En clair
Ce que décide cette délibération, en clair
La CNIL avait alerté une commune, par lettre du 2 juin 2021, sur l'absence de désignation d'un délégué à la protection des données (ou « DPO », la personne chargée de veiller au respect des règles sur les données personnelles) en son sein. Cette lettre étant restée sans réponse, la CNIL constate que la commune ne respecte pas l'article 37 du RGPD, qui impose à toute autorité publique de désigner un tel délégué. En conséquence, la CNIL met en demeure (une injonction formelle d'agir sous un délai précis, avant une éventuelle sanction) la commune de procéder à cette désignation sous un délai de quatre (4) mois à compter de la notification de la décision.
À retenir
- Toute autorité ou organisme public, comme une commune, doit obligatoirement désigner un délégué à la protection des données (DPO), qu'il soit interne, externe ou mutualisé avec d'autres collectivités.
- La commune doit transmettre à la CNIL, dans le délai de quatre (4) mois, tout document prouvant qu'elle a procédé à cette désignation.
- Si la commune ne se conforme pas à cette mise en demeure, la CNIL pourra saisir sa formation restreinte (l'organe chargé de prononcer les sanctions) pour prendre une mesure plus sévère, comme une amende.
- Pour les administrés et agents de la commune, cela signifie qu'en l'absence de DPO, personne n'était clairement chargé de veiller à la bonne protection de leurs données personnelles au sein de la mairie.
Résumé rédigé par Loilà à partir de la décision ci-dessous, qui seule fait foi.
Texte intégral
La Présidente
COMMUNE DE X HÔTEL DE VILLE
MONSIEUR LE MAIRE
[…]
Paris, le 25 avril 2022
Références à rappeler dans toute correspondance :
N/Réf. : xxx- CTX -2022-044
Décision de mise en demeure n°MED-2022-053 du 25 avril 2022
Monsieur le Maire,
Par lettre du 2 juin 2021, je vous alertais sur l’absence de désignation d’un délégué à la protection des données (ou " DPO ") au sein de votre commune.
A ce jour, cette lettre est restée sans suite de votre part.
S’agissant des règles applicables, je vous rappelle que l’article 37.1 a) du règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des données à caractère personnel (ci-après, le " RGPD " ou le " Règlement ") impose la désignation d’un délégué à la protection des données lorsque le traitement est effectué par une autorité publique ou un organisme public. Cette obligation concerne ainsi les collectivités territoriales traitant de données à caractère personnel dans le cadre de leurs différentes activités (données d’agents publics, d’administrés, d’élus etc.).
Il vous appartiendra de veiller à ce que la désignation du délégué ne donne pas lieu à un conflit d’intérêt (ce qui empêche notamment qu’un élu soit désigné pour sa propre collectivité), que le délégué puisse réaliser ses missions de manière indépendante et enfin à ce qu’il dispose du soutien actif et pérenne de la commune dans ses missions. Il doit à cet effet bénéficier de ressources suffisantes pour mener à bien ses missions et doit être associé, de façon appropriée et en temps utile, à toutes les questions relatives à la protection des données.
Je vous rappelle que le délégué à la protection des données joue un rôle essentiel dans la conformité des traitements de données à caractère personnel mis en œuvre.
En effet, au titre des missions définies à l’article 39 du RGPD, il a vocation à accompagner votre commune, notamment en communiquant et conseillant sur les règles relatives à la protection des données à caractère personnel ainsi que sur les moyens de s’y conformer, à la fois auprès de son représentant légal (vous-même) et de chacun des acteurs pertinents (services supports et opérationnels). Son rôle, en collaboration avec les équipes informatiques, est également essentiel en matière de sécurité des systèmes d’information.
J’attire votre attention sur le fait que le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l'article 39.
A cet égard, je vous précise que votre commune peut choisir de désigner un délégué à la protection des données externe (personne physique ou morale), celui-ci pouvant être mutualisé avec d’autres collectivités afin de bénéficier d’une expertise adéquate ainsi que d’outils et de procédures ayant fait leur preuve auprès d’autres acteurs publics.
Dès lors, le fait de ne pas avoir procédé à la désignation d’un délégué à la protection des données constitue un manquement à l’article 37 du RGPD.
En conséquence, conformément à l’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée, la commune de X, établie à l’adresse indiquée ci-dessus, est mise en demeure sous un délai de quatre (4) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de procéder à la désignation d’un délégué à la protection des données, conformément aux dispositions des articles 37 et suivants du RGPD.
Il est demandé à la commune de fournir dans le délai imparti tout document utile pour attester des actions prises dans le cadre de sa mise en conformité.
A cette fin, vous pourrez utilement vous reporter au guide pratique de la CNIL intitulé " Délégués à la protection des données " en ce qu’il détaille notamment les règles et modalités de désignation d’un DPO (https://www.cnil.fr/sites/default/files/atoms/files/guide_pratique_rgpd_-_delegues_a_la_protection_des_donnees.pdf).
Si la commune ne s’est pas conformée à la présente mise en demeure à l’issue du délai imparti, je pourrai désigner au sein de la CNIL un rapporteur et saisir la formation restreinte de la CNIL afin que soit prononcée l’une des mesures prévues par les articles 20 et suivants de la loi du 6 janvier 1978 modifiée, dans les conditions fixées par le décret n° 2019-536 du 29 mai 2019 modifié.
À l’inverse, si la commune s’est conformée à la mise en demeure à l’issue du délai imparti, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
Je vous prie d'agréer, Monsieur le Maire, mes salutations distinguées.
Marie-Laure DENIS