Cela fait maintenant plus de 7 ans que le RGPD s’applique dans l’Union Européenne. Il oblige toutes organisations ainsi que les personnes en profession libérales à respecter les règles de ce Règlement Européen. Surtout les organisations qui collectent et exploitent de nombreuses données à caractère personnel. On pense particulièrement aux collectivités territoriales, entreprises publiques, centres de formation, les entreprise de plus de 10 salariés (données relatives aux ressources humaines), professions règlementées etc.
Comment faire face à la complexité de ce texte et ses dispositions ? Dans son article 37, Ce texte crée le métier de délégué à la protection des données (Data Protector Officer en Anglais, DPO). Il définit le cadre de ses missions à savoir accompagner les organisations dans leur mise en conformité et veiller au maintien du respect du RGPD. Il oblige les organisations publiques, les organisations qui traitent des données sensibles au sens de l’article 9 du RGPD et celles qui opèrent des traitement de données à grande échelle d’avoir un DPO. Pour les autres entreprises le délégué à la protection des données est certes pas obligatoire mais fortement conseillé. Cependant il existe des possibilités d’organiser sa mission et de le recruter tel un prestataire externe. Nous allons voir ainsi les missions et les prérogatives du DPO. Puis nous aborderons les avantages entre recruter un DPO ou externaliser la fonction.
Les ressources et missions du DPO
Être délégué à la protection des données ne s’improvise pas. Cela entend acquérir des compétences juridiques, des connaissances techniques ainsi que des qualités humaines. C’est aussi une responsabilité puisque être nommé délégué à la protection des données d’une organisation signifie être référencé auprès de la CNIL pour cette organisation.
Les ressources nécessaires
Avant tout, le délégué à la protection des données dispose de compétences juridiques et techniques pour remplir sa mission. De plus, il doit être un communiquant et un pédagogue. Il doit être à l’abri de tout conflits d’intérêts. Cela signifie qu’il ne peut pas cumuler différents fonctions décisionnaires au sein de l’organisation avec celles de DPO. D’autre part, Il demeure impartial dans ses choix et à l’égard des organes de décisions, ainsi que du responsable des services informatiques.
Bien entendu le délégué à la protection des données nommé possède les compétences requises pour mener à bien la mission. Il connait la règlementation du RGPD ainsi que des base en cybersécurité. Il doit être un bon communiquant et un bon pédagogue pour sensibiliser les collaborateurs concernés au RGPD. En effet, dans une année il sera amené à plusieurs reprises former des collaborateurs
Le responsable de traitement lui alloue les ressources requises pour mener à bien sa mission (bureau, matériel informatique, logiciels, budget, etc.).
Si le responsable de traitement dispose de plusieurs établissements, le DPO peut nommer des référents. Ils constituent des relais pour communiquer sur les process relatifs au RGPD mis en place.
Le contenu des missions du DPO
L’ensemble des missions du délégué à la protection des données sont définies à l’article 39 du RGPD.
Le DPO guide l’organisation qui l’a recruté dans sa conformité au RGPD. Il fait directement rapport au plus haut niveau de l’organisation pour que celui-ci ait connaissance de ses recommandations.
Il ne doit pas recevoir d’instruction dans l’exercice de ses missions. Que ce soit sur la manière de traiter un sujet, d’interpréter une disposition légale, d’instruire une plainte, d’analyser le résultat d’un audit, ou sur l’opportunité de consulter la CNIL.
Il fournit des conseils sur la conformité au RGPD, ainsi que sur les bonnes pratiques en matière de protection des données. Il aide l’entreprise à résoudre les problèmes potentiels liés à la protection des données. Pour chaque traitement, il contrôle la licéité, la finalité, les catégories de données, la durée de conservation et la sécurisation. Le DPO intervient dès le début de la mise en place d’un traitement de données. Il peut également intervenir une fois nommé lors d’un traitement en cours.
Il intervient dans la documentation de nombreux documents : gouvernance, charte informatique, mentions légales, politique de confidentialité etc.
Le DPO sensibilise les décideurs et les services métiers impactés aux obligations relatives au RGPD. Il surveille les activités de traitement de données de l’entreprise pour s’assurer que celle-ci sont conformes. Cela concerne par exemple la tenue des registres de traitement, de droits et de violations de données, l’accompagnement lors d’analyse d’impact etc. Il participe également à l’établissement de règles internes (gouvernance) pour bien appliquer le RGPD. Également en cas de violation de données suite à un acte de piratage par exemple, c’est lui qui devra informer la CNIL dans les 72H.
Il a également un rôle d’alerte envers le responsable de traitement, les sous-traitants, les services métiers concernés. Il est présent en cas de contrôle de la CNIL.
En plus, la mission du délégué à la protection des données n’est pas ponctuelle. Elle s’opère dans la continuité du temps car la conformité RGPD évolue au fil de l’évolution de l’organisation (nouveaux produits, nouveaux traitements de données etc.).
Le champ des missions du délégué à la protection est beaucoup plus vaste qu’on ne le croit. C’est pourquoi il est nécessaire de faire appel à un DPO qui dispose des compétences juridiques, techniques et des qualités humaines requises. Sa nomination n’est pas à prendre à la légère qu’il soit recruté ou promu en interne (On reste sur un statut de salarié) ou que la fonction soit externalisée.
Faut-il recruter un DPO interne ou externaliser la fonction ?
Comme nous l’avons abordé dans l’introduction de notre propos, le délégué à la protection des données est obligatoire pour toutes les personnes morales de droit public. Sa nomination est également « un must » lorsque des organisations réalisent des traitements de données à grande échelle et/ou traite des données sensibles au sens de l’article 9 du RGPD. La question à se poser : savoir si le DPO doit être sous statut de salarié ou la fonction doit-elle être externalisée.
Avantages et limites du DPO interne
Le responsable de traitement peut nommer un salarié en interne s’il estime par exemple que la fonction ne requiert pas trop de temps et s’évalue à un temps partiel. Cependant la personne devra suivre une formation pour pouvoir être opérationnelle. Soit une perte de temps potentielle et une obligation de formation. Donc, des charges à anticiper.
Recruter, est une autre possibilité : le DPO a le statut de salarié. Il est réputé formé et connaître les ficelles du métiers. Soit un gain de temps en termes de formations. De nombreuses organisations n’ont pas les moyens de financer un poste de salarié de DPO. Dans ce cas, des responsables de traitement s’unissent et mutualisent la mission. A titre d’exemple on peut citer les communautés de communes qui recrute un DPO pour l’ensemble des villes qui la compose ou un groupement d’entreprises ou le DPO intervient à la fois au sein de la maison des mères et des filiales.
Recruter un DPO permet d’avoir un expert disponible et réactif au sein de l’organisation. Ce choix est pertinent pour les structures de grande taille, qui manipulent d’importants volumes de données personnelles. Cependant, cela représente un investissement conséquent : salaire, formation continue, matériel, logiciels, etc.
Néanmoins, trouver un profil maîtrisant à la fois les aspects juridiques et techniques du RGPD peut s’avérer difficile et devenir un casse-tête. Certaines collectivités, entreprises ou groupes choisissent d’externaliser la fonction.
Pourquoi choisir un DPO externalisé pour votre organisation ?
Il est tentant de nommer son responsable informatique, ou marketing ou financier délégué à la protection des données. Or nous avons vu que précédemment que le délégué à la protection des données doit être impartial. Dans une telle hypothèse, le responsable de traitement se retrouverait confronté à une prise illégale d’intérêt.
Ainsi, pour des PME, centres de formation ou structures publiques de taille moyenne, faire appel à un DPO externe est souvent la solution la plus rentable et efficace.
Externaliser la fonction présente des avantages. Ce processus garantit l’impartialité dans la mission du délégué à la protection des données. De plus, le délégué à la protection des données possède d’avance les compétences et les qualités requises pour mener à bien sa mission. Il est donc immédiatement opérationnel. Soit une économie et un gain de temps en termes de formation. Enfin il a l’avantage d’être flexible en termes d’organisation et d’être réactif.
Également il possède son matériel et les ressources logiciels qu’il met à disposition. Le responsable de traitement peut imposer sa solution logiciel afin de garder la main.
Ainsi, l’externalisation de la fonction permet au responsable de traitement de bénéficier d’un accompagnement sur mesure et évolutif. Dès lors, il peut se concentrer sur le cœur de son activité.
Pour conclure,
Se mettre hors la Loi est un risque en cas de contrôle de la CNIL. Il pourrait en coûter 4 à 5 fois le montant d’une prestation de mise en conformité. Cela s’explique par les faits que la CNIL obligera l’organisation incriminée à se mettre en conformité. De plus, elle sanctionnera d’une amende administrative l’organisation contrevenante. De plus, au-delà des sanctions, c’est aussi votre image de marque et la confiance de vos clients qui peuvent être affectées.
Alors autant avoir un délégué à la protection des données au service de son organisation. D’ailleurs, une mise en conformité proactive est donc bien plus qu’une obligation légale. C’est un véritable levier de crédibilité et de sécurité pour votre organisation.
L’équipe SYSGUARD, composée d’experts certifiés dans les domaines à la fois juridique et technique vous accompagne dans votre mise en conformité RGPD et son suivi régulier. Soit une solution complète et adaptée à vos besoins.
A partir d’un diagnostic de la gestion de vos données à caractère personnel (nature, conditions de stockage, forces, faiblesses), nous vous guidons quant à la mise en place d’une gouvernance. A l’intérieur seront mis en place les registres obligatoires, des process d’archivages et de sécurisation de vos données. Nous vous conseillons quant à l’usage de bonnes pratiques. Enfin, nous sensibilisons vos collaborateurs concernés au RGPD. Le tout pour une conformité durable.
En choisissant SYSGUARD, vous bénéficiez d’un partenaire fiable, indépendant et à l’écoute, qui veille à la pérennité de votre conformité RGPD.
Vous souhaitez évaluer votre niveau de conformité RGPD ? Contactez- nous pour un diagnostic personnalisé et sans engagement.
Foire aux questions
Qu’est-ce qu’un DPO ?
Le Délégué à la Protection des Données (DPO) est l’expert chargé d’accompagner une organisation dans sa conformité au RGPD. Il conseille, contrôle, sensibilise les équipes et veille à la bonne protection des données personnelles. Il agit en toute indépendance et fait le lien avec la CNIL.
Quelles sont les missions du DPO ?
Le DPO supervise la conformité RGPD de l’organisation. Ses principales missions sont :
- conseiller le responsable de traitement,
- contrôler les traitements et les registres obligatoires,
- vérifier la licéité, la sécurité et la gouvernance des données,
- sensibiliser et former les équipes,
- accompagner les analyses d’impact (AIPD),
- notifier les violations de données à la CNIL,
- documenter les politiques internes (confidentialité, charte informatique, etc.).
Un DPO est-il obligatoire ?
Oui, dans certains cas. La nomination d’un DPO est obligatoire pour :
- toutes les organisations publiques,
- les structures traitant des données sensibles (art. 9 RGPD),
- les organismes réalisant des traitements à grande échelle.
Pour les autres organisations, il n’est pas obligatoire mais fortement recommandé pour éviter les risques juridiques et garantir une conformité durable.
Quelle est la différence entre un DPO interne et un DPO externalisé ?
- Un DPO interne est salarié de l’organisation, disponible au quotidien mais coûteux (salaire, formation…) et potentiellement exposé à des conflits d’intérêts.
- Un DPO externalisé est un expert indépendant, immédiatement opérationnel, impartial et souvent plus économique pour les PME, collectivités ou centres de formation.
Comment choisir son DPO externalisé ?
Un bon DPO externalisé doit :
- disposer d’une double compétence juridique et technique,
- avoir une expérience concrète en conformité RGPD,
- être impartial et indépendant,
- proposer une méthodologie claire (diagnostic, gouvernance, registres, audits…),
- offrir un accompagnement flexible et adapté à la taille de l’organisation,
- assurer un suivi régulier et une veille juridique.