Qu’est-ce qu’un délégué à la protection des données ?
Le délégué à la protection des données (DPO) est un nouveau rôle de sécurité de premier plan qui a été créé avec l’application du règlement général sur la protection des données (RGPD).
Le délégué à la protection des données est chargé de superviser la mise en œuvre d’une stratégie de protection des données, en s’assurant qu’elle est conforme au RGPD et aux autres lois applicables en matière de protection des données.
Le délégué à la protection des données est chargé de superviser les politiques de confidentialité et de protection des données et de veiller à la mise en œuvre de ces politiques dans toutes les unités organisationnelles.
Quel est le rôle du DPO (data Protection officer) ?
Le délégué à la protection des données (DPO) est tenu de contrôler la conformité interne et de s’assurer que l’entreprise ou l’organisation traite les données personnelles conformément aux lois applicables en matière de protection des données.
Plus important encore, le DPO est chargé de démontrer la conformité à la loi RGPD et la coopération avec l’autorité de protection des données.
Le rôle du DPO est également d’informer et de conseiller l’entreprise sur les obligations en matière de protection des données, d’aligner les processus internes et d’orienter les politiques de l’entreprise pour qu’elles soient conformes.
Le DPO doit coopérer avec les autres unités organisationnelles qui sont impliquées dans le traitement des données personnelles, comme le marketing, les ressources humaines ou le service juridique.
Le DPO est généralement un professionnel de l’informatique ou un expert juridique, et non les deux. Par conséquent, la coopération est essentielle car il est presque impossible pour une seule personne d’avoir un aperçu continu du segment réglementaire et du segment des données de tous les processus d’entreprise.
Les responsabilités juridiques du délégué à la protection des données dans le cadre du RGPD?
Un bureau de protection des données est un lieu très fréquenté, avec un vaste ensemble de responsabilités. L’article 39 du GDPR décrit les tâches et les responsabilités des DPO :
- Informer et conseiller l’entreprise (responsable du traitement ou sous-traitant) et les employés sur la manière de se conformer au RGPD et sur la manière de se conformer aux autres lois sur la protection des données,
- Manager politiques internes et s’assurer que l’entreprise les respecte,
- S’occuper de la sensibilisation et formation du personnel pour tout employé impliqué dans les activités de traitement,
- Donner des conseils et des recommandations à l’entreprise sur l’interprétation ou l’application des règles de protection des données,
- S’occuper des plaintes ou des demandes des institutions, du responsable du traitement, des personnes concernées, ou introduire des améliorations de leur propre initiative,
- Reporter tout manquement au RGPD ou aux règles applicables en matière de protection des données,
- Contrôler le respect du RGPD ou d’autres lois sur la protection des données,
- Identifier et évaluer les activités de traitement des données de l’entreprise,
- Coopérer avec l’autorité de contrôle,
- Maintenir les registres des opérations de traitement.
Quelles sont les qualifications d’un délégué à la protection des données ?
Le DPO est généralement un professionnel de l’informatique (sécurité) ou un expert ayant une formation juridique. Toutefois, le DPO doit avant tout être une personne qui connaît bien les activités et les opérations quotidiennes d’une organisation ou d’une entreprise. L’accent est toujours mis sur les activités de traitement des données.
Le RGPD ne précise pas les qualifications exactes du délégué à la protection des données, et il n’existe pas de certificats officiels. Toutefois, il existe certaines organisations qui dispensent des formations et des enseignements.
La RGPD indique que les qualités favorables d’un DPO seraient une connaissance experte de la législation et des pratiques en matière de protection des données et la capacité à remplir ses tâches.
Le DPO ne devrait pas assumer toute la responsabilité du processus de conformité. Par conséquent, il devrait y avoir une division des responsabilités entre le DPO et les autres unités organisationnelles. Sinon, le DPO sera confronté à l’impossible défi de superviser les processus de toutes les entreprises.
Le DPO ne doit jouer aucun autre rôle dans l’organisation afin d’éviter tout conflit d’intérêts éventuel.
Quelles sont les exigences et les missions du DPO ?
Les exigences du DPO peuvent varier en fonction des besoins et des circonstances spécifiques de l’industrie, du lieu de travail et de l’environnement. Toutefois, nous estimons que ces exigences sont les plus courantes.
Une expérience et une expertise en matière juridique, de conformité des données, d’audit ou de sécurité informatique,
Des connaissances en matière de législation sur la protection des données, en particulier le RGPD et les lois nationales similaires,
Une expérience professionnelle en matière de contrôle de la conformité aux exigences réglementaires et de collaboration avec les organismes de réglementation,
Une expérience dans l’application opérationnelle du droit de la vie privée,
Être familier avec des systèmes de sécurité informatique,
Une expérience dans la gestion des violations de données et en matière de coopération avec les autorités de contrôle de toute nature,
Une compréhension de l’environnement dans lequel les entreprises opèrent et les risques associés à la protection des données,
Une expérience dans la réalisation d’analyses d’impact sur la protection des données.
Quelle est la place des DPO dans l’organisation ?
En tant qu’entreprise, vous pouvez choisir et désigner un DPO parmi les employés existants ou vous pouvez externaliser le rôle avec un DPO externe.
Vous devez opter pour un professionnel qui possède un certain niveau de connaissances et d’expertise en matière de législation sur la protection des données. Comprendre le fonctionnement de votre entreprise peut vous aider énormément.
Un DPO doit faire partie intégrante de votre organisation et doit être en mesure de remplir ses fonctions de manière indépendante.
Il ne doit pas y avoir de conflit d’intérêts entre les responsabilités et les fonctions du DPO et les autres fonctions au sein de l’organisation.
Les lignes directrices pour éviter les conflits d’intérêt avec le rôle de DPO sont les suivantes :
Le DPO ne doit pas être un employé sous contrat à court terme,
Le DPO ne doit pas rendre compte à un supérieur hiérarchique direct, il doit rendre compte directement à la direction générale ou au conseil d’administration,
Le DPO doit être en mesure de gérer son propre budget,
Le DPO ne doit pas être un responsable du traitement des activités,
L’organisation doit fournir le personnel et les ressources nécessaires pour que le DPO puisse exécuter les tâches qui lui sont confiées,
Le poste de DPO doit avoir une durée minimale de nomination et des règles de licenciement clairement définies. Dans les institutions de l’Union européenne, cette durée est comprise entre 2 et 5 ans et peut être renouvelée pour une durée maximale de dix ans,
Le DPO doit être habilité à enquêter sur les processus au sein de l’entreprise ou de l’organisation.
Pour en savoir plus sur la protection des données personnelles et la conformité au RGPD, consultez notre page dédiée à : avocat spécialisé données personnelles.
