DPO : désignation, rôle et missions

Dans le cadre du nouveau système de protection des données personnelles défini par le Règlement Général sur la Protection des Données (Règ. UE 2016/679 ou RGPD), qui repose entièrement sur les principes de transparence et de responsabilité (accountability), un rôle fondamental est attribué à la nouvelle figure du Délégué à la Protection des Données (DPO). Ce dernier a pour mission de garantir la conformité de l’organisation aux nouvelles exigences réglementaires du RGPD.

Dans cet article, nous analyserons les conditions de désignation et les compétences du DPO, son rôle et ses missions, ainsi que son indépendance et l’absence de responsabilité en cas de non-conformité.

Désignation et compétences du DPO

Dans le secteur privé, l’article 37 du RGPD stipule que la nomination d’un DPO n’est pas obligatoire, mais facultative, bien que fortement recommandée par les autorités européennes de protection des données. En effet, la désignation d’un DPO devient obligatoire uniquement dans les cas suivants :

• Le traitement des données personnelles est effectué par une autorité ou un organisme public.
• L’activité principale du responsable ou du sous-traitant consiste en des traitements qui, par leur nature, leur portée et leurs finalités, nécessitent un suivi régulier et à grande échelle des personnes concernées.
• L’activité principale du responsable ou du sous-traitant concerne le traitement à grande échelle de catégories particulières de données personnelles (article 9 du RGPD) ou de données relatives à des condamnations pénales ou à des infractions (article 10 du RGPD).

Les grandes entreprises qui traitent des données personnelles à grande échelle sont donc tenues de désigner un DPO. Concernant les groupes d’entreprises, l’article 37 du RGPD permet la nomination d’un seul DPO pour l’ensemble du groupe, à condition qu’il soit facilement joignable depuis chaque établissement du groupe.

Le RGPD impose que le DPO dispose d’un certain niveau d’expertise et de connaissances, c’est-à-dire qu’il doit :

• Posséder une expertise juridique et technique en matière de protection des données.
• Avoir une connaissance du secteur d’activité, de la réglementation sectorielle et de l’organisation de la structure pour laquelle il est désigné.
• Comprendre les opérations de traitement, les systèmes d’information et les besoins de l’organisme en matière de protection et de sécurité des données.
• Pour une autorité publique ou un organisme public, disposer d’une bonne connaissance des règles et procédures administratives applicables.

Si la personne pressentie ne possède pas toutes ces compétences avant sa prise de fonction, il sera nécessaire de mobiliser des expertises internes et de développer rapidement ses connaissances par des formations.

La personne doit également présenter les qualités personnelles nécessaires à cette fonction : intégrité, haut niveau d’éthique professionnelle, capacité à communiquer, vulgariser et convaincre.

L’entreprise doit également veiller à l’absence de conflit d’intérêts avec d’autres missions. Le « Guide pratique RGPD – Délégués à la protection des données » adopté par la CNIL en avril 2022 précise à ce sujet que le DPO peut exercer d’autres fonctions au sein de l’organisme (DPO à temps partiel). Toutefois, dans le cadre de ces autres fonctions, il ne doit pas avoir de pouvoir décisionnel sur la détermination des finalités et des moyens des traitements : le DPO ne doit donc pas être « juge et partie ».

L’existence d’un conflit d’intérêts doit être évaluée au cas par cas. Il est recommandé de documenter l’analyse permettant d’exclure l’existence d’un conflit d’intérêts pour le DPO désigné.

Enfin, le RGPD rappelle que le DPO peut être interne (salarié de l’organisation) ou externe (prestataire indépendant) : un DPO interne bénéficie d’une connaissance approfondie de l’organisation mais peut être limité par des contraintes hiérarchiques, tandis qu’un DPO externe offre une plus grande indépendance et une expertise spécialisée, bien que son intégration dans les processus internes puisse nécessiter un temps d’adaptation.

Rôle et missions du DPO

L’article 38 du RGPD stipule que le responsable et le sous-traitant doivent s’assurer que le DPO soit impliqué de manière appropriée et en temps utile dans toutes les questions relatives à la protection des données personnelles, en lui fournissant les ressources nécessaires pour accomplir ses tâches, accéder aux données personnelles et aux traitements, et pour maintenir ses compétences spécifiques.

Cela signifie que le responsable et le sous-traitant doivent adopter des mesures de soutien et des procédures opérationnelles permettant au DPO de :

• Connaître précisément son périmètre d’action.
• Disposer du temps suffisant pour accomplir ses missions.
• Avoir accès à des ressources financières et à des infrastructures technologiques adaptées.
• Accéder aux documents et aux autres fonctions de l’entreprise.
• Développer ses compétences grâce à l’organisation d’événements ciblés et de formations en matière de protection des données personnelles.
• Participer aux réunions où des décisions importantes en matière de protection des données sont prises.
• Être consulté rapidement en cas d’événements susceptibles de compromettre les données traitées par l’entreprise.

Le rôle du DPO revêt une importance stratégique, notamment en cas d’incidents de sécurité des données ou de traitements présentant un risque élevé pour les droits et libertés fondamentaux.

Pour cette raison, les lignes directrices de la CNIL recommandent de positionner le DPO de manière appropriée dans l’organigramme de l’entreprise, afin qu’il ait un accès direct aux organes de gouvernance et puisse exprimer son désaccord face à des décisions non conformes aux exigences réglementaires du RGPD.

L’article 39 du RGPD précise les missions que le DPO doit assurer, en établissant qu’il est chargé au minimum des tâches suivantes :

• Informer et conseiller le responsable ou le sous-traitant, ainsi que les employés effectuant des traitements, sur l’application des dispositions du RGPD et des autres réglementations de l’Union européenne ou des États membres en matière de protection des données.
• Superviser le respect des dispositions du RGPD, des autres réglementations de l’Union européenne ou des États membres en matière de protection des données, ainsi que des politiques adoptées en matière de protection des données, de responsabilité, de sensibilisation et de formation du personnel participant aux activités de traitement et de contrôle des données personnelles.
• Fournir, si requis, un avis sur l’évaluation d’impact relative à la protection des données et en superviser la réalisation, conformément à l’article 35 du RGPD.
• Effectuer un audit auprès du responsable ou du sous-traitant, à réaliser à intervalles réguliers.

Concernant le rôle de conseil et d’accompagnement du DPO, le Guide pratique RGPD – Délégués à la protection des données de la CNIL précise que ce dernier intervient à plusieurs niveaux :

• Il apporte son expertise auprès de la direction pour que celle-ci puisse garantir la conformité des traitements.
• Il diffuse la culture et les règles de protection des données auprès de toutes les personnes qui traitent des données personnelles au sein de l’organisme.

Le DPO peut ainsi identifier et formaliser les moments clés où il souhaite que son intervention ou sa présence soit systématique, par exemple pour :

• Chaque projet de décision relatif à la création ou à l’évolution d’un traitement existant (notamment pour veiller au respect des principes de protection des données dès la conception et par défaut).
• L’examen de la nécessité de réaliser une analyse d’impact relative à la protection des données (AIPD) et sa mise en œuvre effective.
• La rédaction ou la tenue du registre des activités de traitement.
• La rédaction et la mise à jour des règles ou politiques internes en matière de protection des données.
• Une violation de données personnelles, afin de conseiller sur les mesures à prendre ainsi que sur la notification à l’autorité et aux personnes concernées.

En ce qui concerne le rôle de sensibilisation assuré par le DPO, la CNIL précise que ce dernier doit accompagner les acteurs impliqués au sein de chaque service traitant des données :

• En veillant à l’adoption par tous d’une culture de protection des données personnelles (par exemple via des formations internes sur les grands principes de la protection des données).
• En menant des actions de communication et de sensibilisation sur des sujets pertinents pour l’organisme (utilisation d’affiches et guides pratiques accessibles depuis l’intranet, rappels des règles de sécurité à l’occasion d’une sanction ou d’une violation de données médiatisée, fausses campagnes de « phishing » à but éducatif, etc.).
• En se positionnant comme l’interlocuteur interne de référence pour toute question en matière de protection des données, et si nécessaire, en s’appuyant sur des relais au sein de l’organisation.

Le DPO a donc avant tout une mission d’information, de conseil et de contrôle. Il n’est pas responsable de la conformité de l’entreprise, de la tenue du registre, de la réalisation des analyses d’impact ou des notifications de violations de données. Cependant, il est un acteur clé dont les compétences sont très utiles au responsable de l’entreprise pour l’aider à se conformer à ses obligations.

Indépendance du DPO dans l’exercice de ses missions

Le RGPD prévoit certaines garanties destinées à assurer que le DPO puisse exercer ses missions avec un degré suffisant d’autonomie et d’indépendance vis-à-vis de l’entreprise qui l’a désigné.

Cette indépendance signifie que le DPO :

• Ne doit pas recevoir d’instructions dans l’exercice de ses missions, par exemple sur la manière de traiter un sujet, d’instruire une réclamation, sur le résultat d’un audit interne ou sur l’opportunité de consulter l’autorité de contrôle. De même, il ne peut être contraint d’adopter un point de vue particulier sur une question liée à la législation en matière de protection des données, comme une interprétation spécifique du droit.
• Ne doit pas faire l’objet de sanctions ou d’un licenciement en raison de l’accomplissement de ses missions, par exemple s’il conseille au responsable de réaliser une analyse d’impact et que celui-ci n’est pas d’accord, ou s’il consigne une analyse juridique ou technique en contradiction avec celle retenue par le responsable. Toutefois, il peut être mis fin à ses fonctions pour des raisons relevant de la législation du travail habituelle (comme le vol, le harcèlement ou une autre faute grave).
• Rend directement compte aux échelons les plus élevés de la direction de l’entreprise, afin que le niveau décisionnel ait connaissance de ses avis et recommandations. Ainsi, la CNIL recommande que le DPO élabore et présente au plus haut niveau de l’organisme un rapport régulier (par exemple annuel) sur ses activités. Le DPO doit également pouvoir s’adresser directement au plus haut niveau sur une problématique spécifique s’il le juge nécessaire. Cette exigence de rendre compte au plus haut niveau ne préjuge pas du rattachement hiérarchique du DPO, pour lequel le RGPD n’impose pas de règles spécifiques.

Absence de responsabilité du DPO en cas de non-respect du RGPD

Le RGPD prévoit que c’est le responsable du traitement qui est tenu de s’assurer et de démontrer que le traitement est effectué conformément au RGPD. De même, le sous-traitant est responsable du respect de ses propres obligations prévues par le RGPD.

Par conséquent, le DPO n’est pas responsable en cas de non-respect du RGPD au sein de l’entreprise qui l’a désigné. Il n’est donc pas possible de transférer au DPO, par délégation de pouvoir, la responsabilité incombant au responsable du traitement ou les obligations propres du sous-traitant découlant du RGPD.

En effet, cela reviendrait à conférer au DPO un pouvoir décisionnel sur la finalité et les moyens du traitement, ce qui constituerait un conflit d’intérêts contraire au RGPD.

Conclusion

Le DPO joue un rôle clé dans la mise en œuvre du RGPD, agissant comme un conseiller, un formateur et un superviseur au sein de l’organisation. Sa désignation, bien que parfois facultative, est fortement encouragée pour garantir une gestion rigoureuse et conforme des données personnelles.

Grâce à son expertise, son indépendance et sa capacité à sensibiliser les différents acteurs, le DPO contribue à instaurer une culture de protection des données au sein de l’entreprise. Toutefois, il est important de noter que sa responsabilité est limitée à un rôle de conseil et de contrôle, la responsabilité finale de la conformité incombant au responsable du traitement ou au sous-traitant.

En somme, le DPO est un pilier essentiel pour accompagner les organisations dans leur démarche de conformité tout en renforçant la confiance des personnes concernées dans la gestion de leurs données personnelles.

gp@giovannellapolidoro.com