Délégué à la protection des données : vérités et contre-vérités

Le RGPD ne l'impose en effet qu'aux :

• personnes du secteur public (administrations, collectivités...);
• entités traitant massivement des données sensibles (race, vie et orientation sexuelles, opinions politiques, religieuses, syndicales ou philosophiques, données de santé, condamnations pénales). C'est le cas, par exemple, des établissements de santé et des forces de l'ordre;
• entités traitant en masse des données personnelles (établissements bancaires, compagnies d'assurances, caisses de congés payés, caisses de retraite et sociétés mutuelles, agences de voyages, sociétés de sécurité privée, fournisseurs de services de télécommunications).

Dans tous les autres cas, la nomination est facultative : vous êtes donc libre de choisir de nommer (ou non) un DPO.

Qui peut être désigné DPO ?

Un salarié (qui peut cumuler ce rôle avec d'autres fonctions) ou un prestataire (avocat, cabinet-conseil, expert en protection des données personnelles...).

Le DPO doit être désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances en droit et des pratiques en matière de protection des données personnelles. On ne peut donc pas nommer n'importe quelle personne.

En outre, le DPO doit être indépendant, soumis à une obligation de confidentialité (ou au secret professionnel) et exempt de tout conflit d'intérêts.

À noter que les entreprises organisées sous forme de groupes de sociétés peuvent désigner un seul DPO pour tout le groupe, à condition que ce dernier soit facilement joignable à partir de chaque entité.

Si vous souhaitez nommer un DPO, comment vous assurer de sa qualité ?

• Assurez-vous que le DPO que vous choisissez justifie d'une certification reconnue (le projet de certification de la CNIL est en cours d'élaboration);
• encadrez précisément la mission de votre DPO. Des modèles de lettre de mission, de fiche de poste et de charte déontologique sont disponibles auprès de votre fédération.

Comment se déroule la mission du DPO au sein de l'entreprise ?

Le DPO doit être associé à toutes les questions relatives à la protection des données personnelles au sein de l'entreprise : projets de prospection, création de nouveaux fichiers, mise en place de nouveaux dispositifs de sécurité, etc.