DPO (délégué à la protection des données)
La personne chargée de conseiller l'organisme sur le RGPD, de contrôler son application et de servir d'interlocuteur à la CNIL et aux personnes concernées.
Définition
Le délégué à la protection des données (Data Protection Officer) est désigné obligatoirement par les organismes publics, par ceux dont l'activité de base implique un suivi régulier et systématique à grande échelle des personnes, et par ceux qui traitent à grande échelle des données sensibles ou relatives aux infractions. Les autres peuvent le désigner volontairement.
Il informe et conseille, contrôle le respect du règlement, participe aux analyses d'impact et coopère avec la CNIL. Il peut être interne ou externe (mutualisé), doit disposer de moyens et d'une indépendance, ne peut recevoir d'instructions sur l'exercice de ses missions ni être sanctionné pour les avoir exercées.
Pourquoi c'est important
Ne pas désigner de DPO quand c'est obligatoire est sanctionnable en soi. À l'inverse, un DPO en situation de conflit d'intérêts (DSI, DRH, dirigeant) ou sans moyens fragilise toute la conformité : la CNIL a déjà sanctionné sur ce seul fondement. Bien positionné, le DPO est un atout pour sécuriser les projets dès leur conception.
En pratique
- Vérifier si la désignation est obligatoire ; la déclarer à la CNIL en ligne
- Publier les coordonnées du DPO dans la politique de confidentialité
- L'associer en amont à tout projet impliquant des données personnelles
- Lui donner accès aux traitements, aux équipes et à un budget de formation
- Formaliser une lettre de mission et un rapport annuel à la direction
Textes de référence
- RGPD, articles 37 à 39
- Lignes directrices du G29/CEPD sur les délégués à la protection des données (WP243)
- Guide pratique du DPO publié par la CNIL
