Nouveaux acteurs

Deux nouveaux acteurs sont créés par le règlement :

1. Le comité européen de la protection des données vient remplacer l’actuel G29, et voit ses pouvoirs renforcés.

Le comité sera un organe indépendant de l’Union Européenne, ayant la personnalité juridique et qui sera représenté par son Président. Il sera composé du chef de l’autorité de contrôle en matière de données personnelles de chaque État membre, ainsi que du contrôleur européen de la protection des données.

Le comité aura plusieurs missions, dont notamment celles de :

• publier des lignes directrices, des recommandations et des bonnes pratiques concernant les circonstances dans lesquelles une violation de données est susceptible d’engager un risque ;
• examiner, de sa propre initiative ou sur demande, toute question portant sur l’application du règlement ;
• tenir un registre électronique, accessible au public, des décisions prises par les autorités de contrôle et les juridictions sur les questions traitées dans le cadre du mécanisme du contrôle de la cohérence.

2. Concernant le délégué à la protection des données (DPD ou DPO (Data Protection Officier) en anglais), il viendra remplacer l’actuel correspondant informatique et libertés (CIL).

Comme le CIL, le DPD devra avoir une connaissance étendue de la législation en matière de protection des données personnelles.

Sa désignation sera obligatoire dans certains cas :

• si le traitement est effectué par une autorité ou un organisme public (exception faite des tribunaux dans l’exercice de leur fonction juridictionnelle) ;
• si les activités de base d’un responsable de traitement ou d’un sous-traitant comprennent des opérations de traitement qui du fait de leur nature, de leur portée et/ou de leurs finalités exigeraient un suivi régulier et systématique à grande échelle de personnes ;
• si les activités de base d’un responsable de traitement ou d’un sous-traitant comprennent un traitement à grande échelle de données sensibles et de données à caractère personnel relatives à des condamnations pénales et à des infractions ;
• lorsque la loi nationale d’un État membre l’impose.

Il pourra être soit un employé du responsable de traitement ou du sous-traitant, soit un prestataire externe. Dans les deux cas, il devra agir en toute indépendance et ne pas recevoir d’instructions quant à l’exercice de ses fonctions.

Son rôle sera notamment de conseiller l’entreprise sur ses obligations de conformité et servir de point de contact avec les autorités de contrôle.