Désignation d'un délégué à la protection des données (DPO)

Le délégué à la protection des données, plus couramment appelé DPO, pour « Data Protection Officer » est né avec le Règlement Général sur le Protection des Données (RGPD), le 25 mai 2018. Ce sont les articles 37 et suivants du règlement qui l’encadrent juridiquement. Dans certains cas, il s’agit d’un rôle phare au sein d’un organisme ou d’une entreprise, parfois obligatoire.

Différentes questions restent toutefois en suspens : quand sa désignation est-elle nécessaire ? Quelles sont ses missions ? Quel est son statut ? Peut-on engager sa responsabilité ?

Quand la désignation d'un DPO est-elle obligatoire ?

Le responsable de traitement et le sous-traitant sont amenés à désigner un DPO dans des situations énumérées à l’article 37 du RGPD, autrement dit lorsque :

• Le traitement est effectué par une autorité publique ou un organisme public (ex : ministère ou collectivités territoriales),
• Les activités du responsable de traitement ou du sous-traitant consistent en des opérations de traitement qui exigent un suivi régulier et systématique à grande échelle (ex : compagnie d’assurance, banque, opérateurs téléphoniques),
• Les activités du responsable de traitement ou du sous-traitant consistent en un traitement à grande échelle de données sensibles (ex : sur l’origine ethnique, les opinions religieuses), ou des données relatives à des condamnations pénales et à des infractions.

Quelles sont les missions d'un DPO ?

Le DPO doit effectuer au minimum les missions qui sont énumérées à l’article 39 du RGPD :

1. Informer et conseiller le responsable de traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent ;
2. Contrôler le respect au RGPD, ainsi que d’autres dispositions du droit de l’Union ou du droit des Etats-membres en matière de protection des données ;
3. Dispenser des conseils, sur demande, en ce qui concerne l’analyse d’impact relative à la protection des données. En effet, lorsqu’un traitement recourt par exemple aux nouvelles technologies, il sera nécessaire d’observer le risque pour les droits et libertés des personnes physiques ;
4. Coopérer avec l’autorité de contrôle (la CNIL), c’est-à-dire que le DPO doit faciliter l’accès à l’autorité aux documents et informations dans le cadre de l’exercice des missions et des pouvoirs de cette autorité ;
5. Lorsque l’analyse d’impact indique que le traitement des données présente un risque, alors, le DPO fait office de point de contrôle pour l’autorité de contrôle sur les questions relatives au traitement en cas de consultation préalable par le responsable de traitement.

Dans l’exercice de ses missions, le DPO est soumis à une obligation de confidentialité.

Quel est le statut d'un DPO ?

Le DPO n’est pas celui qui est responsable de traitement des données à caractère personnel, mais il va assister ce responsable, dans l’objectif de faire respecter le RGPD dans l'entreprise. Le responsable de traitement des données à caractère personnel est l’autorité publique, la société ou l’organisme qui va déterminer les finalités des données collectées.

Le DPO jouit dans l'exercice de ses missions d'une grande indépendance. En effet :

• Aucun conflit d’intérêt ne doit exister entre la fonction de DPO et une autre fonction (ex : secrétaire général ou directeur général),
• Il ne doit pas avoir été sanctionné dans l’exercice de ses missions de DPO,
• Il ne doit pas recevoir d’instruction dans le cadre de ses missions.

Il peut s’agir d’un délégué à la protection des données interne à l’entreprise (membre du personnel du responsable de traitement) ou externe. A ce titre, CGV-Expert vous propose de désigner un avocat spécialisé en tant que délégué à la protection des données (vous pouvez demander l'envoi d'un devis à ce propos en utilisant le formulaire ci-dessous).

Peut-on engager la responsabilité du DPO ? 

Le non-respect du RGPD n’entraîne pas la responsabilité du DPO mais celle de l’organisme qui a désigné le délégué à la protection des données ou du sous-traitant. Autrement dit, le responsable de traitement ou le sous-traitant seront les responsables.

Bien entendu, le DPO verra sa responsabilité pénale engagée s’il enfreint intentionnellement les dispositions pénales des règles protectrices des données personnelles ou s’il aide le responsable de traitement ou le sous-traitant au non-respect du RGPD.