitant ou les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent désigner ou, si le droit de l’Union ou le droit d’un État membre l’exige, sont tenus de désigner un délégué à la protection des données. Le délégué à la protection des données peut agir pour ces associations et autres organismes représentant des responsables du traitement ou des sous-traitants.
5. Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l’article 39.
6. Le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d’un contrat de service.
7. Le responsable du traitement ou le sous-traitant publient les coordonnées du délégué à la protection des données et les communiquent à l’autorité de contrôle.

Considérants pertinents

Foire aux questions

Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.

Le paragraphe 1 rend la désignation obligatoire dans trois cas. Il s’agit du traitement effectué par une autorité publique ou un organisme public, à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle, des activités de base consistant en des opérations de traitement qui exigent un suivi régulier et systématique à grande échelle des personnes concernées, et des activités de base consistant en un traitement à grande échelle de catégories particulières de données visées à l’article 9 ou de données relatives à des condamnations pénales et à des infractions visées à l’article 10.

Oui. Le paragraphe 1 s’adresse indistinctement au responsable du traitement et au sous-traitant, et les critères relatifs aux activités de base énoncés aux points b) et c) visent expressément les activités du responsable du traitement ou du sous-traitant. Un sous-traitant peut donc être tenu de désigner un délégué alors même que ses clients responsables du traitement ne le sont pas.

Oui. En vertu du paragraphe 2, un groupe d’entreprises peut désigner un seul délégué à condition qu’il soit facilement joignable à partir de chaque lieu d’établissement, et en vertu du paragraphe 3, un seul délégué peut être désigné pour plusieurs autorités publiques ou organismes publics, compte tenu de leur structure organisationnelle et de leur taille.

Le paragraphe 5 exige une désignation sur la base des qualités professionnelles et, en particulier, des connaissances spécialisées du droit et des pratiques en matière de protection des données, ainsi que de la capacité à accomplir les missions visées à l’article 39. Le paragraphe 6 ajoute que le délégué peut être un membre du personnel ou exercer ses missions sur la base d’un contrat de service, de sorte qu’une désignation externe est permise.

Le paragraphe 7 impose au responsable du traitement ou au sous-traitant de publier les coordonnées du délégué et de les communiquer à l’autorité de contrôle. La disposition porte sur les coordonnées, ce qui soutient l’accessibilité du délégué aux personnes concernées au titre de l’article 38, paragraphe 4, et sa fonction de point de contact envers l’autorité au titre de l’article 39, paragraphe 1, point e).