DPO : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Le DPO, ou délégué à la protection des données, est la personne désignée par un organisme pour l'informer, le conseiller et contrôler qu'il respecte le RGPD. Il est aussi l'interlocuteur de la CNIL et des personnes concernées.
Ce qu'il faut comprendre
Le délégué à la protection des données a trois grandes missions : informer et conseiller la direction et les équipes, vérifier que les règles sont appliquées, et coopérer avec la CNIL. Il conseille aussi sur les analyses d'impact et sert de point de contact aux personnes qui veulent exercer leurs droits. Ses coordonnées doivent être publiées et communiquées à la CNIL.
La désignation est obligatoire dans trois cas : l'organisme est une autorité ou un organisme public, ce qui inclut toute collectivité ; son activité de base consiste en un suivi régulier et systématique des personnes à grande échelle ; ou il traite à grande échelle des données sensibles ou des données d'infraction. En dehors de ces cas, la désignation reste possible et souvent utile.
Le DPO doit être associé à toutes les questions de protection des données, disposer de moyens suffisants et rendre compte au plus haut niveau de la direction. Il ne reçoit aucune instruction sur l'exercice de ses missions et ne peut pas être sanctionné pour les avoir accomplies. Il ne doit pas non plus être en conflit d'intérêts : un directeur général ou un DSI qui décide des traitements peut difficilement contrôler ses propres choix.
Erreur fréquente : croire que le DPO est responsable de la conformité. Il conseille et contrôle, mais c'est le responsable de traitement qui décide et qui répond des manquements devant la CNIL. Autre confusion : le DPO n'est pas un simple correspondant administratif. Il doit disposer de connaissances spécialisées en droit et en pratique de la protection des données, adaptées à la sensibilité des traitements de l'organisme.
Exemple concret
Une commune de 3 000 habitants doit désigner un DPO, comme toute collectivité. Elle n'a pas de juriste en interne. Elle choisit un DPO mutualisé avec d'autres communes, puis déclare sa désignation à la CNIL. Le DPO aide la secrétaire de mairie à tenir le registre, relit les formulaires d'inscription à la cantine et répond aux demandes d'accès des administrés.
Textes de référence
- RGPD, art. 37
- RGPD, art. 38
- RGPD, art. 39
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
