Nomination d'un délégué à la protection des données (DPO) lorsqu'une personne morale est chargée de cette mission : le Tribunal administratif régional de Lecce établit le critère d'appartenance à l'entreprise. La récente décision du Tribunal administratif régional des Pouilles (Lecce), chambre III, n° 01468/2019, devrait impacter plusieurs nominations de personnes exerçant les fonctions de DPO, conformément au Règlement général sur la protection des données (RGPD) récemment entré en vigueur. L'affaire portait sur un recours contre le classement final d'un appel d'offres informel lancé par la municipalité de Tarente, concernant l'attribution du mandat de deux ans pour la mise en œuvre du RGPD et la désignation du DPO. Quelles que soient les circonstances particulières de l'affaire, les conclusions du Tribunal administratif régional concernant l'exigence que le DPO de l'entreprise chargée de la mission soit un salarié auront certainement des conséquences. En effet, le juge administratif semble établir que la personne physique qui exerce effectivement la fonction de DPO, si cette tâche lui est confiée, comme c'est le cas en l'espèce, doit nécessairement appartenir à cette personne morale et, par conséquent, être un employé de l'entreprise chargée de la prestation de services. La décision du panel semble reposer sur une interprétation littérale de la version italienne des lignes directrices du Groupe de travail « Article 29 » relatives aux délégués à la protection des données (DPO), adoptées le 13 décembre 2016. En effet, la section 2.5, relative aux connaissances et compétences du DPO, et notamment à l'exercice de cette fonction dans le cadre d'un contrat de service, stipule : « Il est essentiel que toute personne physique appartenant à la personne morale et agissant en qualité de DPO (délégué à la protection des données) remplisse toutes les conditions applicables énoncées à la section 4 du RGPD. » Cette décision semble en contradiction flagrante avec les dispositions du RGPD de l'UE, en particulier l'article 37, paragraphe 6, qui prévoit simplement que le DPO peut être un employé du responsable du traitement ou du sous-traitant, ou exercer ses fonctions dans le cadre d'un contrat de service. À cet égard, il convient également de noter que les versions anglaise, française et allemande des Lignes directrices ne mentionnent pas expressément l'exigence d'adhésion (ou de subordination), que le Panel considère comme essentielle, mais se contentent d'exiger les conditions prévues par le RGPD. Le juge administratif, en termes de valeur juridique, érige ces lignes directrices en interprétation authentique du RGPD, et donc en règles contraignantes. Il apparaît toutefois qu'il convient de les considérer comme de simples dispositions de droit souple, utiles à l'interprétation de la législation européenne, mais dépourvues de force obligatoire. Par ailleurs, la décision ne semble pas tenir compte de la pratique courante consistant à désigner des personnes morales comme DPO, lesquelles font appel à des professionnels externes capables d'apporter une expertise technique et une connaissance spécialisée des réglementations et des pratiques, une formation continue en la matière, ainsi que la capacité de remplir les missions prévues à l'article 39 du RGPD. La Cour elle-même exclut, en effet, la possibilité que la fonction de DPO soit exercée par une personne liée à l'entreprise par une simple mission professionnelle, ce qui lui conférerait une certaine autonomie dans l'exécution de sa tâche. Elle exclut ainsi la possibilité que ce rôle soit exercé par une personne non liée à l'entreprise par un lien de subordination. Si le raisonnement du Tribunal administratif régional de Lecce était étendu, un très grand nombre de nominations de DPO en faveur de personnes morales seraient illégitimes