Considérant 97
Règlement général sur la protection des données · UE 2016/679
| (97) | Lorsque le traitement est réalisé par une autorité publique, à l'exception des juridictions ou des autorités judiciaires indépendantes agissant dans l'exercice de leur fonction juridictionnelle, lorsque, dans le secteur privé, il est effectué par un responsable du traitement dont les activités de base consistent en opérations de traitement exigeant un suivi régulier et systématique à grande échelle des personnes concernées, ou lorsque les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données à caractère personnel et de données relatives à des condamnations pénales et à des infractions, une personne possédant des connaissances spécialisées de la législation et des pratiques en matière de protection des données devrait aider le responsable du traitement ou le sous-traitant à vérifier le respect, au niveau interne, du présent règlement. Dans le secteur privé, les activités de base d'un responsable du traitement ont trait à ses activités principales et ne concernent pas le traitement des données à caractère personnel en tant qu'activité auxiliaire. Le niveau de connaissances spécialisées requis devrait être déterminé notamment en fonction des opérations de traitement de données effectuées et de la protection exigée pour les données à caractère personnel traitées par le responsable du traitement ou le sous-traitant. De tels délégués à la protection des données, qu'ils soient ou non des employés du responsable du traitement, devraient être en mesure d'exercer leurs fonctions et missions en toute indépendance. |
Au Luxembourg, la loi du 1er aout 2018 portant organisation de la CNPD et la pratique constante de la CNPD imposent que la désignation du DPO soit notifiée via le formulaire en ligne dedie, et que tout changement soit declare sous 8 jours. La CNPD vérifié activement l'effectivite de l'independance lors de ses contrôles thematiques, en particulier dans le secteur financier ou le cumul DPO et responsable conformité LCB-FT est frequent et problematique au regard de la CSSF circulaire 12/552.
Pratique Luxgap : pour les entités régulées CSSF, nous recommandons une separation stricte entre le DPO et le Chief Compliance Officer LCB-FT, avec une lettre de mission DPO signee par le CEO qui garantit l'acces direct au conseil d'administration et un budget formation annuel documente.
