Le métier et son environnement

Le métier et son environnement

Depuis mai 2018, le rôle et les responsabilités du DPO ont évolué en raison de l’accent mis sur la protection des données à l’échelle mondiale.

Le RGPD a permis une harmonisation des règles au sein de l’Europe et le rôle du DPO est devenu central dans la conformité à cette réglementation.

Même si le RGPD est une réglementation de l’Union européenne, ses principes et exigences ont influencé les pratiques de protection des données à l’échelle mondiale. De nombreuses organisations en dehors de l’UE ont également choisi de désigner un DPO pour garantir la conformité aux normes internationales de protection des données.

Le RGPD a renforcé l’indépendance du DPO en exigeant qu’il exerce ses fonctions de manière indépendante et ne soit pas soumis à des instructions hiérarchiques. Cela garantit que le DPO peut accomplir ses tâches sans ingérence et jouer un rôle de contrôle et de conseil impartial au sein de l’organisation.

Les DPO sont devenus des acteurs clés, ils jouent un rôle de liaison avec les personnes concernées (les individus dont les données sont traitées) et doivent faciliter l’exercice de leurs droits en matière...

Le positionnement du DPO dans l’organisation

Comme vu précédemment, le délégué à la protection des données (DPO) est chargé de mettre en œuvre la conformité au règlement européen sur la protection des données à caractère personnel pour l’ensemble des traitements réalisés par l’organisme pour lequel il travaille.

Pour mener à bien cette mission, qu’il soit interne ou externe à l’organisme, le DPO doit disposer de qualités et connaissances spécifiques au métier mais également de moyens matériels et organisationnels. Il doit avoir un positionnement adéquat au sein de l’organisation et a besoin des ressources nécessaires pour mener à bien sa mission.

Le DPO est un acteur clé de la mise en conformité aux lois et règlements en matière de protection des données, il est la pierre angulaire du principe de responsabilité, renforcé depuis la mise en application du RGPD.

Même s’il n’est pas personnellement responsable en cas de non-respect, il établit clairement les responsabilités portées par le responsable de traitement et ses potentiels sous-traitants.

La CNIL précise dans son Guide du DPO : "Le DPO a avant tout une mission d’information  de conseil et de contrôle. Il n’est pas responsable de la conformité de l’organisme, de la tenue du registre, de la réalisation des analyses d’impacts ou des notifications de violations de données. Il est cependant en position d’en être un acteur clé dont les compétences seront très utiles au responsable de l’organisme pour l’aider à se conformer à ses obligations."

Ceci démontre bien que le DPO doit disposer d’une parfaite autonomie au sein de l’organisme qui l’emploie, au regard de la ligne managériale puisqu’il accompagne les responsables de traitements, dans leurs tâches pour assurer et être en mesure de démontrer que leurs traitements sont effectués conformément aux dispositions légales (article 24, paragraphe 1).

Comme il doit être en capacité de les conseiller et de contrôler...

Le positionnement du DPO selon les études récentes

Afin de mieux comprendre ce qui se passe sur le terrain, différents organismes ont réalisé un certain nombre d’études. Celles-ci permettent également de mieux comprendre les évolutions au fil des années du métier du DPO.

La relation avec les autres métiers  (interne : RT, CIL, RSSI ; externe : CNIL, etc.)

Le DPO assure l’un des rôles les plus transversaux dans l’organisme qui l’emploie. Il travaille au croisement des différentes branches professionnelles, notamment avec la direction générale, la direction juridique, le département des ressources humaines, les achats ou encore la direction des systèmes d’information et la direction de la sécurité des systèmes d’information.

Il est par ailleurs le point de contact qui centralise tous les échanges relatifs à la protection des données à caractère personnel vis-à-vis des personnes extérieures : sous-traitants, responsables de traitements conjoints, personnes concernées, organismes extérieurs ; soit l’ensemble du réseau professionnel de l’organisme.

L’AFPA (Direction prospective) illustre ce rôle central du DPO vis-à-vis de ses principaux interlocuteurs via les deux schémas suivants :

Ses interlocuteurs sont aussi divers que variés.

Au regard de sa mission de mise en œuvre de la conformité au RGPD, le DPO doit tout d’abord sensibiliser et former l’ensemble des acteurs concernés par le traitement de données à caractère personnel, donc toutes les entités de l’organisme. 

Dans le cadre de la stratégie de l’organisme, il doit être associé à l’élaboration et à la mise à jour des documents de gouvernance tels que la politique de sécurité du système d’information, la charte informatique, le livret d’accueil, le règlement intérieur, etc. afin d’assurer une cohérence avec la stratégie RGPD définie dans la politique et les procédures qui constituent la documentation de référence de la démarche de mise en conformité aux lois et réglementations en vigueur dans le domaine de la protection des données à caractère personnel.

Il doit, par ailleurs, établir des liens réguliers avec l’ensemble des entités pour la mise en œuvre opérationnelle de la conformité au RGPD des traitements...