DPO (RGPD) : Définition, obligations, et ses missions

DPO : Qu’est-ce qu’un DPO et dans quelles entreprises doit-il intervenir ? Définition obligations, missions et rôle du DPO.

DPO : Qu’est-ce qu’un DPO ?

Le DPO, ou Data Protection Officer, est un professionnel chargé de la protection des données à caractère personnel. Il doit intervenir dans toutes les entreprises qui traitent de telles données, afin de veiller à ce que ces dernières soient traitées conformément à la réglementation applicable.

Le DPO a pour missions principales de veiller à ce que les données à caractère personnel soient traitées de manière légale et éthique, de fournir des conseils sur les questions de protection des données, de gérer les plaintes et les demandes d’accès aux données, et de sensibiliser et former le personnel sur les questions de protection des données.

Le DPO est un nouveau métier rendu obligatoire par le RGPD, le règlement européen sur la protection des données, entré en vigueur le 25 mai 2018. Ce texte impose la désignation d’un DPO pour un grand nombre de responsables de traitement de données personnelles.

Le DPO a pour missions principales d’informer, de conseiller et de former le responsable du traitement de données (ou son sous-traitant) ainsi que ses employés. Il leur précise les obligations qu’ils doivent respecter au regard de la réglementation européenne, dont il contrôle la bonne application.

Le DPO coopère également avec la CNIL, dont il est un interlocuteur privilégié.

Le DPO peut être un salarié du responsable de traitement de données ou du sous-traitant, mais il peut aussi accomplir ses missions en signant un contrat de service.

Le DPD est prévu par les articles 37, 38 et 39 du GDPR. L’article 37 énumère les cas où il est obligatoire et ses modalités de désignation. Les articles 38 et 39 définissent respectivement sa fonction et ses missions. Vous pouvez accéder à ces articles en ligne en consultant le texte du RGPD.

DPO : Qui doit nommer un DPO ?

Les organismes concernés par l’obligation de nommer un DPO sont mentionnés à l’article 37 du RGPD.

Les organismes concernés par l’obligation de nommer un DPO sont les suivants :

• les autorités et organismes publics ;
• les entreprises et organisations qui traitent des données à caractère personnel à des fins de marketing direct ;
• les entreprises et organisations qui traitent des données à caractère personnel à des fins de recherche scientifique et statistique ;
• les entreprises et organisations qui traitent des données à caractère personnel à des fins de suivi des médias et de l’opinion publique.

DPO : Administrations

Le premier cas concerne les traitements de données personnelles effectués par un organisme public ou une autorité publique (hormis les juridictions). L’obligation concernera donc toutes les structures publiques effectuant des traitements de données personnelles : l’Etat, les collectivités territoriales, etc.

DPO : Entreprises

Mais l’obligation de nommer un DPO concerne aussi un très grand nombre d’entreprises. Le champ d’application posé par l’article 37 du RGPD est en effet très large, puisque seront concernées les entreprises dont les activités de base consistent :

• soit en des opérations de traitement qui exigent un suivi régulier et systématique à grande échelle des personnes concernées ;
• soit en un traitement à grande échelle de catégories particulières de données visées à l’article 9 (qui regroupent des données « sensibles » : origines raciales ou ethniques, convictions politiques ou religieuses, etc.) et de données personnelles liées à des condamnations pénales et à des infractions visées à l’article 10.

Il est à noter que le règlement ne précise pas de seuils minimums à partir desquels l’obligation de recourir à un DPD s’applique : les grands groupes sont bien sûr visés, mais un grand nombre de PME seront également concernées, notamment parmi celles spécialisées dans le commerce électronique.

L’étendue de l’obligation semble donc être très large.

DPO : Faut-il un DPO interne ou externe ?

Le recours au DPO représente naturellement un coût supplémentaire pour l’entreprise (en particulier pour les PME). Si les grandes sociétés recherchent et recrutent des DPO, les entreprises n’ont toutefois pas l’obligation d’embaucher un DPO à temps plein : il n’est pas nécessaire que ce dernier soit un membre du personnel.

Il peut ainsi accomplir ses missions sur la base d’un contrat de service. Les entreprises concernées par les nouvelles obligations peuvent donc choisir d’externaliser leur DPO.

Si vous disposez de peu de temps, vous pouvez opter pour une formation à distance qui vous permettra de travailler à votre rythme.

N’attendez plus, devenez Délégué à la Protection des Données Personnelles (DPO) en 35 heures (éligible CPF) ! Réservez votre place en formation 100% en ligne immédiatement ou contactez-nous au (+33) 1-85-39-09-73 ou sur contact@skills4all.com.

Skills4All est un organisme de formation en digital learning, qui propose des formations certifiantes dans le domaine de l’IT, Scrum, Prince2, Lean Six Sigma, Gestion de projet, Agilité, et plus encore. Formez-vous où que vous soyez, 24/24h et 7/7jrs !