Désignation du délégué à la protection des données

Le règlement européen sur la protection des données [1] (dit RGPD) est entré en vigueur le 25 mai 2018. Il renforce les droits des citoyens sur leurs données personnelles tout en responsabilisant l'ensemble des organismes qui collectent et traitent ces données. Directement concernées par la nouvelle réglementation, les personnes morales de droit public sont en particulier tenues de désigner un délégué à la protection des données ("DPD" ou "DPO", pour Data Privacy Officer).

Dans une réponse à la question écrite d'un Sénateur, le Ministère de l'intérieur a confirmé qu'en sa qualité de responsable de traitement, le maire d'une commune ne peut en aucun cas être désigné comme DPD.

La personne choisie doit pouvoir bénéficier d'une certaine indépendance vis-à-vis de l'autorité territoriale et ne pas se trouver en situation de conflit d'intérêts dans l'exercice de sa mission. Selon les autorités européennes de protection des données, cela signifie notamment qu'elle "ne peut exercer au sein de l'organisme une fonction qui l'amène à déterminer les finalités et les moyens du traitement de données à caractère personnel" (cf. page 19 du document du groupe de travail [2] mis en ligne sur le site internet de la CNIL).

Si, sous ces réserves et dès lors qu'il dispose des compétences requises pour exercer sa fonction, rien ne s'oppose à ce que le DPD soit membre du personnel de la collectivité qui l'emploie, il est rappelé que plusieurs autorités publiques peuvent désigner un seul délégué. L'article 31 de la loi n° 2018-493 du 20 juin 2018 [3] leur permet de se doter d'un service unifié ayant pour objet d'assumer en commun les charges et obligations liées au traitement de données à caractère personnel.

► Réponse ministérielle à la question écrite n° 05775 [4] (J.O. Sénat du 27 sept. 2018)