Tribunal admi­nis­tra­tif du Grand-Duché de Luxembourg, juge­ment 46401 du 14 mai 2024

Introduction

En septembre 2018, la Commission natio­nale pour la protec­tion des données luxem­bour­geoise (« CNPD ») procède à une enquête théma­tique sur la fonc­tion de délé­gué à la protec­tion des données (« Data Protection Officer » ou « DPO »). À cette occa­sion, la CPND contrôle une société luxem­bour­geoise active dans l’exploitation, la gestion et la four­ni­ture de services de restau­ra­tion et d’hôtellerie. Cette société emploie 2’100 personnes sur 70 sites et compte envi­ron 25’000 clients par jour.

Lors de cette enquête, elle constate des viola­tions des obli­ga­tions d’associer le DPO à toutes les ques­tions rela­tives à la protec­tion des données à carac­tère person­nel (art. 38 par. 1 RGPD), de lui four­nir les ressources néces­saires pour exer­cer ses fonc­tions (art. 38 par. 2 RGPD) et de s’organiser de telle sorte que le DPO puisse effec­ti­ve­ment infor­mer et conseiller la société (art. 39 par. 1 let. a RGPD). Par déci­sion du 31 mai 2021, la CNPD inflige à la société une amende de EUR 18’000.- et l’enjoint de se confor­mer aux dispo­si­tions préci­tées. Insatisfaite, la société sanc­tion­née recourt contre cette déci­sion auprès du Tribunal admi­nis­tra­tif du Grand-Duché de Luxembourg (le « Tribunal admi­nis­tra­tif luxembourgeois »).

La parti­ci­pa­tion effec­tive du DPO, une ques­tion de timing et d’organisation

Lorsque les respon­sables du trai­te­ment ou les sous-trai­tants satis­font à l’une des condi­tions de l’art. 37 par. 1 RGPD, notam­ment lorsque les acti­vi­tés de trai­te­ment exigent un suivi régu­lier et systé­ma­tique à grande échelle des personnes concer­nées du fait de leur nature, de leur portée et/​ou de leurs fina­li­tés (art. 37 par. 1 let. b RGPD), ils doivent dési­gner un DPO. L’art. 37 par. 2 RGPD permet toute­fois aux groupes d’entreprises de dési­gner un seul DPO à condi­tion que ce dernier soit faci­le­ment joignable à partir de chaque lieu d’établissement. Cela étant, celui-ci doit pour­voir exer­cer ses fonc­tions et remplir effec­ti­ve­ment ses missions (art. 38 s. RGPD).

En premier lieu, le DPO doit, d’une manière appro­priée et en temps utile, être asso­cié à toutes les ques­tions rela­tives à la protec­tion des données à carac­tère person­nel (art. 38 par. 1 RGPD). Concrétisant cette obli­ga­tion, les Lignes direc­trices du Groupe de travail « Article 29 » concer­nant les délé­gués à la protec­tion des données (les « Lignes direc­trices ») prévoient notam­ment que le DPO ou son équipe doit être « asso­cié dès le stade le plus précoce possible à toutes les ques­tions rela­tives à la protec­tion des données » (chap. 3.1 p. 16). En outre, le Groupe de travail « Article 29 » (« G29 ») y ajoute que :

« [l]’information et la consul­ta­tion du [DPO] dès le début permet­tront de faci­li­ter le respect du RGPD et d’encourager une approche fondée sur la protec­tion des données dès la concep­tion ; il devrait donc s’agir d’une procé­dure habi­tuelle au sein de la gouver­nance de l’organisme. En outre, il importe que le [DPO] soit consi­déré comme un inter­lo­cu­teur au sein de l’organisme et qu’il soit membre des groupes de travail consa­crés aux acti­vi­tés de trai­te­ment de données au sein de l’organisme. »

En deuxième lieu, le DPO a notam­ment pour mission d’informer et de conseiller le respon­sable du trai­te­ment respec­ti­ve­ment le sous-trai­tant ainsi que les employés qui traitent des données person­nelles (art. 39 par. 1 let. a RGPD). Cette dispo­si­tion est un corol­laire de l’art. 38 par. 1 RGPD, en ce sens que le DPO ne peut exer­cer ses missions d’information et de conseil que s’il est asso­cié aux ques­tions rela­tives à la protec­tion des données.

Dans le cas d’espèce, le groupe d’entreprises fran­çais auquel appar­tient la société luxem­bour­geoise dispose d’un seul DPO pour l’ensemble du groupe. Celui-ci est accom­pa­gné de deux juristes spécia­li­sés, avec lesquels il travaille sur les ques­tions de protec­tion des données et défi­nit une poli­tique cohé­rente pour l’ensemble du groupe. En paral­lèle, chaque société du groupe dispose d’un point de contact local en charge à la fois des ques­tions de protec­tion des données et de la commu­ni­ca­tion avec les auto­ri­tés de contrôle ainsi que les personnes concer­nées. Des réunions entre le DPO et les points de contact locaux ont lieu au moins une fois par mois.

Au Luxembourg, le seul juriste de la société occupe le rôle de point de contact local. Au quoti­dien, en sus de ses tâches de juriste, celui-ci traite de toutes les ques­tions de protec­tion des données rela­tives à l’activité luxem­bour­geoise et rend des comptes au DPO. Avec la direc­trice des ressources humaines, le respon­sable de l’audit interne, celui de l’information ainsi que l’administrateur-délégué, le point de contact siège égale­ment au sein du GDPR Board de la société luxem­bour­geoise. Se réunis­sant au moins huit fois par an, ce comité arrête la stra­té­gie en matière de protec­tion des données au Luxembourg, défi­nit les plans d’action y rela­tifs et gère les ques­tions opéra­tion­nelles en la matière. Le DPO ne parti­cipe pas à ces réunions, mais le point de contact local lui trans­met le procès-verbal et l’informe des déci­sions qui y sont prises.

Le Tribunal admi­nis­tra­tif luxem­bour­geois analyse cette orga­ni­sa­tion et arrive à la conclu­sion qu’elle n’est pas conforme au RGPD. En effet, bien qu’il soit tout à fait admis­sible de dési­gner un seul DPO pour un groupe d’entreprises, l’organisation du groupe a pour consé­quence que le DPO n’effectue qu’un contrôle a poste­riori des déci­sions prises par le point de contact local respec­ti­ve­ment par le GDPR Board. Faute d’association en temps utile, le DPO ne peut pas exer­cer ses missions d’information et de conseil. Partant, les art. 38 par. 1 et 39 par. 1 let. a RGPD sont violés.

Les ressources à dispo­si­tion du DPO

L’art. 38 par. 2 RGPD impose au respon­sable du trai­te­ment et au sous-trai­tant de four­nir au DPO les ressources néces­saires pour exer­cer effec­ti­ve­ment ses fonc­tions. Dans ses Lignes direc­trices du Groupe Article 29 (ch. 3.2 p. 17), le G29 concré­tise cette notion en énumé­rant les aspects à prendre en consi­dé­ra­tion. En parti­cu­lier, le DPO doit tout d’abord dispo­ser de suffi­sam­ment de temps pour accom­plir les missions décrites à l’art. 39 RGPD. Lorsque l’activité de DPO est exer­cée à temps partiel par un DPO interne ou l’est par un DPO externe, il est recom­mandé de fixer préci­sé­ment le pour­cen­tage alloué à l’exercice de cette acti­vité. En outre, le DPO doit dispo­ser de ressources finan­cières, person­nelles et tech­niques néces­saires. Plus les opéra­tions sont complexes ou tech­niques, plus les ressources doivent être conséquentes.

En l’espèce, le Tribunal admi­nis­tra­tif luxem­bour­geois constate plusieurs viola­tions de l’art. 38 par. 2 RGPD. En premier lieu, la société luxem­bour­geois n’a pas formel­le­ment défini le taux d’activité que le point de contact local – qui était de surcroît son seul juriste – devait réser­ver aux ques­tions de protec­tion des données.

En second lieu, l’activité de la société luxem­bour­geoise est impor­tante, dans la mesure où elle emploie 2’100 personnes sur 70 sites et compte envi­ron 25’000 clients par jour. Dans de telles circons­tances, la CNPD pouvait légi­ti­me­ment s’attendre à ce qu’au moins une personne travaille à plein temps sur les ques­tions rela­tives à la protec­tion des données.

L’amende

Les viola­tions de l’art. 38 par. 1 et 2 ainsi que l’art. 39 par. 1 let. a RGPD étant établies, le Tribunal admi­nis­tra­tif luxem­bour­geois se penche sur l’amende de EUR 18’000.- infli­gée par la CNPD (art. 83 par. 4 let. a RGPD). Au vu de la gravité des viola­tions, du nombre de personnes concer­nées et de la durée des viola­tions (plus de deux ans), et compte tenu de la bonne colla­bo­ra­tion de la société luxem­bour­geoise, le Tribunal admi­nis­tra­tif luxem­bour­geois conclut que cette amende est adéquate et proportionnée.

Une appré­cia­tion

Cet arrêt met en lumière la néces­sité, pour le respon­sable du trai­te­ment et le sous-trai­tant, d’assurer l’effectivité de la fonc­tion de DPO. Ce rappel est d’autant plus impor­tant dans le contexte où le nombre de règle­men­ta­tions euro­péennes en matière de nouvelles tech­no­lo­gies accroit conti­nuel­le­ment et que la tenta­tion peut être grande d’attribuer d’office de nouvelles tâches au DPO (p.ex. : celles d’AI Officer). Bien qu’il soit censé de vouloir tirer profit de l’expérience du DPO en matière de nouvelles tech­no­lo­gies, ces nouvelles attri­bu­tions ne peuvent avoir lieu sans examen préa­lable et, le cas échéant, sans renfor­ce­ment des moyens à sa disposition.

Ce rappel vaut égale­ment pour les respon­sables du trai­te­ment suisses, qui ont la possi­bi­lité de nommer un conseiller à la protec­tion des données (art. 10 al. 1 LPD). En effet, celui-ci doit dispo­ser des ressources néces­saires (art. 23 let. a OPDo) pour former et conseiller le respon­sable du trai­te­ment ainsi que de concou­rir à l’application des dispo­si­tions rela­tives à la protec­tion des données (art. 10 al. 2 LPD).