Quel rôle pour le DPO dans le RGPD ?

Véritable “chef d’orchestre”du projet de conformité, le délégué à la protection des données (DPO) intervient pour sécuriser les données personnelles dans les entreprises et organismes publics comme privés. Au cœur de la conformité du règlement des données RGPD, le DPO conseille et informe les organismes dans ce consensus, il contrôle également le respect du RGPD. 

Qu’est-ce que le DPO ? 

Consacrée le 25 mai 2018,  la notion de DPO émerge avec le Règlement Général sur la Protection de Données (RGPD). L’exercice consiste à veiller à la conformité des opérations de traitement de données personnelles au sein d’une entreprise. Et si la fonction existait déjà autrefois avec le Correspondant Informatique et Liberté, son intervention restait optionnelle. Aujourd’hui, la nomination d’un DPO est devenue obligatoire pour certains organismes. Son intervention est d’ailleurs de plus en plus sollicitée par les entreprises. L’objectif ? Gérer les risques, se prémunir des contraintes imposées par le RGPD et des sanctions qui peuvent en découler.  La fonction de DPO peut alors être exercée en interne ou par un prestataire externe lorsque l’attribution d’une ressource interne est impossible ou non pertinente (conflits d’intérêts, absence d’indépendance). Il est, quoi qu’il en soit, soumis au secret professionnel et a une obligation de confidentialité.

Les différentes missions du DPO dans le RGPD

Informer et conseiller  

La première mission du DPO consiste à informer l’entreprise de la réglementation applicable en matière de données personnelles et de veiller à sa conformité. Le DPO est le conseiller privilégié de l’organisme et l’intermédiaire direct de la CNIL pour assurer la conformité au RGPD. Ce dernier pourra donc répondre à toutes les questions relatives aux données personnelles posées par l’organisme ou la personne concernée par le traitement de ces informations confidentielles. En d’autres termes, le DPO informe et conseille l’organisme dans lequel il exerce  sa mission ainsi que ses employés.  Différentes connaissances lui permettront d’intervenir efficacement à savoir : 

• une connaissance de la réglementation européenne : RGPD, grandes lignes du comité européen à la protection des données, etc. ; 
• une connaissance de la réglementation nationale : décrets d’application, loi Informatique et Libertés, etc. ; 
• une connaissance des décisions de la CNIL : recommandations, etc. 

Sur ce point, la certification DPO n’est pas obligatoire, elle constitue néanmoins un élément de preuve de l’adéquation de la personne avec le niveau d’exigence de connaissance imposé par le RGPD.Le DPO organisera une veille quotidienne sur les sujets relevant des données personnelles ainsi que ceux touchant à la sécurité des systèmes d’information. 

Contrôler 

Avec cet ensemble de connaissances, le DPO veillera ainsi au respect des réglementations en vigueur, et s'assurera de la conformité de l’entreprise à ces dernières. Cela concerne notamment les responsabilités de traitement, la finalité des traitements mis en place par l’organisme et le respect des personnes concernées, la réalisation d’audits réguliers, mettre en place un plan de sensibilisation, etc.

Accompagner 

Le DPO doit pouvoir être associé à tous les moments clé des traitements de données ou des projets impliquant des traitements, afin d’apporter son expertise en continu, et diffuser la culture RGPD au sein de l’entreprise.Pour accompagner au mieux l’entreprise, le DPO pourra également être chargé : 

• d’établir/participer à une d’analyse d’impact en lien avec la protection des données ; 
• de proposer son aide pour cartographier les traitements ; 
• de prioriser certaines actions à mener dans le cadre de la protection des données personnelles selon le contexte de l’organisme et les risques associés (mise en oeuvre du plan d’actions) ; 
• de mettre en place des procédures internes permettant une meilleure gestion du traitement des données. 

De même, il pourra être chargé de tenir à jour le registre des activités de traitements de l’organisme. Enfin, le DPO doit impérativement rester joignable afin que les personnes concernées par le traitement des données personnelles, et/ou la CNIL, puissent le contacter si besoin. Cela peut être au moyen d’une adresse mail dédiée, d’un formulaire de contact ou de coordonnées téléphoniques.  

En conclusion, le DPO représente une fonction essentielle dans un organisme. Son intervention permettra à l'entreprise de s’assurer du respect de la réglementation applicable dans le cadre du RGPD. Finalement, le DPO accompagne le changement en profondeur dans l’usage de la data par l’organisme. Vous désirez un délégué à la protection des données pour votre entreprise ? Contactez Data Need Advice !