DPO : définition, désignation obligatoire et missions

Le DPO (Data Protection Officer), appelé en droit français délégué à la protection des données, est la personne chargée de piloter la conformité au RGPD au sein d'un organisme. Trois articles du règlement l'encadrent : l'article 37 (désignation obligatoire), l'article 38 (position et garanties) et l'article 39 (missions). Lus avec les lignes directrices européennes, ils vous permettent de savoir si votre organisme est concerné et ce que la désignation engage.

Qu'est-ce qu'un délégué à la protection des données ?

Le délégué est un conseiller et un contrôleur interne en matière de données personnelles. Il informe l'organisme de ses obligations, vérifie qu'elles sont respectées et sert d'interlocuteur à la CNIL comme aux personnes concernées. Il ne décide pas des traitements.

Le point est souligné par les lignes directrices du groupe de travail « Article 29 » : le délégué n'est pas personnellement responsable en cas de non-respect du RGPD. C'est le responsable du traitement, ou le sous-traitant, qui doit s'assurer de la conformité et être en mesure de la démontrer. Désigner un DPO ne transfère donc pas la responsabilité, il organise la manière de l'assumer.

Quand la désignation est-elle obligatoire ?

La désignation est obligatoire dans trois cas prévus par l'article 37 du RGPD. Elle vise le responsable du traitement comme le sous-traitant. En dehors de ces cas, elle reste facultative, sauf si le droit national l'impose.

• Le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle.
• Les activités de base de l'organisme consistent en des opérations qui exigent un suivi régulier et systématique à grande échelle des personnes concernées.
• Les activités de base consistent en un traitement à grande échelle de données sensibles (article 9) ou de données relatives aux condamnations pénales et aux infractions (article 10).

Deux notions font la différence. Les « activités de base » sont les opérations essentielles à l'objet de l'organisme : la paie ou l'assistance informatique, fonctions support, ne suffisent pas. La « grande échelle » s'apprécie selon le nombre de personnes concernées, le volume de données, la durée et l'étendue géographique de l'activité. Exemples tirés des lignes directrices :

La CNIL encourage la désignation même lorsqu'elle n'est pas requise. Attention toutefois : un délégué désigné volontairement est soumis aux articles 37 à 39 exactement comme s'il avait été désigné par obligation. Si une personne suit le sujet sans avoir cette qualité, les lignes directrices invitent à éviter toute confusion sur son titre.

Quelles sont les missions du délégué ?

L'article 39 fixe un socle minimal de cinq missions : informer, contrôler, conseiller sur les analyses d'impact, coopérer avec la CNIL et lui servir de point de contact. Il les exerce selon le risque de chaque traitement.

1. 1Informer et conseiller — L'organisme et les salariés qui traitent des données, sur leurs obligations.
2. 2Contrôler — Le respect du RGPD et des règles internes, y compris la sensibilisation, la formation et les audits.
3. 3Conseiller sur les analyses d'impact — Rendre un avis lorsqu'une analyse d'impact est demandée et vérifier son exécution.
4. 4Coopérer avec la CNIL — Répondre à l'autorité de contrôle et faciliter ses échanges avec l'organisme.
5. 5Servir de point de contact — Pour la CNIL sur les questions relatives au traitement, notamment en cas de consultation préalable.

Dans les faits, le rôle du DPO passe par le suivi du registre des traitements, des avis sur les nouveaux projets et la réponse aux demandes d'exercice des droits. Les personnes concernées peuvent d'ailleurs le contacter directement (article 38, paragraphe 4).

Quelles garanties entourent sa fonction ?

L'article 38 protège l'indépendance du délégué pour que son avis reste objectif. L'organisme doit l'associer aux questions de protection des données, lui donner les moyens d'agir et le laisser libre dans ses missions.

• Il est associé en temps utile à toutes les questions relatives à la protection des données.
• Il dispose des ressources nécessaires et d'un accès aux données et aux traitements.
• Il ne reçoit aucune instruction pour l'exercice de ses missions et ne peut être relevé de ses fonctions ni pénalisé pour les avoir exercées.
• Il fait rapport directement au niveau le plus élevé de la direction.
• Il est tenu au secret professionnel ou à une obligation de confidentialité.

Le délégué peut exercer d'autres tâches, à condition qu'elles n'entraînent pas de conflit d'intérêts. Les lignes directrices jugent généralement incompatibles les postes qui déterminent les finalités et les moyens des traitements : direction générale, direction financière, marketing, ressources humaines ou informatique. Le non-respect des articles 37 à 39 est passible d'une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83, paragraphe 4, du RGPD).

Comment désigner le délégué auprès de la CNIL ?

La désignation se fait en ligne sur le téléservice de la CNIL, après avoir vérifié les compétences, les moyens et l'indépendance de la personne choisie. Les coordonnées du délégué doivent aussi être publiées, par exemple dans votre politique de confidentialité.

Le DPO est choisi pour ses qualités professionnelles et ses connaissances spécialisées du droit et des pratiques en matière de protection des données. Il peut être un membre du personnel ou exercer sur la base d'un contrat de service (article 37, paragraphe 6). Un groupe d'entreprises peut désigner un délégué unique, joignable depuis chaque établissement. La page de désignation de la CNIL détaille les conditions à vérifier, et le guide pratique de la CNIL complète ces règles. Si vous envisagez de confier la fonction à un prestataire, notre article consacré à l'externalisation du délégué compare les options.

Une fois désigné, le DPO doit disposer des moyens et du lien direct avec la direction exigés par l'article 38 : en pratique, une lettre de mission et un temps dédié les rendent vérifiables.

À retenir

• La désignation est obligatoire pour les organismes publics et en cas de suivi systématique ou de données sensibles à grande échelle.
• Un délégué volontaire relève des mêmes règles.
• Ses missions minimales sont fixées par l'article 39.
• Il agit sans instruction, rend compte à la direction et ne peut être sanctionné pour l'exercice de ses missions.
• La responsabilité de la conformité reste celle de l'organisme.