Edwin Jacobs, avocat à time.lex, attire l’attention de certaines entreprises sur l’obligation d’engager un Data Protection Officer (DPO) avant fin mai 2018. Il s’agit d’une obligation légale pour les associations publiques qui traitent des données de santé à grande échelle.

L’avocat pointe du doigt une série de malentendus tenaces concernant le nouveau Règlement général concernant la protection des données.

Un élément important est certainement que cette nouvelle législation européenne relative à la vie privée concerne de nombreux établissements de santé. Toutefois, les petites entreprises doivent aussi prendre leurs précautions, indique Jacobs : « Bien que quelques concessions aient été faites dans le sens des petits entrepreneurs, la loi sur la vie privée s’applique à toutes les organisations qui traitent des données privées. L’impact sur une entreprise dépend de la façon dont les données sont traitées, et non du nombre d’enregistrements de données ou de la taille de l’organisation ».  

« Le règlement nomme comme condition que ‘le traitement de données ou le contrôle d’individus’ doit faire partie des activités essentielles de l’entreprise. Cela dit, les termes ‘activités essentielles’ ne sont pas explicités plus loin dans le texte. Le mieux est donc de partir du fait que le règlement s’applique à toute entreprise qui traite des données personnelles identifiables avec un but commercial », indique l’avocat.

Par ailleurs, toutes les entreprises ne doivent pas engager un DPO dans ce contexte. Cette obligation vaut seulement pour :

des organismes publics qui traitent des données,
des entreprises qui traitent systématiquement des données personnelles à grande échelle,
des organisations qui traitent des données pour des catégories de données spécifiques (comme les données de santé).

Mais même si une entreprise ne relève pas de ces catégories, il peut toutefois être intelligent d’engager un DPO, précise Maître Jacobs. Et d’ajouter avec finesse que cela peut aussi être un DPO externe, comme un avocat…

Attention toutefois que l’engagement d’un DPO est plus qu’une formalité. Il doit avoir suffisamment d’expertise démontrable concernant la vie privée et la sécurisation des données. Il doit aussi être suffisamment au courant des processus de données spécifiques aux entreprises.

Un autre point auquel il faut encore être vigilant est que la loi s’applique aussi à une entreprise qui utilise des fournisseurs externes pour le stockage de données lors du traitement des données.

=> Les entrepreneurs, les entreprises et les multinationales ont jusqu’à mai 2018 pour se mettre en règle avec la nouvelle législation. Pour ainsi dire demain donc