Article 37 – Désignation du délégué à la protection des données

Article 37 - Désignation du délégué à la protection des données

1. Le responsable du traitement et le sous-traitant désignent en tout état de cause un délégué à la protection des données lorsque:

• a) le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle;
• b) les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées; ou
• c) les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l'article 9 et de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l'article 10.

2. Un groupe d'entreprises peut désigner un seul délégué à la protection des données à condition qu'un délégué à la protection des données soit facilement joignable à partir de chaque lieu d'établissement.

3. Lorsque le responsable du traitement ou le sous-traitant est une autorité publique ou un organisme public, un seul délégué à la protection des données peut être désigné pour plusieurs autorités ou organismes de ce type, compte tenu de leur structure organisationnelle et de leur taille.

4. Dans les cas autres que ceux visés au paragraphe 1, le responsable du traitement ou le sous-traitant ou les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants peuvent désigner ou, si le droit de l'Union ou le droit d'un État membre l'exige, sont tenus de désigner un délégué à la protection des données. Le délégué à la protection des données peut agir pour ces associations et autres organismes représentant des responsables du traitement ou des sous-traitants.

5. Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l'article 39.

6. Le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d'un contrat de service.

7. Le responsable du traitement ou le sous-traitant publient les coordonnées du délégué à la protection des données et les communiquent à l'autorité de contrôle.

En savoir plus...

L'article 37 du RGPD réaffirme l'importance du rôle du délégué à la protection des données (DPO). Le rôle du DPO est particulièrement important pour démontrer le respect des principes de protection des données, ce qui est au cœur du principe de responsabilité (article 5, paragraphe 2, et article 24 du RGPD). Le paragraphe 1 impose aux responsables du traitement et aux sous-traitants l'obligation de désigner un délégué à la protection des données (DPO) sous certaines conditions. Le paragraphe 2 prévoit la possibilité de désigner un DPO pour l'ensemble du groupe d'entreprises, tandis que le paragraphe 3 établit une règle similaire pour les autorités publiques. Le paragraphe 4 étend l'obligation de désigner un DPO au-delà des cas spécifiés au paragraphe 1, lorsque la législation des États membres le prévoit. Les paragraphes 5 et 6 établissent des exigences de compétence pour le DPO, l'obligeant à accomplir les tâches décrites à l'article 39 et permettant que le poste soit occupé soit par des personnes faisant déjà partie du personnel du responsable du traitement ou du sous-traitant, soit par des sujets externes sur la base d'un accord contractuel. Enfin, le paragraphe 7 impose au responsable du traitement de publier les coordonnées du délégué et de les communiquer à l'autorité compétente en matière de protection des données.

Le RGPD prévoit-il une amende en cas d'infraction à cet article ?

Considérants pertinents

Droit souple

Références

Jurisprudence

Cliquez sur une ligne pour obtenir tous les détails.
Note importante : cette base de données n'est pas achevée ; par ailleurs, le développement du "RGPD annoté" implique sa re-structuration complète: il est donc possible que la partie soit vide, ou que certains résultats soient peu pertinents ou soient manquants. Veuillez ne pas hésiter à me le signaler !