suis-je obligé de désigner un délégué à la protection des données pour mon entreprise

Pour la plupart des PME et des travailleurs indépendants, il n'y a pas d'obligation

Un délégué à la protection des données, abrégé en DPD, n'est généralement pas obligatoire pour les PME ordinaires et la plupart des travailleurs indépendants. Le RGPD énumère un certain nombre de situations spécifiques dans lesquelles un DPD est obligatoire, et en dehors de celles-ci, une organisation est libre d'en désigner un d'elle-même, sans que la loi ne l'impose. En pratique, un DPD obligatoire s'applique principalement aux organismes du secteur public et aux entreprises dont l'activité principale consiste en un suivi à grande échelle et structuré des personnes ou en un traitement à grande échelle de catégories particulières de données à caractère personnel, comme les données de santé.

Une boutique en ligne, un cabinet de conseil, un entrepreneur ou un travailleur indépendant disposant d'un logiciel de comptabilité et de quelques outils SaaS ne relèvent généralement pas de ces catégories. Cela ne signifie pas qu'il n'y a rien à faire : même sans DPD, l'obligation de pouvoir démontrer quelles données à caractère personnel sont traitées et à quelle fin subsiste, par exemple dans le registre des traitements, et cette obligation s'applique tout aussi bien à une entreprise individuelle. Celui qui se demande si ses propres activités entrent ou non dans la catégorie « à grande échelle » ou « structurée » trouvera davantage de repères dans la question quand une AIPD est-elle nécessaire, car cette même évaluation des risques apparaît souvent en même temps que la question du DPD.

Sur quoi ceci est basé : articles 2 et 30 du RGPD

Le RGPD détermine à l'article 2 le champ d'application matériel du règlement, et l'article 30 régit le registre des activités de traitement avec les exemptions qui s'y appliquent — l'obligation relative au DPD elle-même figure ailleurs dans le règlement, mais l'étendue et la nature du traitement qui jouent un rôle à cet égard s'alignent sur les mêmes critères que ceux applicables au registre et à l'obligation d'AIPD. Une partie de cette évaluation est factuelle : combien de personnes sont suivies, à quel point systématiquement, et quel type de données sont concernées. L'Autorité néerlandaise de la protection des données publie des précisions supplémentaires sur ce point pour la pratique néerlandaise, tandis que la question de savoir si un DPD est obligatoire se fonde sur le même règlement dans toute l'UE — cependant, l'autorité de contrôle nationale, en Pays-Bas l'Autorité néerlandaise de la protection des données et dans les autres États membres l'autorité de contrôle de ce pays, peuvent appliquer leurs propres conseils ou des exigences d'enregistrement supplémentaires concernant la désignation d'un DPD.