Q&A sur le RGPD

Le délégué à la protection des données (DPO) est chargé de mettre en œuvre la conformité au règlement européen sur la protection des données au sein de l’organisme qui l’a désigné s’agissant de l’ensemble des traitements mis en œuvre par cet organisme.

Sa désignation est obligatoire dans certains cas. Un délégué, interne ou externe, peut être désigné pour plusieurs organismes sous conditions. Pour garantir l’effectivité de ses missions, le délégué doit disposer de qualités professionnelles et de connaissances spécifiques et doit bénéficier de moyens matériels et organisationnels, des ressources et du positionnement adéquats. (Définition de la CNIL)

Le DPO s’assure du respect des règles sur les données personnelles pour l’organisme par lequel il a été nommé. Le DPO a un rôle qui s’articule autour de 4 axes :

1. Conseiller et accompagner : apport d’expertise et diffusion de la culture et du respect des règles RGPD
2. Contrôle : Le DPO peut vérifier personnellement ou mandater un audit externe pour s’assurer du respect des règles.
3. Point de contact de l’organisme pour tous les sujets de protection des données personnelles :

       4. Le DPO assure la documentation des traitements des données

• • • La documentation est un pilier du RGPD permettant notamment d’être en capacité de respecter les règles et de le prouver en cas de contrôle. Il s’agit du principe d’ « accountability ».
    • De nombreux éléments doivent donc être intégrés dans la documentation, notamment : le registre des traitements,  registre des violations de données, les mentions d’informations, les contrats de sous-traitance…
    • Le DPO s’assure de la tenue de cette documentation qui a pour objectif principal de piloter la conformité.

La désignation d’un délégué à la protection des données est obligatoire pour :

• les autorités ou organismes publics (à l’exception des juridictions dans l’exercice de leurs fonctions juridictionnelles) ;
• les organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique de personnes à grande échelle ;
• des organismes dont les activités de base les amènent à traiter à grande échelle des données sensibles ou relatives à des condamnations pénales et infractions.

La CNIL recommande une bonne pratique : dès que l’organisme rencontre des problématiques liées relatives à la protection des données personnelles, la désignation d’un DPO est recommandée pour identifier et coordonner les actions.

Interne

Le DPO peut être nommé au sein de l’organisme. Il a la possibilité d’exercer d’autres activités dans l’organisme.

Toutefois, il ne doit pas y avoir de conflit d’intérêts notamment s’il devient responsable d’un traitement ou type de traitement. Ses autres activités doivent également lui laisser suffisamment de temps pour exercer son rôle de DPO.

Externe

Le DPO peut être mutualisé entre plusieurs organisme ou dit « Externe ». Cela permet une meilleure indépendance vis-à-vis de la direction de l’organisme.

Il s’agit aussi de DPO dont c’est le métier au quotidien, expérimentés et qui peuvent interagir facilement avec leur communauté de DPO. Attention toutefois, le RGPD est récent, les niveaux de formations de DPO sont très hétérogènes. Certaines formations de DPO ne durent en effet que quelques jours ou semaines.

Mutualisé

Un DPO, qu’il soit interne ou externe, peut être mutualisé entre plusieurs entités. Cela permet de lisser les coûts, d’uniformiser les pratiques et de partager des enseignements sur le sujet entre ces entités.

Il n’y a pas de profil type mais il y a plusieurs prérequis à respecter. Pour assurer l’ensemble de son rôle, des connaissances sont nécessaires :

• Expertise juridique et technique sur la protection des données
• Connaissance du secteur d’activité de l’organisme, de la réglementation du secteur et l’organisme lui-même
• Les opérations de traitement, les systèmes d’information et les besoins de l’organisme en matière de protection et de sécurité des données

.

Il s’agit d’une liste d’exigences réduite mais qui décrit un profil très peu représenté en entreprise. En cas de manque partiel, le DPO pourra être formé. Il pourra aussi mobiliser des expertises internes ou externes.

Au-delà des connaissances, le profil du DPO est également important : intégrité, éthique. Il doit aussi être un bon pilote capable de communiquer, vulgariser et convaincre.

Il est clé pour une entreprise que son DPO ait également une grande ouverture au business. En effet, le DPO est un pilote, intégré aux réflexions de l’entreprises pour trouver des solutions qui respectent les règles et maximisent la valeur pour l’entreprise !

Dans certaines sociétés, il y a des projets nécessaires à la croissance de l’entreprise qui ont été arrêtés pour un “blocage” RGPD. Il convient d’être vigilant sur ce point.

Aujourd’hui le métier dont sont issues les DPO est varié : 28% de profils techniques, 28% de profils juridiques et 44% de profils administratifs, financiers ou de l’audit.

📜 Il existe des certifications reconnus par la CNIL attestant des formations suivies par le DPO : l’Afnor, CESI certification, Apave certification,  iapp, lsti, LCP, SGS, Bureau Veritas et PECB.

Il s’agit d’un gage de confiance dans le cadre d’une embauche ou de la signature d’un contrat avec une société de prestation qui fournit un service de DPO externalisé.

Le DPO n’est pas responsable du non-respect du RGPD au sein de l’organisme qui l’a désigné. C’est le responsable du traitement qui est responsable. Au même titre, le sous-traitant est responsable du respect de ses obligations vis-à-vis du RGPD.

Toutefois, il peut voir sa responsabilité pénale engagée s’il enfreint intentionnellement les dispositions pénales ou en tant que complice s’il aide le responsable du traitement ou le sous-traitant à enfreindre ces dispositions pénales.

Le DPO est soumis au secret professionnel ou à une obligation de confidentialité. Cela doit être inscrit dans son contrat ou dans le contrat de prestation de service.

Le choix du DPO doit tenir compte de l’ensemble des points mentionnés précédemment pour qu’il puisse remplir son rôle à 100%.

Pour la réussite de ses missions, il est important de formaliser les activités du délégué à la protection des données dans une lettre de mission pour un DPO interne ou un contrat de prestation de service dans le cadre d’un DPO externe.

Une communication doit être effectuée au sein de l’organisme pour informer de la nomination (email, intranet, affichage…). Chaque employé/membre doit comprendre le rôle du DPO et être conscient qu’une politique sur le sujet est en place. Il doit également être identifié et joignable.

Le DPO doit être nommé auprès de la CNIL via l’espace dédié « désignation en ligne » de la CNIL si l’organisme se trouve en France sinon auprès de l’organisme de contrôle compétent. La liste des DPO et l’organisme pour lequel il est rattaché est disponible sur le site de la CNIL “Organismes ayant désigné un(e) délégué(e) à la protection des données (DPD/DPO) – data.gouv.fr“

Tout d’abord, un DPO externe se désigne auprès de la CNIL comme étant le DPO d’une entreprise. Il peut être une bonne solution pour les TPE et les PME car en termes de cout financier, il est possible de mutualiser un DPO externe qui travaille au sein de plusieurs organismes. L’entreprise n’aura donc pas à embaucher un salarié supplémentaire expert dans ce domaine.

Un DPO externalisé pourra s’adapter à la taille d’une entreprise et aura un niveau d’expertise élevé. Il pourra donc traiter les sujets RGPD plus efficacement.

Dipeeo peut vous mettre en conformité RGPD en étant votre DPO externe. Il vous accompagnera, main dans la main, dans toutes les démarches à suivre pour être conforme. De plus, avec Dipeeo, non seulement vous gagnez un temps  considérable, mais il rend le RGPD presque sympa. Tous les documents sont fournis dans les plus brefs délais et s’il vous arrive un sujet RGPD comme une mise en demeure, Dipeeo intervient et fait le nécessaire auprès de la CNIL pour résoudre vos problèmes.