Le 9 février 2023, la Cour de justice de l’Union européenne (« CJUE ») a rendu son arrêt dans l’affaire X-FAB Dresden (C-453/21). Dans cette décision, la CJUE a clarifié les critères permettant d’évaluer s’il existe un conflit d’intérêts entre le poste de délégué à la protection des données (« DPD ») et d’autres tâches ou fonctions assignées au DPO.
La CJUE a souligné que les organisations doivent s’assurer que le DPD ne se voit pas confier des tâches ou des fonctions qui pourraient entraver l’exécution de leurs obligations de DPD. En particulier, le DPO ne peut pas déterminer les objectifs et les modalités d’une activité de traitement de données personnelles.
Une évaluation au cas par cas est nécessaire pour déterminer s’il existe un conflit d’intérêts. Cette évaluation doit prendre en compte »toutes les circonstances pertinentes, en particulier la structure organisationnelle du responsable du traitement ou de son sous-traitant et à la lumière de toutes les règles applicables, y compris toute politique du responsable du traitement ou de son sous-traitant”.
La CJUE a également confirmé la possibilité de restreindre davantage le licenciement du DPD en vertu des lois nationales, tant que ces lois ne compromettent pas les objectifs du RGPD.
Lire la décision de la CJUE.
