Quelles sont les nouvelles obligations de désignation des correspondants Informatique et Libertés pour les communes et EPCI ?

Constat

La protection des données à caractère personnel des citoyens est un droit fondamental reconnu par l’article 8 de la Charte des droits fondamentaux de l’Union européenne ainsi que par l’article 16 du traité sur le fonctionnement de l’Union européenne. C’est dans cette perspective qu’un règlement européen en date du 27 avril 2016 a été adopté. Celui-ci oblige notamment les communes et EPCI à désigner une personne spécialement affectée à la protection des données.

Réponse

En effet, à compter du 25 mai 2018, les communes et EPCI devront donc choisir celui qu’il faudra désormais nommer le "délégué à la protection des données", successeur du correspondant Informatique et Libertés.
Ce délégué aura pour principales missions :
- d’informer et de conseiller le responsable de traitement ainsi que les agents ;
- de contrôler le respect du règlement et du droit national en matière de protection des données ;
- de coopérer avec la Cnil ;
- de conseiller la collectivité sur la réalisation d’une analyse d'impact relative à la protection des données et d’en vérifier l’exécution ;
- d’être le contact de la Cnil au sein de la commune ou de l’EPCI.

Ce délégué devra être désigné sur la base de ses qualités professionnelles, spécifiquement en vertu de ses connaissances spécialisées du droit et de la pratique de protection des données.
Ce délégué pourra être un agent de la commune ou de l’EPCI. Il est bon de noter que pour des collectivités ayant des préoccupations similaires, la mutualisation de cette fonction peut être une solution à étudier sérieusement.

Attention : cette fonction pouvant conduire à l’existence d’un conflit d’intérêts, il ne faudra pas désigner un agent étant amené à déterminer les finalités et les moyens d’un fichier. En effet, le délégué ne peut occuper un poste qui le conduirait à déterminer les finalités et les moyens d’un fichier. Il pourrait s’agir notamment du directeur général des services ou d’un directeur opérationnel. La Cnil précise qu’il ne peut être "juge et partie".

Enfin, il va de soi que la commune ou l’EPCI devra fournir à son "délégué à la protection des données" les ressources nécessaires, lui faciliter l’accès aux données et aux opérations de traitement pour lui permettre d’agir de manière indépendante.
 

Référence : règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (texte présentant de l'intérêt pour l'EEE)