La désignation d’un DPO est-elle obligatoire pour un IRTS (Institut régional du travail social) ?

Aux termes de l’article 37 du RGPD, le DPO est obligatoire :

  • lorsque « le traitement est effectué par une autorité publique ou un organisme public »
  • lorsque « les activités de base […] consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées ».
  • « les activités de base […]consistent en un traitement à grande échelle de catégories particulières de données visées à l’article 9 ».

Éclaircissements :

  • par « grande échelle » on peut entendre le volume, le territoire ou la durée du traitement (cas du parcours d’un usager) ;
  • s’agissant de la notion de suivi systématique et régulier : le Considérant 24 du Règlement dispose que pour déterminer s’il y a suivi, il convient « d’établir si les personnes physiques sont suivies sur Internet, ce qui comprend l’utilisation ultérieure éventuelle de techniques de traitement des données à caractère personnel qui consistent en un profilage d’une personne physique, afin notamment de prendre des décisions la concernant ou d’analyser ou de prédire ses préférences, ses comportements et ses dispositions d’esprit. » ;
  • l’article 9 du RGPD définit la notion « Traitement sur des catégories particulières de données à caractère personnel », il s’agit notamment des données de santé ;
  • la notion de suivi implique toutes les formes de suivi y compris ceux qui ne sont pas effectués en ligne.

Chacun des motifs rendant la désignation obligatoire d’un Délégué à la protection des données personnelles est à considérer isolément.

Commentaire :

  • Les IRTS sont des personnes morales de droit privé poursuivant une mission d’intérêt général et financées principalement sur fonds publics si l’on se réfère à l’Ordonnance du 23/7/2015 et à l’Article L311-1 du CASF).
  • L’activité principale d’un IRTS implique de suivre les étudiants et donc de traiter d’un volume important de données personnelles les concernant.

Pour ces motifs il paraît bien que la désignation d’un Délégué à la protection des données personnelles soit obligatoire dans un IRTS. Ajoutons que dans les missions du DPO figure celles de conseil et d’information permettant de développer une culture de la protection des données personnelles dans l’entreprise ce qui s’agissant du rôle des IRTS dans la formation des travailleurs sociaux constitue un apport indéniable.

Les commentaires sont fermés.