Quand faut-il consulter le PFPDT avant de lancer un traitement de données ?
Il faut consulter le PFPDT avant le traitement lorsque l’analyse d’impact relative à la protection des données montre que, malgré les mesures prévues, le traitement envisagé présente encore un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Un responsable du traitement privé peut y renoncer s’il a consulté son conseiller à la protection des données au sens de l’art. 10.
La consultation préalable du PFPDT est requise avant de commencer le traitement si une analyse d’impact relative à la protection des données conclut que le traitement envisagé présente encore un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, et cela malgré les mesures prévues par le responsable du traitement. Le point décisif n’est donc pas l’existence d’un risque en général, mais le fait qu’un risque élevé subsiste après les mesures envisagées. Il faut donc vérifier, d’une part, qu’une analyse d’impact a bien été menée et, d’autre part, ce qu’elle révèle sur le niveau de risque résiduel du traitement projeté.[1]
Lorsque cette consultation a lieu, le PFPDT communique au responsable du traitement ses objections concernant le traitement envisagé dans un délai de deux mois. Ce délai peut être prolongé d’un mois lorsqu’il s’agit d’un traitement de données complexe. S’il a des objections, il propose des mesures appropriées. En pratique, il faut donc vérifier non seulement si la consultation est obligatoire, mais aussi si le calendrier du projet permet d’attendre la réaction du PFPDT et de tenir compte, le cas échéant, des mesures qu’il propose.[1]
Une exception est prévue pour le responsable du traitement privé: il peut renoncer à consulter le PFPDT s’il a consulté son conseiller à la protection des données au sens de l’art. 10. Cette possibilité de renonciation est formulée pour le responsable du traitement privé et dépend de la consultation de ce conseiller. Il convient donc de vérifier si cette qualité est remplie et si la consultation du conseiller à la protection des données au sens de l’art. 10 a effectivement eu lieu avant de décider de ne pas saisir le PFPDT.[1]
Cette réponse résume le texte légal cité tel qu’il est publié sur Fedlex. Il faut vérifier la disposition actuellement en vigueur ainsi que toute modification ultérieure avant d’agir.[1]