Nommer et outiller un délégué à la protection des données
Désigner un délégué à la protection des données ne suffit pas : encore faut-il lui donner les moyens d'agir. Cas d'obligation, profil, indépendance, outils, indicateurs.
Le règlement général sur la protection des données prévoit un rôle central : le délégué à la protection des données (DPO). Beaucoup d’organisations le nomment pour cocher une case, puis découvrent qu’il manque de temps, d’accès et d’outils. Ce guide propose une démarche en cinq étapes pour nommer un DPO utile, pas seulement déclaré.
1. Savoir si la désignation est obligatoire
L’article 37 du règlement impose un délégué dans trois cas : le traitement est effectué par une autorité ou un organisme public (hors juridictions dans l’exercice de leur fonction), ou les activités de base exigent un suivi régulier et systématique des personnes à grande échelle, ou elles portent sur des données sensibles ou pénales à grande échelle. Hors de ces cas, la désignation est facultative mais souvent recommandée. Les collectivités peuvent mutualiser un délégué entre plusieurs entités, selon l’article 37 paragraphe 3.
2. Choisir le bon profil
- Connaît l’organisation, ses métiers, ses outils
- Disponible au quotidien
- Risque de conflit d’intérêts s’il occupe aussi un poste de décision sur les traitements
- Expertise juridique et technique éprouvée
- Pratique adaptée aux petites structures et aux collectivités
- Moins de présence ; il faut un relais interne pour les échanges quotidiens
Le règlement exige des qualités professionnelles, notamment des connaissances spécialisées du droit et des pratiques en matière de protection des données (article 37 paragraphe 5). Il interdit aussi les fonctions qui créent un conflit d’intérêts (article 38 paragraphe 6) : le responsable informatique, le directeur des ressources humaines ou le responsable marketing, par exemple, décident des moyens des traitements et ne devraient pas contrôler eux-mêmes.
3. Garantir l’indépendance et les moyens
- Rattachement à la plus haute direction, avec un accès direct à celle-ci (article 38 paragraphe 3).
- Aucune instruction sur la manière d’exercer ses missions, et aucune sanction pour les avoir exercées.
- Temps dédié, budget, formation continue.
- Accès aux traitements, aux systèmes, aux équipes et aux documents utiles.
- Obligation de secret ou de confidentialité.
- Association précoce à tout projet impliquant des données personnelles.
4. Définir ses missions
L’article 39 énumère les missions : informer et conseiller, contrôler le respect du règlement, conseiller sur les analyses d’impact (AIPD) et en vérifier l’exécution, coopérer avec l’autorité de contrôle (en France, la CNIL) et être son point de contact. En pratique, cela se traduit par un plan d’action annuel : mise à jour du registre des traitements (article 30), traitement des demandes de personnes, gestion des violations de données, sensibilisation des agents.
- Établir le registre des traitements et le tenir vivant, avec un propriétaire par traitement.
- Mettre en place un circuit de demandes d’accès, de rectification et d’effacement avec délais de réponse suivis.
- Préparer la gestion des violations : qui détecte, qui évalue, qui notifie, dans quels délais.
- Planifier la sensibilisation des équipes, avec des cas concrets.
- Réaliser les analyses d’impact pour les traitements à risque élevé.
5. L’outiller
Un tableur peut suffire au départ ; il atteint vite ses limites. Un outil de gestion de la conformité doit offrir le registre structuré, les questionnaires d’analyse d’impact, le suivi des demandes de personnes avec échéances, la gestion des sous-traitants et des violations, des tableaux de bord et des rappels de revue. L’intégration avec les systèmes de gestion documentaire et de processus évite la double saisie. Voir notre expertise cybersécurité et conformité.
Mesurer l’efficacité
| Indicateur | Ce qu’il révèle |
|---|---|
| Part des traitements inscrits au registre et revus dans l’année | Fraîcheur du pilotage |
| Délai moyen de réponse aux demandes de personnes | Respect du délai légal d’un mois, prorogeable dans certains cas |
| Nombre d’analyses d’impact réalisées pour les traitements concernés | Maîtrise des traitements à risque |
| Part des agents sensibilisés | Culture de protection |
| Délai de détection et de notification des violations | Capacité de réaction (notification à l’autorité en principe sous 72 heures) |
Un DPO efficace est indépendant, associé tôt aux projets, doté de temps et d’outils, et soutenu par la direction. Sans cela, la désignation reste formelle et le risque demeure.
Pour approfondir : Gouvernance & traçabilité · Régulation par la donnée : ce qu’enseignent les expériences des autorités
Questions fréquentes
Un organisme public doit-il toujours désigner un DPO ?
Oui, le règlement impose la désignation pour les autorités et organismes publics, à l'exception des juridictions dans l'exercice de leur fonction juridictionnelle. Les collectivités peuvent mutualiser un délégué.
Le responsable informatique peut-il être DPO ?
C'est déconseillé, car il détermine les moyens de traitements qu'il devrait contrôler. Le règlement interdit les fonctions qui créent un conflit d'intérêts.
Quelle est la différence entre un DPO et un référent interne ?
Le DPO a un statut défini par le règlement : indépendance, accès à la direction, secret. Un référent interne relaie le DPO dans les services, sans ce statut.
Le DPO est-il responsable en cas de manquement ?
Non. La responsabilité de la conformité incombe au responsable de traitement ou au sous-traitant. Le DPO conseille et contrôle.