Article considérant 119

(119) La dérogation à l’obligation de désigner un DPD ne s’appliquerait à aucune de ces sociétés et entités, indépendamment de leur taille ou de leurs revenus, si elles effectuent un traitement «à haut risque» de données à caractère personnel. Un traitement sera considéré comme à haut risque si, cumulativement, il présente au moins une de ces caractéristiques générales: 1) traitement de données à caractère personnel à grande échelle, et 2) traitement de données susceptibles d’avoir une incidence significative sur les droits fondamentaux et les intérêts des personnes concernées, et au moins l’une de ces caractéristiques spécifiques: 1) utilisation de technologies émergentes ou innovantes, 2) surveillance ou contrôle des zones accessibles au public, 3) processus décisionnels exclusivement automatisés, et 4) le traitement de données sensibles ou de données appartenant à des enfants ou à des personnes âgées. Un traitement à «grande échelle» de données à caractère personnel est défini comme un traitement qui «porte sur un nombre important de personnes concernées, compte tenu également du volume de données concernées, ainsi que de la durée, de la fréquence et de l’étendue géographique du traitement effectué». Un «traitement de données susceptible d’avoir une incidence significative sur les droits et intérêts fondamentaux des personnes concernées» est défini «notamment, comme une situation dans laquelle l’activité de traitement peut entraver l’exercice de droits ou l’utilisation d’un service, ainsi que causer des dommages matériels ou moraux aux personnes concernées, tels que la discrimination, la violation de l’intégrité physique, le droit à l’image et à la réputation, la fraude financière ou l’usurpation d’identité».