Recherche privée en Belgique : la désignation du DPO devient une obligation centrale
Une réforme globale de la recherche privée et de ses usages élargis
La Belgique a adopté une nouvelle loi sur la recherche privée (LRP) afin de remplacer le cadre juridique datant de 1991.
Cette nouvelle loi encadre plus strictement les enquêtes privées réalisées par des professionnels mais aussi par les entreprises dans le cadre de leurs activités internes, notamment en cas de suspicion de fraude ou de faute professionnelle.
Une période de transition est prévue jusqu’en décembre 2026 afin de permettre la mise en conformité progressive des acteurs concernés.
Le DPO : une désignation obligatoire dès qu’un service de recherche privée existe
L’un des points centraux de la réforme est le renforcement des obligations découlant du RGPD, avec une règle particulièrement structurante : la désignation d’un Délégué à la Protection des Données (ci-après « DPO », acronyme de la dénomination anglophone Data Protection Officer) devient obligatoire pour toute entreprise ou tout service interne de recherche privée.
En effet, l’article 20 de la LRP dispose que « toute entreprise ou service interne de recherche privée, soit emploie un délégué à la protection de données, soit a conclu une convention avec un délégué externe à la protection des données.
Le Roi peut préciser la fonction, le profil, les modalités et les compétences du délégué à la protection des données ».
Ce DPO peut être :
- interne, c’est-à-dire employé par l’entreprise ou le service interne ;
- externe, sur la base d’une convention avec celui-ci.
Dans la pratique, cette obligation est appelée à s’appliquer très largement. En effet, de nombreuses entreprises peuvent être amenées à réaliser des enquêtes internes relevant de la recherche privée (fraude, conflit interne, contrôle d’informations) et doit dès lors désigner un DPO, qu’il soit interne ou externe.
Quel est le rôle du DPO ?
Ce DPO est le garant de la conformité au Règlement général sur la protection des données (RGPD). Il supervise l’ensemble du cycle de traitement des données : vérification de la légalité des enquêtes, encadrement des méthodes de collecte des données à caractère personnel, contrôle de la proportionnalité des informations recueillies et respect des droits des personnes concernées. Son rôle est essentiel, car il assure que les principes fondamentaux du RGPD sont respectés, notamment la transparence, la minimisation des données et la limitation de leur conservation.
Outre les missions énumérées à l’article 39 du RGPD, le DPO devra également jouer un rôle informatif, consultatif et de contrôle à l’égard des mesures de précaution et de contrôle qui doivent être mises en œuvre par une entreprise ou un service interne de recherche privée pour veiller à ce que les membres et leur personnel et les personnes qui travaillent pour leur compte respectent, dans l’exercice de leur fonction, les lois en général, la loi sur la recherche privée et ses arrêtés d’exécution en particulier » (art. 26, al. 2, de la LRP).
Ainsi, la réforme fait du DPO non pas une fonction accessoire, mais une condition structurelle de conformité pour toute organisation impliquée dans des activités de recherche privée.
Notre conseil :
Ne pas avoir désigné de DPO peut conduire à une plainte devant l’Autorité de protection des données, et par conséquent à une sanction administrative ou à une enquête plus large.
Vous vous demandez si votre organisation est obligée de désigner un DPO en vertu de la loi sur la recherche privée ? Votre organisation cherche un DPO dans le cadre de sa mise en conformité au RGPD ?
Notre cabinet peut assurer cette mission de façon externe ou vous proposer un accompagnement adapté à vos besoins et à votre secteur d’activité. N’hésitez pas à nous contacter !
Si vous voulez en savoir plus, inscrivez-vous à notre formation du vendredi 18 septembre « Loi sur la recherche privée : quelles conséquences pour les ressources humaines et la production de pièces en justice ? » !