DPO (délégué à la protection des données)
Personne chargée de conseiller l'organisme et de contrôler sa conformité au RGPD, obligatoire dans certains cas.
Définition complète
Le délégué à la protection des données (DPO, pour Data Protection Officer) est prévu par les articles 37 à 39 du RGPD. Il informe et conseille l'organisme et ses salariés, contrôle le respect du règlement, conseille sur les analyses d'impact et sert de point de contact avec la CNIL et les personnes concernées.
Sa désignation est obligatoire pour les autorités et organismes publics, et pour les organismes dont les activités de base les conduisent à un suivi régulier et systématique de personnes à grande échelle, ou à traiter à grande échelle des données sensibles ou relatives à des condamnations pénales. Hors de ces cas, la désignation reste encouragée.
Le DPO peut être un salarié ou exercer sur la base d'un contrat de service (DPO externe). Il doit avoir des compétences juridiques et techniques, disposer de moyens suffisants et agir sans conflit d'intérêts. Sa désignation se déclare en ligne auprès de la CNIL. L'organisme reste responsable de sa conformité : le DPO conseille, il ne porte pas cette responsabilité à sa place.
Sources : CNIL, Désigner un délégué à la protection des données ; EUR-Lex, Règlement (UE) 2016/679 (RGPD)
Exemple concret
Une société de téléassistance de 40 salariés suit en continu des personnes âgées et traite leurs données de santé. Ses activités de base entrent dans les cas obligatoires. N'ayant pas de juriste spécialisé, elle confie la mission à un DPO externe, déclare sa désignation sur le site de la CNIL et publie ses coordonnées dans sa politique de confidentialité.
Comment se protéger
- Vérifier si l'activité entre dans l'un des trois cas de désignation obligatoire
- Choisir une personne compétente, disponible et sans conflit d'intérêts (pas le dirigeant ni le DSI qui décide des traitements)
- Déclarer la désignation en ligne auprès de la CNIL
- Publier les coordonnées du DPO auprès des clients et des salariés
- Associer le DPO dès la conception des nouveaux projets manipulant des données personnelles
- Lui donner accès aux informations et un temps suffisant pour exercer sa mission
Questions fréquentes
Oui. Le RGPD prévoit que le DPO peut exercer ses missions sur la base d'un contrat de service. C'est fréquent dans les PME.
Non. Le responsable du traitement, c'est-à-dire l'entreprise, reste responsable de la conformité. Le DPO conseille et contrôle.
Ce sont deux rôles différents : le DPO protège les droits des personnes sur leurs données, le RSSI pilote la sécurité du système d'information. Ils travaillent ensemble, notamment en cas de violation de données.
Termes liés
Charte informatique
Document qui fixe les règles d'usage des outils numériques par les salariés, rendu opposable en l'annexant au règlement intérieur.
Notification de violation de données (CNIL)
Obligation de signaler à la CNIL, dans les 72 heures, une violation de données personnelles présentant un risque pour les personnes.
RGPD
Règlement européen sur la protection des données personnelles.
RSSI
Responsable de la Sécurité des Systèmes d'Information.
Vous avez besoin d'un expert en DPO (délégué à la protection des données) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.