Le DPO est également un allié de l'APD. Pour l'APD, il est donc extrêmement important de soutenir le DPO dans sa mission, notamment en mettant des instruments pratiques à sa disposition.
En 2023, l’APD a engagé un dialogue avec les acteurs de terrain pour mettre en œuvre sa priorité « Data Protection Officers » en vue d’identifier leurs besoins et proposer des solutions concrètes. Ainsi par exemple, une rencontre entre la Présidente et les associations professionnelles de DPO a permis d’identifier le besoin d’un socle commun de compétences. Ce constat a dès lors motivé une recommandation législative en 2024 du Centre de Connaissances encourageant le législateur à prévoir un mécanisme de certification des formations DPO à l’instar de la loi française.
Parallèlement, le Service d’Inspection et la Chambre contentieuse ont continué à mener ses actions de questionnement visant à favoriser la prise en compte de l’indépendance du DPO et la nécessaire allocation de ressources y compris le temps que le DPO peut consacrer aux questions de protection des données et les exigences de formation.
DPODay – 25 mai 2023
Le 25 mai 2023, les 5 ans du RGPD étaient l’occasion pour l’APD de rendre hommage aux data protection officers du pays lors du DPODay organisé par les associations professionnelles DPO PRO, DP Institute et Isaca. La Présidente de l’APD, Cédrine Morlière, a pu y échanger sur des questions telles que les besoins d’une reconnaissance officielle d’un socle de compétence pour les formations DPO ou la difficulté de publier un registre de DPO enregistrés auprès de l’APD. Ce dernier constat a motivé une recommandation législative en 2024 du Centre de Connaissances encourageant le législateur à prévoir un mécanisme de certification des formations DPO à l’instar de la loi française (Avis 41/2024 du 26 avril 2024).
L’Autorité estime que le législateur fédéral devrait envisager un cadre légal approprié en vue de permettre la mise en place des formations certifiées en matière de protection des données dans le contexte de la réception et du traitement des atteintes à l’intégrité, à l’instar du cadre légal prévu en France, sous réserve des éventuelles contraintes liées au cadre légal belge spécifique en matière de certification. L’Autorité saisit l’occasion de ce rapport annuel pour mettre cette recommandation en valeur en vue de poser les premiers jalons d’un débat à ce sujet.
Parallèlement, le Service d’Inspection a continué à mener ses actions de questionnement visant à favoriser la prise en compte de l’indépendance du DPO et la nécessaire allocation de ressources y compris le temps que le DPO peut consacrer aux questions de protection des données et les exigences de formation. Et la Chambre contentieuse a rendu plusieurs décisions en la matière.
Décisions
L'Autorité de protection des données ayant identifié les DPO comme l'une de ses priorités pour 2023, les décisions de la Chambre Contentieuse qui les ont abordés sont listées ci-dessous.
Dans cette décision, la Chambre Contentieuse a commenté en profondeur l'obligation de désigner un DPO, conformément à l'article 37.1.a) du RGPD. Cette disposition exige qu'une autorité publique ou un organisme public désigne un DPO. Elle a également vérifié si les tâches du délégué pouvaient être adéquatement exercées. En l'espèce, il s'est avéré que le DPO ne disposait pas de moyens suffisants pour conseiller au responsable du traitement de mettre en place les garanties nécessaires prévues par la législation sur la protection des données afin d'aider et de conforter les personnes concernées dans l'exercice de leurs droits d'une part, et d'éviter les violations de la législation relative à la protection des données, d'autre part. Le nombre d'heures prévues sur une base annuelle était insuffisant pour que l'on puisse parler d'une coopération structurelle entre le responsable du traitement et le DPO.
La plainte concerne un conflit d'intérêts présumé dans le chef du DPO d'une compagnie d'assurance. Dans cette décision, l'autorité de protection des données souligne qu'il n'existe pas de liste fixe de fonctions incompatibles avec le rôle de DPO et qu'un examen au cas par cas est toujours nécessaire.
Préparatifs événement pour les DPO
Que ce soit dans son plan stratégique 2020-2025 ou encore dans ses priorités 2023, l’APD n’a cessé de répéter l’importance du rôle de DPO. Fin 2023, elle s’est attelée aux préparatifs d’une session d’information entièrement dédiée aux DPO. L’évènement a eu lieu en février 2024.