¶ ile paragrafa bağlantı verin veya alıntıyı künyesiyle kopyalayın. Üretilen bağlantı kimlikleri resmî paragraf numarası değildir.
Décision de la Commission nationale siégeant en formation restreinte sur
l’issue de l’enquête n° […] menée auprès de l’Association sans
but lucratif A.
Délibération n° 43FR/2021 du 27 octobre 2021
La Commission nationale pour la protection des données siégeant en formation restreinte,
composée de Madame Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Marc
Lemmer, commissaires;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif
à la protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE;
Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection
des données et du régime général sur la protection des données, notamment son article 41;
Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des données
adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son article 10, point
2;
Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020, notamment
son article 9;
Considérant ce qui suit :
I. Faits et procédure
1. Vu l’impact du rôle du délégué à la protection des données (ci-après : le « DPD ») et
l’importance de son intégration dans l’organisme, et considérant que les lignes directrices
concernant les DPD sont disponibles depuis décembre 20161, soit 17 mois avant l’entrée en
application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
1 Les lignes directrices concernant les DPD ont été adoptées par le groupe de travail « Article 29 » le 13
décembre 2016. La version révisée (WP 243 rev. 01) a été adoptée le 5 avril 2017.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Association sans but lucratif A
1/7
relatif à la protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE
(règlement général sur la protection des données) (ci-après : le « RGPD »), la Commission
nationale pour la protection des données (ci-après : la « Commission nationale » ou la
« CNPD ») a décidé de lancer une campagne d’enquête thématique sur la fonction du DPD.
Ainsi, 25 procédures d’audit ont été ouvertes en 2018, concernant tant le secteur privé que le
secteur public.
2. En particulier, la Commission nationale a décidé par délibération n°[…] du 14
septembre 2018 d’ouvrir une enquête sous la forme d’audit sur la protection des données
auprès de l’Association sans but lucratif A située au […], L-[…] et enregistrée au registre du
commerce et des sociétés luxembourgeois sous le n°[…] (ci-après : le « contrôlé ») et de
désigner M. Christophe Buschmann comme chef d’enquête. Ladite délibération précise que
l’enquête porte sur la conformité du contrôlé avec la section 4 du chapitre 4 du RGPD.
3. Suivant l’article 3 de ses statuts, le contrôlé a pour objet [d’offrir des services sociaux].
4. Par courrier du 17 septembre 2018, le chef d’enquête a envoyé un questionnaire
préliminaire au contrôlé auquel ce dernier a répondu par courriel du 15 octobre 2018. Des
visites sur place ont eu lieu le 28 janvier 2019 et le 13 mars 2019. Suite à ces échanges, le
chef d’enquête a établi le rapport d’audit n°[…] (ci-après : le « rapport d’audit »).
5. Il ressort du rapport d’audit qu’afin de vérifier la conformité de l’organisme avec la
section 4 du chapitre 4 du RGPD, le chef d’enquête a défini onze objectifs de contrôle, à
savoir :
1) S’assurer que l'organisme soumis à l'obligation de désigner un DPD l'a bien fait ;
2) S'assurer que l'organisme a publié les coordonnées de son DPD ;
3) S'assurer que l'organisme a communiqué les coordonnées de son DPD à la CNPD ;
4) S'assurer que le DPD dispose d'une expertise et de compétences suffisantes pour
s'acquitter efficacement de ses missions ;
5) S'assurer que les missions et les tâches du DPD n'entraînent pas de conflit d'intérêt ;
6) S'assurer que le DPD dispose de ressources suffisantes pour s'acquitter efficacement
de ses missions ;
7) S'assurer que le DPD est en mesure d'exercer ses missions avec un degré suffisant
d'autonomie au sein de son organisme ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Association sans but lucratif A
2/7
8) S'assurer que l'organisme a mis en place des mesures pour que le DPD soit associé à
toutes les questions relatives à la protection des données ;
9) S'assurer que le DPD remplit sa mission d'information et de conseil auprès du
responsable du traitement et des employés ;
10) S'assurer que le DPD exerce un contrôle adéquat du traitement des données au sein
de son organisme ;
11) S'assurer que le DPD assiste le responsable du traitement dans la réalisation des
analyses d'impact en cas de nouveaux traitements de données.
6. Par courrier du 28 octobre 2019 (ci-après : la « communication des griefs »), le chef
d’enquête a informé le contrôlé des manquements aux obligations prévues par le RGPD qu’il
a relevés lors de son enquête. Le rapport d’audit était joint audit courrier.
7. En particulier, le chef d’enquête a relevé dans la communication des griefs un
manquement relatif à la mission de contrôle du DPD2.
8. Par courrier du 18 novembre 2019, le contrôlé a adressé au chef d’enquête sa prise
de position quant au manquement relevé dans la communication des griefs.
9. Le 3 décembre 2020, le chef d’enquête a adressé au contrôlé un courrier
complémentaire à la communication des griefs par lequel il informe le contrôlé que, compte
tenu de la prise de position de ce dernier du 18 novembre 2019, « il y a lieu de lever le grief
relatif au respect des exigences relatives aux missions du DPD et en particulier aux missions
de contrôle » et qu’« [i]l n'y a donc par conséquent plus de grief retenu à votre égard
concernant cette enquête. »
10. Par courriel du 7 décembre 2020, le chef d’enquête a transmis le dossier d’enquête à
la Commission nationale siégeant en formation restreinte (ci-après : la « formation
restreinte »), en indiquant qu’il n’a pas retenu de grief ou manquement à l’encontre du contrôlé,
alors que ce dernier avait atteint les attentes fixées dans le cadre de l’enquête ou a présenté
des éléments de mitigation qu’il estime suffisants par rapport aux objectifs de contrôle repris
au point 5 de la présente décision. Pour ces raisons, le chef d’enquête a proposé à la formation
restreinte, dans sa communication du 7 décembre 2020, la clôture du dossier.
2 Objectif n°10
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Association sans but lucratif A
3/7
11. La formation restreinte a examiné l’affaire au cours de sa séance du 5 février 2021,
conformément à l’article 10.2.a) du règlement d’ordre intérieur de la Commission nationale.
12. Lors de ladite séance, la formation restreinte a estimé qu'elle n'était pas suffisamment
éclairée sur le point de savoir si le contrôlé, compte tenu de sa structure, au sein de laquelle
sont regroupées plusieurs entités membres, et de la place prépondérante desdites entités pour
la direction et l'exercice de ses activités, se trouve dans l'obligation de désigner un délégué à
la protection des données au titre de l'article 37, paragraphe 1 du règlement général sur la
protection des données.
13. La formation restreinte a par conséquent demandé au chef d’enquête, par courrier du
25 mars 2021, de procéder, conformément à l'article 10.2.a) du règlement d’ordre intérieur de
la Commission nationale, à un complément d'enquête sur ce point.
14. Par courriel du 25 mai 2021, le chef d’enquête a demandé au contrôlé de lui
communiquer des informations et documents complémentaires, notamment au sujet des
activités du contrôlé et de sa structure décisionnelle, afin de pouvoir éclairer la formation
restreinte sur le point de savoir si le contrôlé se trouve dans l'obligation de désigner un délégué
à la protection des données au titre de l'article 37, paragraphe 1 du règlement général sur la
protection des données.
15. Le contrôlé a répondu à cette demande par courrier du 15 juin 2021. Le contrôlé y
indique notamment avoir réalisé une analyse l’ayant conduit à considérer qu’il est dans
l’obligation de désigner un DPD et que cette analyse a fait l’objet d’une mise à jour compte
tenu des interrogations formulées par la formation restreinte à cet égard.
16. Suite à cet échange, le chef d’enquête a informé la formation restreinte, par courriel du
22 juin 2021, de sa conclusion sur le point faisant l’objet du complément d’enquête, selon
laquelle le contrôlé est bien soumis à l’obligation de désigner un DPD. Le chef d’enquête a par
ailleurs de nouveau proposé à la formation restreinte de clôturer le dossier, considérant qu’il
n’y a pas lieu de retenir de manquement à l’égard du contrôlé.
17. La formation restreinte a de nouveau examiné l’affaire lors de sa séance du 27 octobre
2021, conformément à l’article 10.2.a) du règlement d’ordre intérieur de la Commission
nationale.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Association sans but lucratif A
4/7
18. Compte tenu des éléments communiqués par le contrôlé dans le cadre du complément
d’enquête, la formation restreinte constate qu’elle ne partage pas la conclusion du chef
d’enquête selon laquelle le contrôlé est bien soumis à l’obligation de désigner un délégué à la
protection des données.
19. Il convient d’abord de relever que le contrôlé est une entité […] « qui regroupe les
activités organisées pour ses membres prestataires » et que, tel que cela est mentionné au
point 12 de la présente décision, ces entités ont une place prépondérante pour la direction et
l’exercice de ses activités.
20. Quant aux activités du contrôlé, la formation restreinte constate que si le chef
d’enquête a relevé à juste titre dans son courriel du 22 juin 2021 que « [l]es activités de base
[du contrôlé] sont [d’offrir des services sociaux] et que, dans le cadre de ces activités, le
contrôlé traite des données relatives à la santé, le chef d’enquête a par ailleurs aussi relevé
que « [d]ans le cadre de ses activités de base, [le contrôlé] ne dispose pas de collaborateurs.
Toutes les activités sont réalisées par une autre entité, membre du réseau [du contrôlé], pour
le compte [du contrôlé]. »
21. A cet égard, il convient de relever que dans sa réponse du 15 juin 2021, le contrôlé
n’a identifié qu’une seule « activité opérationnelle propre », les autres activités mentionnées
étant d’une part des « Activités opérationnelles déléguées » à l’une de ses entités membres
et d’autre part des « Activités administratives et de support » déléguées à deux entités
membres.
22. En ce qui concerne la structure décisionnelle, les éléments communiqués par le
contrôlé confirment que ses entités membres, lesquelles siègent dans son Assemblée
générale, y occupent une place prépondérante, étant précisé « qu’une activité est reconnue
comme une activité [du contrôlé] si elle a été mise en place sur décision du conseil
d’administration », ce conseil d’administration étant « composé de […] membres au moins et
de […] membres au plus, pris parmi les membres actifs et élus par l’assemblée générale
ordinaire et annuelle statuant à la majorité simple des voix des membres actifs présents. »
23. Le contrôlé indique en outre que ce conseil d’administration (ci-après : CA) « est
responsable de la gestion générale [du contrôlé] et pour la stratégie du réseau. Vu que [le
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Association sans but lucratif A
5/7
contrôlé] dispose d’une activité propre très restreinte, le CA se concentre sur les accords
stratégiques entre les partenaires formant le réseau. Il valide les stratégies communes
proposées par les partenaires, détermine le cas échéant leur financement et la ou les entités
responsables de leur opérationnalisation. »
24. Enfin, le contrôlé indique qu’il est « [e]n résumé (…) une confédération regroupant les
membres acteurs et moteurs d’une idée commune afin de déterminer les politiques communes
et d’organiser leur déclinaison au niveau des activités du terrain. Ainsi toute gestion journalière
(également celle [du contrôlé lui-même]) est confiée à des entités opérationnelles, en
l’occurrence aux partenaires. »
25. Au vu de ce qui précède, la formation restreinte considère qu’il n’a pas été établi par le
complément d’enquête que le contrôlé, à savoir l’Association sans but lucratif A se trouvait
dans l’obligation de désigner un DPD.
26. En outre, compte tenu des objectifs définis par la CNPD dans le cadre de la campagne
d’enquête thématique sur la fonction du DPD, et notamment des critères retenus pour la
sélection des entités, la formation restreinte considère que l’enquête ouverte par la délibération
n°[…] du 14 septembre 2018 aurait dû porter également, compte tenu de leurs activités et
traitements de données, sur les autres entités opérationnelles, membres prestataires de
l’Assocation sans but lucratif A.
27. Dans ces conditions, la formation restreinte estime qu’il y a lieu de clôturer l’affaire,
conformément à l’article 10.2.a) du règlement d’ordre intérieur de la Commission nationale.
Compte tenu des développements qui précèdent, la Commission nationale siégeant en
formation restreinte et délibérant à l'unanimité des voix décide :
- de clôturer l’enquête ouverte par la délibération n°[…] du 14 septembre 2018 de la
Commission nationale pour la protection des données auprès de l’Association sans but lucratif
A située au […], L-[…] et enregistrée au registre du commerce et des sociétés luxembourgeois
sous le n°[…]
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Association sans but lucratif A
6/7
Ainsi décidé à Belvaux en date du 27 octobre 2021.
La Commission nationale pour la protection des données siégeant en formation restreinte
Tine A. Larsen Thierry Lallemang Marc Lemmer
Présidente Commissaire Commissaire
Indication des voies de recours
La présente décision administrative peut faire l'objet d'un recours en réformation dans les trois
mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif et doit
obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des avocats.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de l’Association sans but lucratif A
7/7