Pays-Bas Suède Allemagne. Personuppgiftsombudet (personal data representative)

Transcription

1 TABLEAU COMPARATIF DES DELEGUES A LA PROTECTION DES DONNES A CARACTERE PERSONNEL EN EUROPE Version V1.0 à jour au 10 juillet Nous invitons les lecteurs à nous communiquer leurs commentaires afin de compléter ce tableau (pg@pascalgelly.com) Titre Création / Date d entrée en vigueur Nombre Associations professionnelles Textes Pays-Bas Suède Allemagne Functionaris voor de gegevensbescherming (data protection officer) Personuppgiftsombudet (personal data representative) Beauftragter für Datenschutz (DSB) (Data Protection Official) DP 1.0 : 2001 DP 1.0 : 1998 DPO 1.0: 1977 DPO 2.0: 2001 DPO 3.0: 2006 DPO 4.0: La liste des RT ayant nommé un DP est disponible DP pour organisations Inconnu (la notification à l Autorité étant sur le site de l Autorité : 246 RT au total - la liste des DP est disponible sur demande auprès facultative) de l Autorité - Nederlands Genootschap van Functionarissen voor de Gegevensbescherming (NGFG) - Chapitre 4 et chapitre 9 Section 2 de la Wet Bescherming Persoonsgegevens (WBP) du 6 Juillet Section 5.2 de la Algemene wet bestuursrecht de Pas à ce jour - Sections 36 à 41 de la loi Personuppgiftslag 1998:204 du 29 avril 1998 modifiée - Gesellschaft für Datenschutz und Datensicherung e.v. (GDD) - Sections 4d, 4f, 4g et 38 de la Bundesdatenschutzgesetz (BDSG) 15 novembre 2006 modifié en juillet 2009 avec entrée en vigueur le février 1994 Obligatoire / Facultatif Facultatif Facultatif Obligatoire - pour le secteur public (au niveau fédéral et dans certains états) - pour les entreprises si plus de 9 employés chargés du traitement automatisé des données [loi de 2006] - pour les entreprises si plus de 20 personnes procèdent au traitement des données par d autres moyens - lorsque les traitements font l objet d un contrôle préalable 1 Le DP allemand bénéficie à compter du 1 er septembre 2009 d un statut de salarié protégé. En outre le RT doit lui assurer une formation continue Page 1 sur 7

2 Avantages liés à la nomination d un DP - Allègement des procédures : les déclarations obligatoires de traitement sont faites directement au DP (au lieu de l Autorité), sauf traitement soumis au contrôle préalable de l Autorité - Allègement des procédures : Plus de déclaration obligatoire de traitement à l Autorité, sauf traitement soumis au contrôle préalable de l Autorité - pour certaines entreprises qui opèrent des traitements automatisés de données comme principale finalité commerciale (ex. liste des courtiers, études de marché**, organismes de crédit***) Le non respect de cette obligation est une infraction administrative - Allègement des procédures : les déclarations obligatoires de traitement sont faites directement au DP (au lieu de l Autorité) Rôle Général Tenue d une liste de traitements Missions obligatoires - Supervise les traitements de données conformément à la législation -Supervise la conformité au code de conduite du RT ou du secteur (registre) - Accessible à toute personne qui en fait la demande - Consulté sur l ensemble des nouveaux traitements - Peut émettre des recommandations auprès du RT (le RT n est pas lié par ces recommandations) - Sert d intermédiaire de communication entre le RT et l Autorité (chaque DP a son propre contact au sein de l Autorité) - Reçoit les notifications de traitements de la part du RT - Reçoit les demandes et réclamations relatives aux traitements - Informe - Développe des règlements internes relatifs à la protection des données - Donne des avis sur les technologies et la protection - Doit s assurer que les données sont traitées par le RT licitement et en conformité avec les bonnes pratiques - Doit attirer l attention du RT sur d éventuels manquements - peut ne couvrir qu un secteur d activité défini (ex. Ressources Humaines) (registre) - accessible à toute personne qui en fait la demande - mis à la disposition de l autorité seulement en cas de demande - Assiste les personnes concernées dans l exercice de leur droit de rectification lorsqu il y a des raisons de suspecter que ces données sont incorrectes ou incomplètes - Sert d intermédiaire de communication entre le RT et l Autorité (contact dédié aux DP au sein de l Autorité) - consulté sur l ensemble des nouveaux traitements* - reçoit les demandes et réclamations relatives aux traitements * - doit garantir la conformité avec la législation applicable (registre). Mission du RT qui la délègue généralement au DP - accessible à toute personne qui en fait la demande - Procède au contrôle préalable des traitements automatisés de données si nécessaire (pour les données sensibles et lorsque le traitement est destiné à évaluer la personnalité de la personne concernée) [loi de 2001] - contrôle la bonne utilisation des programmes de traitements de données - sensibilise les employés chargés du traitement aux exigences de protection des données - conseille et assiste le RT compte tenu des obligations qui lui sont propres [loi de 2006] - contact pour les personnes concernées - examine les mesures techniques et organisationnelles** - mission du RT qui la délègue généralement au DP Page 2 sur 7

3 - supervise les personnes en charge du traitement des données** - mission du RT qui la délègue généralement au DP - veille à ce que les droits des personnes concernées soient garantis et que l information soit donnée** - mission du RT qui la délègue généralement au DP Rapport d activités Missions facultatives - bilan annuel sur les activités et les constats du DP (il est souhaitable d envoyer une copie du rapport à l Autorité) Nomination Qualifications Définies de façon générale : «connaissances suffisantes pour l accomplissement de ses missions» (ex. connaissance de l organisation, des traitements de l organisation, des intérêts impliqués, et une connaissance de la législation sur la protection des données, de façon indépendante) - «doit être suffisamment digne de confiance» (est tenu au secret, a la capacité d équilibrer les intérêts de chacun) - Certification :? Non Définies de façon générale : "qualifications requises pour exercer ses missions"* (ex. le DP doit être en mesure de se familiariser avec la législation sur la protection des données, et avec la façon dont les données personnelles sont traitées par le RT). - Certification : non Recommandé (mais non exigé par la loi) - envoyé à la Direction de l entreprise - élaboration de code de conduite** - révision des contrats de protection des données** Définies de façon générale : - doit faire preuve de fiabilité nécessaire à l accomplissement de ses fonctions - doit avoir des connaissances spécifiques des activités et des obligations légales du RT : - connaissances spécifiques de la loi sur la protection des données** - connaissance suffisante des normes techniques** - connaissance de base de l économie de l entreprise** - connaissance précise des structures et des opérations de traitement de l entreprise** Page 3 sur 7

4 Conditions d exercice Interne / externe... Formalités Indépendance - interne : possible - Directement rattaché à la direction du RT - externe : possible (mais les formaliser avec la culture de la compagnie) - partagé : possible (RT affiliés ou association professionnelle) - avocat :? - personne morale : non - la fonction ne peut être partagée au sein d une équipe - Notification de l Autorité obligatoire (prise d effet seulement après notification) - Notification du Comité d Entreprise non nécessaire - Aucune instruction du RT - Le RT ne peut jouer le rôle de DP dans sa propre organisation - interne : possible - externe : possible - partagé : possible - avocat : possible - personne morale : non - Notification obligatoire à l Autorité - Il est indispensable d informer l Autorité de l identité du DP pour l allègement des procédures - Notification du Comité d Entreprise non nécessaire - aucune instruction du RT - Le DP ne peut être le RT ou son représentant légal Statut - Système de salarié protégé - Pas de système de salarié protégé, mais le DP ne peut être sanctionné pour dénonciation d un manquement commis par son employeur (Loi relative à la protection de l emploi) Moyens - Le RT donne au DP l opportunité d accomplir correctement ses missions - Le DP est en droit d exiger la fourniture d informations - Le DP est en droit d exiger de toute personne une coopération totale (a la qualité de «supervisor» selon la loi de février 1994) - Pouvoir d investigation en tous lieux, de tous documents - Pouvoir de demander l assistance de la police ou de tiers qu il désigne Page 4 sur 7 - interne : possible - externe : possible (pour les organismes publics seulement si le DP est un fonctionnaire) - partagé : possible dans les organismes publics d avoir un DP pour plusieurs organismes. Un groupe d entreprise peut nommer un DP qui sera responsable également dans les filiales** - avocat : possible - personne morale : possible (selon l Autorité de Schleswig-Holstein) - Les organismes privés sont tenus de désigner un DP par écrit dans un délai d un mois après le début des activités de l entreprise - Notification de l Autorité non nécessaire - Notification du Comité d Entreprise non nécessaire - Conflit d intérêts : le DP ne peut être le chef du RT, département IT et département RH. Le DP peut travailler dans la sécurité de l information ou sur des questions juridiques** Système de salarié protégé, le DP ne peut être licencié par l employeur que sur justification et en tous les cas pas dans les 12 mois suivant la fin de sa mission, sauf raisons graves - le DP rend des comptes directement au RT - le RT soutient le DP dans l exercice de ses fonctions (assistants, locaux, meubles, matériels et autres ressources) - le RT doit fournir au DP toute information permettant de tenir le registre - le RT doit informer le DP des projets en temps utile - Le DP a droit à une formation continue aux frais du RT - le DP a le droit de demander toute information et peut inspecter données et documents**

5 Disponibilité Relations avec l Autorité Révocation / Démission du DP Notification de la nomination du DP Saisine de l Autorité par le DP Saisine du DP par l Autorité A la demande de l Autorité Par le RT A l initiative de l intéressé Responsabilité - L Autorité doit tenir à jour la liste des DP nommés - Le DP peut consulter l Autorité en cas de doute sur les recommandations qu il émet (quand c est possible l Autorité dirigera les personnes faisant des réclamations vers le DP) - avec le consentement préalable du tribunal d instance - doit être notifiée à l Autorité - ne peut être sanctionné pour avoir accompli sa mission correctement - tenu au secret professionnel - L Autorité doit tenir à jour la liste des DP nommés dans son rapport annuel si le DP a des raisons de suspecter des manquements à la protection des données (après notification préalable au RT si aucune correction apportée) - en cas de doute sur comment appliquer la loi - L Autorité peut demander des informations au DP Non - doit être notifiée à l Autorité - doit être notifiée à l Autorité - ne peut être tenu responsable du non respect de la loi par le RT - tenu au secret professionnel* Non exigée - le DP peut demander conseil à l Autorité - lorsque le contrôle préalable est nécessaire, le DP doit saisir l Autorité si il est incertain de la licéité du traitement - L Autorité peut demander des informations à la direction de l entreprise qui, le plus souvent, délègue cette tâche au DP (dans le secteur privé***) (si violation des obligations contractuelles) - seulement pour des raisons importantes*** - si le RT est d accord - peut être tenu responsable du non respect de la loi seulement en cas de violation intentionnelle ou négligence grave** - ne peut être tenu responsable dans les cas où il a informé les dirigeants de l entreprise au sujet de manquements existants et que ceux-ci les ont ignorés** - tenu de maintenir le secret sur l identité de la personne concernée et les circonstances permettant de tirer des conclusions sur la personne concernée (à moins que la personne concernée ne libère le DP de cette obligation) - le DP a également le droit de refuser de fournir des preuves (les fichiers du DP et autre documentation bénéficient d une interdiction de saisie) Page 5 sur 7

6 Légende Les mentions en italique ne résultent pas des textes législatifs et règlementaires, mais d une interprétation issue des éléments bibliographiques ou des contributions des personnes sollicitées pour la revue du tableau. * Informations provenant des sources indiquées par des * ci-dessous Glossaire Autorité : Autorité de protection des données personnelles DP : Délégué à la protection des données personnelles RT : Responsable de traitement Crédits Nous remercions Pascale Gelly et Elisabeth Quillatre du Cabinet Gelly pour leur travail d élaboration et de rédaction de ce tableau. Pour leurs revue et contribution au contenu de ce tableau, nous remercions : - Daniela F bi n Masoch, Conseiller à la protection des données personnelles et CPO monde de Novartis -Suisse - Patricia Jonason, Université de Södertörns Högskola (Stockholm) - Suède - Christoph Klug, Managing Director GDD - Allemagne - Gérard Lommel, Président de la CNPD (Autorité de contrôle luxembourgeoise) - Luxembourg Bibliographie Général: - * Etude de droit comparé sur les correspondants à la protection des données ( - Rapport du groupe du travail "Article 29" sur l'obligation de notification aux autorités de contrôle, la meilleure utilisation des exceptions et la simplification, et le rôle des détachés à la protection des données à caractère personnel dans l'union Européenne. WP 106 du 18 janvier 2005 Allemagne: France - **Improving self-regulation through (law-based) Corporate Data Protection Officials Report by Christoph Klug, published in Privacy Laws & Business International Newsletter, June 2002 issue n 6 (revised version at - Le correspondant à la protection des données à caractère personnel : un maillon important de la réforme, par Maître Bensoussan, Gazette du Palais 10 au 12 octobre 2004 Page 6 sur 7

7 - Le correspondant : questions réponses, site de la CNIL - Guide du Correspondant Informatique et Libertés Janvier Luxembourg: Pays-Bas: Suède: Suisse: - Le chargé de la protection des données ( - The Data Protection Officer ( ( - Guide to the Personal Data Protection (section 6.2 «The data protection official» p. 44) (english.justitie.nl/images/handleidingwbpuk_tcm _tcm pdf) - Public register: What on earth does the data inspection board do? A portrait of the Swedish Data Inspection Board (Please tell us what a personal information representative is? p.24) ( - Personal Data Representative Information on the Personal Data Act (Section 3.4 Personal data representative p.10 + Section 14 Notification of processing of personal data p.26) ( - We protect your privacy in the information society (The Personal Data Representative Your Representative p.8s) ( - Liste des maîtres de fichiers qui sont déliés du devoir de déclarer leurs fichiers ( - Commentaire à l appui de l ordonnance du 14 juin 1993 (état au 1 er janvier 2008) relative à la loi fédérale sur la protection des données ( Page 7 sur 7