Délégué à la protection des données : est-il obligatoire ?

Le délégué à la protection des données, souvent appelé DPO pour Data Protection Officer, est la personne chargée de conseiller un organisme sur le RGPD et de contrôler qu'il le respecte. Il sert aussi de point de contact avec la CNIL et avec les personnes dont les données sont traitées. Sa désignation n'est obligatoire que dans certains cas, définis par l'article 37 du RGPD. Voici comment savoir si vous êtes concerné. Ces repères ne remplacent pas un conseil juridique.

Dans quels cas le DPO est-il obligatoire ?

L'obligation vise aussi bien les responsables du traitement que les sous-traitants, dans trois situations.

Le RGPD permet aussi au droit de l'Union ou des États membres d'imposer un DPO dans d'autres situations.

Que signifient « activité de base » et « grande échelle » ?

• Activité de base : les opérations essentielles pour atteindre les objectifs de l'organisme. La gestion de la paie ou le support informatique, communs à toutes les organisations, sont en principe des activités accessoires.
• Grande échelle : le RGPD ne fixe aucun seuil chiffré. Les lignes directrices européennes invitent à tenir compte du nombre de personnes concernées, du volume de données, de la durée du traitement et de son étendue géographique.

En cas de doute, les autorités européennes recommandent de documenter l'analyse qui vous conduit à désigner ou non un DPO.

Quel est le rôle du DPO ?

1. Informer et conseiller la direction, les équipes et les sous-traitants sur leurs obligations.
2. Contrôler le respect du RGPD et des règles internes, y compris la formation du personnel.
3. Conseiller sur les analyses d'impact, ces études de risques obligatoires pour les traitements susceptibles de présenter un risque élevé pour les personnes.
4. Coopérer avec la CNIL et lui servir de point de contact.
5. Répondre aux personnes qui souhaitent exercer leurs droits ou poser une question.

Point important : le DPO n'est pas responsable de la conformité à la place de l'organisme. Le responsable du traitement reste tenu de respecter le RGPD et de pouvoir le démontrer.

Quelles conditions pour exercer la fonction ?

• des connaissances spécialisées du droit et des pratiques en matière de protection des données ;
• une implication en temps utile dans toutes les questions liées aux données personnelles ;
• les ressources nécessaires : temps, budget, accès aux informations ;
• l'indépendance : il ne reçoit pas d'instructions pour l'exercice de ses missions et ne peut être sanctionné pour les avoir exercées ;
• un lien direct avec le plus haut niveau de la direction ;
• l'absence de conflit d'intérêts : une personne qui décide elle-même des objectifs et des moyens des traitements peut difficilement contrôler ces choix.

DPO interne, externe ou mutualisé ?

Comment désigner un DPO ?

1. Vérifiez l'obligation et gardez une trace de votre analyse.
2. Choisissez le profil et formalisez ses missions et ses moyens.
3. Communiquez sa désignation à la CNIL, qui propose un service en ligne à cet effet.
4. Publiez ses coordonnées, par exemple dans la politique de confidentialité.
5. Présentez-le aux équipes pour qu'elles sachent quand le solliciter.

Et si le DPO n'est pas obligatoire ?

Les autres obligations restent entières : information des personnes, registre des traitements, sécurité, contrats avec les prestataires, gestion des violations. Confiez leur suivi à un référent identifié. Si vous désignez volontairement un DPO, les règles du RGPD sur la fonction s'appliquent de la même manière. Pour structurer ce pilotage, voyez l'accompagnement en conformité RGPD de NexSecure.