Le 25 mai 2018, le Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (Règlement général sur la protection des données, RGPD) est entré en vigueur dans tous les États membres de l’Union européenne (UE).
Le RGPD uniformise le droit de la protection des données personnelles au sein de l’UE. Cependant, des domaines subsistent dans lesquels le RGPD permet aux États membres de légiférer sur la protection des données personnelles. A cette fin, le législateur allemand a adopté une novelle version de la loi fédérale sur la protection des données (Bundesdatenschutzgesetz, BDSG) qui est entrée en vigueur le 25 mai 2018.
La nouvelle version du Bundesdatenschutzgesetz comporte des dispositions applicables au traitement de données personnelles « dans le cadre des activités d’une succursale sur le territoire national du responsable », § 1 (4) Nr. 2 BDSG. Ainsi, la loi fédérale sur la protection des données (BDSG) s’applique aux succursales et aux filiales allemandes d’entreprises françaises.
Parmi les dispositions de la loi fédérale sur la protection des données (BDSG) figurent notamment des dispositions spécifiques sur le traitement des données personnelles de salariés (Beschäftigtendatenschutz) (§ 26 BDSG) et sur l’obligation de désigner un délégué à la protection des données (Datenschutzbeauftragter) (§ 38 BDSG).
Les dispositions relatives au traitement des données personnelles des salariés comportent notamment des règles spécifiques sur les conditions d’efficacité du consentement (Einwilligung) du salarié au traitement de ses données personnelles.
Quant aux dispositions relatives au délégué à la protection des données, elles étendent les hypothèses dans lesquelles il doit être désigné : toute entreprise au sein de laquelle généralement au moins dix personnes s’occupent en permanence du traitement automatisé de données personnelles doit désigner un délégué à la protection des données. Il semblerait que cette disposition doive être interprétée de manière extensive.
Ainsi, les entreprises françaises qui entretiennent en Allemagne une filiale ou une succursale ont donc intérêt à se conformer aux dispositions spécifiques du droit allemand relatives à la protection des données personnelles. Sinon, elles risquent de se voir appliquer les sanctions sévères fixées par le RGPD, les autorités de contrôle allemand ayant d’ores et déjà signalé qu’elles entendent faire usage de leur pouvoir de sanction.
Vous êtes une entreprise française avec une activité en Allemagne ? Contactez-nous. Nous vous assisterons dans la mise en place d’une protection des données personnelles conforme au droit allemand.
Le présent article ne donne que des renseignements d’ordre général. En aucun cas il ne saurait remplacer une consultation sur un cas concret. Le présent article expose le droit au moment de sa rédaction, les modifications ultérieures ne sont pas prises en compte. Prenez contact avec nous !
