DPO (délégué à la protection des données)

Le délégué à la protection des données (DPO, pour data protection officer) est prévu par le RGPD, aux articles 37 à 39. La CNIL le décrit comme le chef d'orchestre de la conformité en matière de protection des données au sein de l'organisme qui l'a désigné. Ses missions principales sont les suivantes : informer et conseiller l'organisme et ses employés, contrôler le respect du règlement et du droit national, conseiller sur la réalisation d'une analyse d'impact et en vérifier l'exécution, être l'interlocuteur des personnes concernées et coopérer avec la CNIL en étant son point de contact. La désignation est obligatoire dans trois cas, selon l'article 37 du RGPD : lorsque le traitement est effectué par une autorité ou un organisme public, lorsque les activités de base consistent en un suivi régulier et systématique à grande échelle des personnes, ou lorsqu'elles consistent en un traitement à grande échelle de données sensibles ou relatives à des condamnations et infractions. Hors de ces cas, la désignation est possible et souvent utile. Le DPO peut être un membre du personnel ou un prestataire externe, sur la base d'un contrat de service. La CNIL attend trois conditions : des compétences juridiques et techniques, des moyens (temps, accès aux informations, association à toutes les questions de protection des données) et de l'indépendance, sans conflit d'intérêts ni instruction sur l'exercice de ses missions. La désignation se déclare à la CNIL par un téléservice dédié, et les coordonnées du DPO doivent être publiées et facilement accessibles. Il faut distinguer le DPO du responsable de traitement : le DPO conseille et contrôle, mais la responsabilité de la conformité reste celle de l'entreprise. Pour une TPE ou une PME qui n'a pas d'obligation de désigner, une personne référente en protection des données ou un prestataire peut tenir un rôle proche : tenue du registre des traitements, réponses aux demandes de droits, préparation des mentions d'information, suivi des sous-traitants et gestion des violations de données. Le DPO s'implique en amont des projets : choix d'un outil, lancement d'un site de collecte de données, recours à une intelligence artificielle ou à un prestataire hébergeant des données personnelles. Il aide à décider quelles informations sont réellement nécessaires, combien de temps les conserver et quelles mentions afficher. Une lettre de mission précise son rôle, ses moyens et son rattachement au plus haut niveau de la direction, ce qui évite les malentendus.