Qu’est-ce qu’un sous-traitant au sens du RGPD ? Le DPO doit-il travailler avec lui ?

Au sens du RGPD, le sous-traitant est celui qui traite des données personnelles pour le compte, sur instruction et sous l’autorité du responsable de traitement. Une grande variété de prestataires est ainsi concernée. Le DPO d’une structure qui recourt à des sous-traitants doit travailler avec eux et vérifier que la sous-traitance est réalisée en conformité avec les règles relatives à la protection des données.

Dans quels cas peut-il exister un conflit d’intérêts dans le cadre des missions du DPO ?

La fonction de délégué peut être exercée à temps plein ou à temps partiel. Dans ce dernier cas, le délégué ne peut occuper de fonctions au sein de l’établissement le conduisant à déterminer les finalités et les moyens d’un traitement (éviter d’être « juge et partie »). L’existence d’un conflit d’intérêts est donc appréciée au cas par cas.À titre d’exemples, les fonctions suivantes sont susceptibles de donner lieu à un conflit d’intérêts avec la fonction de DPO : directeur général ou directeur d’un établissement, un responsable de services tel que le DIM, directeur du service de recherche biomédicale, médecin chef, responsable des ressources humaines ou responsable du service informatique.

Fichepratique

Sommaire

1. La désignation du DPO
2. Les missions du DPO
3. Les qualités et moyens nécessaires au DPO pour assurer ses missions
4. La responsabilité juridique du DPO

Notre conseil
Évitez les erreurs
FAQ
Aller plus loin

Fiche associée (1)

Rôle et responsabilité du délégué à la protection des données en établissements sanitaires et médico-sociaux

Réservé aux abonnés

Demande de devis Essai gratuit

Mis à jour par Isabelle Génot-Pok | Coordonné par Noémie Blanchard | Référence : 14312

L'essentiel par l'éditeur

Le délégué à la protection des données (DPO) est essentiel pour garantir la conformité des établissements sanitaires et médico-sociaux au RGPD. Obligatoire pour les organismes publics et ceux traitant des données sensibles, le DPO doit être qualifié et indépendant. Il conseille, contrôle et coopère avec la CNIL, tout en documentant ses actions. Bien que non responsable juridiquement, il doit être soutenu par le responsable de traitement pour mener à bien ses missions.

Quels sont les critères pour désigner un DPO dans les établissements sanitaires ?
Quelles sont les missions principales d'un DPO selon le RGPD ?
Le DPO peut-il être tenu responsable en cas de non-conformité au RGPD ?

La fonction de DPO a été instaurée par les articles 37, 38 et 39 du règlement général sur la protection des données (RGPD) entré en application et obligatoire depuis le 25 mai 2018, pour tous les pays membres de l’Union européenne.

Si le RGPD est loin d’avoir été conçu en tenant compte de la spécificité des établissements de santé et médico-sociaux, il n’en demeure pas moins applicable. Aussi, tous les établissements sanitaires et médico-sociaux doivent mettre en œuvre le RGPD et donc désigner un délégué à la protection des données (DPO). À cette fin, la bonne connaissance des missions du DPO est nécessaire pour mieux envisager l’agent ou le prestataire qui pourra assurer cette fonction. Avec une fonction située au cœur de la conformité au règlement européen sur la protection des données (RGPD), le délégué à la protection des données (DPO) conseille et accompagne les établissements qui le désignent. Dans le cadre des structures de soins, le délégué doit adapter ses missions à la spécificité de leurs traitements.

La désignation du DPO

L’obligation de désigner un DPO

Seul le RGPD pose les règles applicables pour la désignation du délégué. Aussi, tous les établissements de santé et médico-sociaux doivent respecter les critères du RGPD.

Précisions sur les critères qui imposent la désignation d’un délégué :

être une autorité ou un organisme public (excepté les juridictions dans l’exercice de leurs fonctions juridictionnelles) ;
avoir des missions principales qui les amènent à réaliser un suivi régulier et systématique des personnes/individus à grande échelle ;
avoir des activités de base qui impliquent de traiter à grande échelle des données dites « sensibles » (données concernant la santé) ou relatives à des condamnations pénales et infractions.

Le non-respect de cette obligation est susceptible de sanctions.

Illustration ...

Contenu réservé aux abonnés

Si vous êtes abonné, cliquez pour poursuivre la lecture

Il vous reste 80% à découvrir

Poursuivez la lecture
en profitant d'un essai gratuit (offre sans engagement)

Accédez à une base complète de fiches pratiques et d’outils & méthode
Bénéficiez d’un ensemble de solutions méthodologiques opérationnelles et juridiques
Notre IA juridique au service de votre pratique