Obligation de désignation d’un DPO (délégué à la protection des données)

Publié par Hadrien Mercier

Chez Mediacités, on gère en interne ces questions et même Mediapart qui est l'exemple anti conflit d'intérêts le fait en interne visiblement.

Mais c'est vrai qu'idéologiquement le recours à un dpo externe s'entend et ce serait plus cohérent d'avoir une mutualisation.

Publié par Edmond Espanel

@Julien Vinzent Dans les faits, il y a peu de situation dans lesquelles nos médias peuvent avoir besoin d'un DPO (DPD en français). Vu la taille de nos organisations, nous devrions recourir dans la plupart des cas à un DPO externalisé pour être compliant avec le RGPD (notamment sur les questions d'indépendance, d'éviter les conflits d'intérêt et de respecter les qualifications et compétences métiers).

L'article 37 DU RGPD est assez clair :

https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Section4

"Le responsable du traitement et le sous-traitant désignent en tout état de cause un délégué à la protection des données lorsque:

a) le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle;

b) les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées; ou

c) les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l’article 9 ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10."

La référence à l'article 9, ce sont : "Le traitement des données à caractère personnel qui révèle l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique".

https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2#Article9

Il est rare qu'un média :

• traite avec un suivi régulier et systématique à grande échelle des données personnelles
• ou que ces données soient sensibles au sens du RGPD (article 9 et 10)

Les deux principaux cas qui peuvent se produire pour nos médias :

• le média a un niveau d'audience tel qu'il répond au critère de suivi régulier, systématique et à grande échelle
• le média devient sous-traitant de données personnelles dont le responsable de traitement est un organisme public. Dans ce cas, celui-ci peut t'imposer d'avoir un DPO. Cas que j'ai étudié dans le cadre d'un marché public auquel on a candidaté, pour lequel on devra nommer un DPO si on l'obtient, car on deviendrait un sous-traitant de cet organisme public.

Il existe des associations professionnelles qui proposent ce service de mutualisation de DPO à leurs membres pour quelques milliers d'euros par an. Je ne sais pas si la demande des éditeurs serait suffisante au sein du Spiil pour le faire. Mais on peut en parler ensemble si tu veux.