La question n'est pas de savoir si le RGPD concerne l'entreprise, mais si ses activités entrent dans l'un des trois cas de désignation obligatoire. Une réponse fiable part des traitements réellement menés, pas de la taille, du secteur ou du nombre de salariés pris isolément.
Trois portes d'entrée, aucune règle automatique sur l'effectif
Un organisme public doit désigner un DPO, à l'exception des juridictions agissant dans leur fonction juridictionnelle. Pour les acteurs privés, l'obligation vise d'abord les activités de base qui exigent un suivi régulier et systématique des personnes à grande échelle. Elle vise aussi les activités de base qui portent à grande échelle sur des données sensibles ou relatives aux condamnations et infractions.
Une PME n'est donc pas dispensée par principe, et une grande entreprise n'est pas automatiquement obligée pour sa seule taille. L'analyse porte sur ce que l'organisation fait de manière centrale, sur l'ampleur du suivi et sur la nature des données. La CNIL expose ces critères et les cas de désignation dans sa documentation dédiée.
Identifier les activités de base avant de compter les données
Une activité de base participe directement aux objectifs de l'organisme. La gestion administrative accessoire n'a pas le même poids qu'un traitement sans lequel le service vendu ne fonctionnerait plus. Pour une clinique, le soin et le dossier patient sont centraux. Pour une plateforme publicitaire, l'observation et le ciblage peuvent constituer le coeur du modèle. Pour un commerce classique, la paie reste nécessaire mais généralement auxiliaire.
Écrivez les trois ou quatre activités qui produisent la valeur principale, puis rattachez leurs traitements. Cette carte évite de se perdre dans des outils secondaires. Elle permet aussi d'expliquer pourquoi un traitement est ou non déterminant, ce qui rend l'analyse vérifiable par une personne extérieure.
Mesurer le suivi régulier et systématique
Le suivi ne se limite pas à une caméra. Il peut résulter d'une observation organisée dans le temps : profilage, localisation, scoring, suivi de navigation, surveillance d'un réseau ou analyse répétée d'un comportement. Le caractère régulier regarde la fréquence ou la continuité. Le caractère systématique regarde l'organisation selon une méthode ou un plan.
Documentez le nombre approximatif de personnes, la durée, l'étendue géographique, la variété des données et l'intensité de l'observation. Aucun de ces éléments ne décide seul. Ensemble, ils décrivent l'échelle. Une application locale qui suit en permanence une population vulnérable mérite une analyse plus sérieuse qu'un formulaire annuel touchant davantage de personnes mais collectant peu d'informations.
Traiter séparément les données sensibles et pénales
Les données de santé, biométriques, génétiques, d'opinion, de religion, d'appartenance syndicale, de vie ou d'orientation sexuelle demandent une attention particulière. Ajoutez les données relatives aux condamnations et infractions. Lorsque leur traitement à grande échelle fait partie de l'activité de base, la désignation est obligatoire.
Ne réduisez pas cette revue au nom d'une colonne. Une donnée banale peut révéler indirectement une information sensible lorsqu'elle est croisée avec d'autres. À l'inverse, la présence occasionnelle d'une donnée de santé dans une procédure interne ne signifie pas automatiquement un traitement à grande échelle au coeur du service.
Quatre exemples pour tester le raisonnement
- Un hôpital traite massivement des données de santé pour assurer les soins : la désignation s'impose.
- Une entreprise de surveillance comportementale suit en continu des internautes pour fournir son service : le suivi peut entrer dans le second cas obligatoire.
- Une petite agence gère les coordonnées de ses clients et prospects sans observation systématique : l'analyse peut conclure à l'absence d'obligation.
- Une association locale reçoit ponctuellement un justificatif médical pour adapter une activité : la présence de cette pièce ne suffit pas, seule, à établir la grande échelle.
Ces exemples ne remplacent pas la description du traitement réel. Ils montrent la méthode : activité de base, type de suivi, nature des données, échelle et durée.
Si la désignation n'est pas obligatoire
L'entreprise peut tout de même nommer volontairement un DPO. Dans ce cas, elle doit respecter la position, les missions et les garanties attachées à la fonction. Si elle veut seulement un référent interne sans appliquer ce statut, elle doit choisir un intitulé qui ne crée pas de confusion et définir précisément son mandat.
Une alternative sobre consiste à organiser un responsable de programme, des relais métiers et un conseil externe ponctuel. Le dispositif doit malgré tout couvrir le registre, les droits, les contrats, la sécurité et les incidents. Ne pas être obligé de désigner un DPO n'efface aucune autre obligation du RGPD.
La note de décision à archiver
Conservez une note datée qui décrit les activités de base, les traitements examinés, les critères d'échelle et la conclusion. Ajoutez la date de prochaine revue et les événements qui la déclenchent : lancement d'une activité de profilage, croissance géographique, nouvelle catégorie de données ou acquisition d'une société.
Cette note rend la décision réversible. Si le modèle évolue, l'entreprise n'a pas à recommencer depuis zéro. Elle sait quelle hypothèse a changé et peut basculer vers une désignation avec un calendrier, des moyens et une notification maîtrisés.
Commentaires
Aucun commentaire pour le moment