Que veut dire DPO ? Les articles 37 à 39 du Règlement RGPD explicitent la nomination d’un DPO RGPD ou délégué à la protection des données personnelles au sein des administrations ou des entreprises. Ce responsable “plus” de la Protection des Données Personnelles joue un rôle primordial au cœur même de la réforme. Beaucoup s’interrogent sur le “dpo signification”. En d’autres termes, sur la signification du mot DPO ? Le Règlement Général sur la Protection des Données impose aux entreprises et institutions de nommer un « Data Protection Officier » (DPO). En français cela signifie « Délégué à la Protection des Données »(DPD) mais c’est le terme anglais qui s’impose plus que jamais comme terme référent.
Que veut dire DPO en terme de carrière ? Il faut le dire clairement, le métier de Data Protection Officer se distingue clairement de celui de CIL , le désormais historique Correspondant Informatique et Libertés. La révolution numérique engendre de plus en plus de nouveaux métiers autour de la sécurité des data. La fonction de Data Protection Officer chevauche littéralement un nouveau métier qui s’avère déjà être en pénurie. Il s’agit selon une étude récente de trouver 24000 DPO (Data Protection Officer) en France. C’est un métier d’avenir demandera quelqu’un ? La réponse est non, c’est un métier totalement actuel et pour lequel les entreprises ont un mal fou à recruter étant donné la pénurie.
Nous avons donc répondu à la question: “Que veut dire DPO”. Il faut aussi s’interroger ensuite sur sa fonction. Le DPO (Data Protection Officer) détient la fonction clé dans l’entreprise de coordonner toutes les questions relatives à la sécurité et à la protection des données à caractère personnel. Il fait le lien avec les autorités européennes (futur CEPD remplaçant le G29) et françaises,la CNIL pour ne citer qu’elle. Il dispose des leviers et des outils nécessaires pour la bonne exécution de ses missions. La haute qualification requise pour ce poste impose évidemment une formation complète et actualisée. Le RGPD s’applique depuis le 25 Mai 2018.
Avant de procéder à la nomination d’un DPO RGPD (Data Protection Officer) et à son intronisation dans l’entreprise, il faut considérer avec sérieux les compétences et la formation requises. Probité morale et honnêteté intellectuelle marquent la fonction de leur empreinte respective. Indubitablement, on choisira donc le DPO CNIL en fonction de ces critères.
Confrontée à la question “Que veut dire DPO”, voici ce que dit la CNIL à ce sujet:
“Avant de désigner en ligne votre délégué à la protection des données, vérifiez qu’il dispose du statut, des compétences et des moyens nécessaires à l’exercice de ses missions.”
Il convient aussi de rappeler:
L’activité fondamentale du DPO RGPD (Data Protection Officer) le conduit à effectuer un suivi régulier et systématique des personnes, et ce, à grande échelle. Il est amené à traiter à grande échelle des données sensibles ou qui ont trait à des condamnations et infractions pénales.
Souvenons nous que sont considérées comme des données sensibles, notamment, les données génétiques, biométriques, ou afférentes à la santé, à la religion, aux opinions politiques ou à l’appartenance syndicale.
Le DPO, Data Protection Officer en un seul coup d’œil
Le RGPD (anglais GDPR) oblige à désigner un délégué à la protection des données (DPO) si vous êtes une administration ou un organisme public, ou si vous effectuez certains types de traitements.
- Le DPO vous aide à contrôler la conformité interne.
- Il prend en charge l’information et les conseils sur les obligations en matière de protection des données.
- Il examine scrupuleusement et évaluer le AIPD, l’Analyse d’Impact de la Protection des Données (anglais DPIA, Data Protection Impact Assessment)
- Il revêt la fonction nouvelle de correspondant relais avec l’autorité de contrôle, par exemple, la CNIL en France.
- Le DPD se doit rechercher d’être indépendant et un expert en matière de protection des données.
- Il dispose de ressources suffisantes pour exercer et faire un rapport au plus haut niveau de gestion.
- Un DPO, Data Protection Officer peut être un employé existant ou nommé à l’extérieur.
- Dans certains cas, plusieurs organisations peuvent désigner un seul et même DPO mutualisé entre elles.
Quel est son rôle ? Quelles sont les missions du DPO RGPD (Data Protection Officer)?
Ce dernier a un rôle central dans l’exécution du règlement européen. Pour piloter la gouvernance des données personnelles de la structure, il est recommandé (voir obligatoire) de faire appel à un véritable compositeur et “chef d’orchestre” qui exercera une mission d’information, de conseil et de contrôle en interne.
Le DPO (Data Protection Officer) apparaît, selon les termes de la CNIL elle-même. L’autorité de contrôle en France considère le Data Protection officer comme un réel « chef d’orchestre ». En premier lieu, il est chargé d’informer et de conseiller le responsable de traitement informatique ou internet ainsi que le sous-traitant éventuel, mais aussi l’ensemble du personnel.
Dans la réalité des faits, il lui appartient de rester vigilant sur la veille juridique et en recherche permanente des nouvelles obligations en matière d’informatique et de sécurité internet , de conseiller les décideurs sur les incidences des changements qui s’opèrent et les processus des traitements. Il est à la manoeuvre pour faire réaliser l’inventaire des mesures en vigueur, concevoir les actions de sensibilisation et diriger en permanence la conformité. Le métier de Data Protection Officer implique une parfaite connaissance de l’informatique et une très solide base juridique, en droit du commerce et des sociétés.
Il doit être averti correctement et saisi en temps voulu pour toutes les problématiques liées à la protection des données à caractère personnel. Sa fonction ne consiste pas à gérer les crises mais à les éviter. Il dispose de toute l’autonomie et le recul nécessaire pour fonctionner librement.
Il a à sa disposition tous les leviers nécessaires pour exercer. Bien qu’il soit autorisé à exercer d’autres fonctions, le DPO (Data Protection Officer) doit être indépendant et ne pas être placé en situation de conflit d’intérêts. Il est soumis à une obligation de confidentialité. En contrepartie, le niveau de salaire d’un Data protection Officer est supérieur à celui d’un CIL.
Beaucoup de retard dans les organismes. De nombreux responsables s’interrogent encore sur la fonction du DPO et même si elle connaissent le mot “cookies”, elle ignorent encore la signification du mot DPO (Data Protection Officer).
Le DPO (Data Protection Officer) est principalement chargé :
- D’informer et de conseiller le responsable du traitement ou le sous-traitant ainsi que leurs employés
- De contrôler le respect du règlement
- De conseiller l’organisme sur la mise en place des Privacy Impact Assessments (voir article PIA).
- Vous l’aurez compris, le DPO (Data Protection Officer) fait le lien entre tous les niveaux de l’entreprise et « rassemble » toutes les parties prenantes autour de cet objectif légitime : générer et préserver le respect et la confiance dans le traitement de nos données à caractère personnel.
On retrouve l’implication effective du DPO dans le cadre de la documentation du registre des traitements (comment être conforme au RGPD ?), dans la conception du PIA et dans la gestion des incidents ou des réclamations introduites par des personnes dont les données sont collectées.
Par conséquent, le DPO (Data Protection Officer) doit pouvoir vous accompagner dans la mise en place des nouvelles obligations :
- Vous informer sur le contenu des nouvelles obligations
- Sensibiliser les décideurs sur l’impact de ces nouvelles règles
- Faire l’inventaire des traitements de données
- Assurer la conception d’actions de sensibilisation
- Piloter la conformité tout au long de l’année
- Proposer des solutions proactives aux besoins du business.
Vous l’aurez compris, le DPO (Data Protection Officer) joue un rôle essentiel à la compréhension et à la mise en place du règlement RGPD. Il remplit la fonction de véritable « centre » de votre organisation.
- Sans aucun doute possible, il y a obligation à la nomination d’un DPO RGPD:
Si le responsable de traitement est un organisme public
Si les activités principales reposent sur un suivi systématique et régulier des personnes à grande échelle
Lorsque les activités principales de l’entreprise reposent sur des traitements à grande échelles de données sensibles. Le deuxième critère étant appliqué de manière large par les autorités de contrôle, la plupart des entreprises sont concernées.
Encore, la CNIL recommande la nomination d’un Data Protection Officer même si vous ne relevez pas de ces trois critères. En effet, son rôle central dans la conformité à la réglementation le rend indispensable.
Comment choisi-t-on un Data Protection Officer ?
Cela a été dit, le métier de Data Protection Officer fait partie des nouveaux métiers de l’industrie numérique. Au point où nous sommes parvenus, on ne se pose désormais plus la question “Que veut dire DPO ?” mais plutôt: Comment choisi-t-on un DPO RGPD ? La première chose qu’il faut savoir c’est que ces profils sont assez techniques et par conséquent sont également assez rares à trouver et coûtent beaucoup d’argent à l’entreprise lorsque l’embauche est nécessaire. De surcroît, une forte pénurie s’annonce et la loi de l’offre et de la demande fait flamber les niveaux de salaire. C’est là que DPO101 intervient en votre faveur.
Nous pouvons former un DPO (Data protection Officer) issu de votre propre organisme et le faire bien. Fort heureusement, on peut le trouver parmi les responsables de la sécurité informatique. Ce sont ceux exerçaient dans le cadre de la directive antérieure, la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995. Cette directive se rapportait à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Notre métier, c’est de former des DPO. Nous pouvons élever le niveau d’un Correspondant Informatique et Libertés de votre administration / entreprise jusqu’au niveau de DPO. La formation que nous proposons est complète et de haute technicité.
Notre équipe d’experts et de juristes s’avère extrêmement pointue dans tous les domaines propres à la circulation des données, la cybersécurité, le droit et les questions juridiques propres à la protection des données personnelles.
Le règlement précise ainsi que le Data Protection Officer peut être externe ou interne à l’entreprise. (Nommer votre DPO externalisé)
Le Data Protection Officer ne peut être un employé de votre entreprise impliqué dans le traitement de données personnelles, membre du CODIR ou COMEX ou un directeur de votre département de marketing par exemple. Il peut être issu de votre entreprise mais devra bénéficier d‘une formation spécifique telle que celle que propose DPO101. N’attendez pas trop longtemps avant de vous décider, la pérennité de votre business en dépend.
En effet, la notion d’indépendance du DPO (Data Protection Officer) est primordiale.
Enfin, un mémo utile concernant le Data Protection officer
(pour ne plus jamais dire:” Que veut dire DPO ?”
Qui peut nommer un DPO ?
- Une administration ou un organisme public (à l’exception d’un tribunal agissant dans l’exercice de ses fonctions judiciaires).
- Un organisme distinct d’une administration ou d’un organisme public, mais dont la nature des activités de traitement impose la nomination d’un DPO.
- Nommer un Data Protection Officer n’est pas forcément obligatoire. Tout organisme peut volontairement s’il le souhaite recruter un DPO pour une meilleure gestion de ses traitements. Dans ce cas, le recrutement peut se faire sur la base des qualités professionnelles et de la connaissance approfondie du droit et des pratiques en matière de protection des données. Dans ce cas, tous les critères qui définissent la profession de DPO doivent s’appliquer. La fonction de Data Protection Officer sera encadrée par les mêmes normes que si ce dernier était recruté par obligation
- Position dans l’organisme du DPO
- Le Data Protection Officer relève directement du plus haut niveau de gestion et jouit de l’indépendance nécessaire à l’exécution de ses tâches.
- En temps et en heure, le DPO sera consulté pour toutes les questions relatives à la protection des données personnelles et privées.
- Le DPO RGPD dispose de suffisamment de ressources pour être en mesure d’accomplir sa tâche.
- Le DPD ne doit pas être pénalisé pour l’exercice de ses fonctions.
- Le Data Protection Officer n’est pas placé en situation de conflits d’intérêts.
Tâches du DPD
- Le DPO a pour charge le contrôle et le respect des lois sur la protection des données.
- Il surveille les politiques de l’entreprise relatives à la protection des données
- Il sensibilise et éveille la conscience RGPD des employés de l’organisme où il exerce.
- Il forme le personnel sur une base systématique et fait réaliser des audits.
- Il est partie prenante ou consulté systématiquement en cas de conception d’un plan AIPD (Analyse d’Impact des Protection de Données) de l’anglais DPIA (Data Protection Impact Assessment). Il en surveille également les processus et le déroulement.
- On peut facilement accéder au Data protection Officer car il est un point de contact crucial du fonctionnement de l’organisme dans lequel il exerce.
