Faut-il désigner un DPO et quel est son rôle ?

Qu'est-ce qu'un DPO ?

Le délégué à la protection des données, souvent désigné par son acronyme anglais DPO pour Data Protection Officer, est la personne chargée de piloter la conformité au RGPD au sein d'un organisme. Il a succédé au correspondant informatique et libertés, qui était facultatif avant 2018. Ses missions, son statut et les cas où sa désignation est obligatoire sont fixés par les articles 37 à 39 du règlement. Il peut être un salarié de l'organisme ou un prestataire externe, et un même délégué peut être désigné par plusieurs organismes, par exemple un groupe de sociétés ou plusieurs communes.

Quand la désignation est-elle obligatoire ?

L'article 37 impose la désignation d'un délégué dans trois situations. La première concerne les autorités et organismes publics, quelle que soit la nature des données traitées, à l'exception des juridictions dans l'exercice de leur fonction juridictionnelle. Les deux autres visent les organismes privés dont les activités de base consistent soit en des opérations qui exigent un suivi régulier et systématique à grande échelle des personnes, soit en un traitement à grande échelle de données sensibles ou de données relatives aux condamnations et infractions.

Que signifient « activités de base » et « grande échelle » ?

Les activités de base sont celles qui sont indissociables de l'activité principale de l'organisme : pour un hôpital, traiter des données de santé ; pour une société de surveillance, suivre des personnes. La gestion de la paie de ses salariés ou le support informatique ne sont que des activités accessoires. La notion de grande échelle s'apprécie selon le nombre de personnes concernées, le volume de données, la durée et l'étendue géographique du traitement. Le groupe de travail européen dit « article 29 », devenu le CEPD, a donné des exemples dans ses lignes directrices de 2017 : le traitement des données des patients par un hôpital relève de la grande échelle, celui d'un médecin exerçant seul n'en relève pas.

Les missions du délégué

L'article 39 confie au délégué au minimum cinq missions : informer et conseiller le responsable, le sous-traitant et les salariés sur leurs obligations ; contrôler le respect du règlement et des règles internes, y compris la répartition des responsabilités, la sensibilisation et les audits ; dispenser des conseils sur les analyses d'impact et en vérifier l'exécution ; coopérer avec la CNIL ; faire office de point de contact pour l'autorité. Il est aussi, dans les faits, le point d'entrée des personnes qui veulent exercer leurs droits, et ses coordonnées doivent figurer dans les mentions d'information.

Conseiller, pas décider

Le délégué n'est pas personnellement responsable de la conformité : c'est le responsable du traitement qui décide et qui répond des manquements. Le délégué éclaire les décisions, signale les risques et peut émettre des avis défavorables, mais il ne peut pas être sanctionné pour l'exercice de ses missions. Il est recommandé de garder une trace écrite de ses avis et des suites données, ce qui protège à la fois l'organisme et le délégué.

Un statut protecteur

Le responsable doit veiller à ce que le délégué soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données, et lui fournir les ressources nécessaires : temps, budget, formation, accès aux données et aux opérations. Le délégué ne reçoit aucune instruction dans l'exercice de ses missions, ne peut être relevé de ses fonctions ou pénalisé pour les avoir exercées et fait directement rapport au niveau le plus élevé de la direction. Il peut exercer d'autres missions à condition qu'elles n'entraînent pas de conflit d'intérêts : un directeur général, un directeur informatique, un responsable marketing ou un DRH, qui déterminent eux-mêmes des finalités, ne peuvent en principe pas être délégués.

Quel profil choisir ?

Le RGPD exige que le délégué soit désigné sur la base de ses qualités professionnelles, en particulier ses connaissances spécialisées du droit et des pratiques en matière de protection des données. Aucun diplôme n'est imposé, mais il existe des certifications de compétences reconnues par la CNIL. Le bon profil combine des notions juridiques, une compréhension des systèmes d'information et des qualités de pédagogie et de diplomatie, car l'essentiel du travail consiste à convaincre les équipes métier.

Désigner le délégué auprès de la CNIL

La désignation se fait en ligne, sur le site de la CNIL, par un formulaire qui mentionne l'organisme, les coordonnées du délégué et sa qualité (interne ou externe). L'organisme doit ensuite publier les coordonnées du délégué, par exemple dans sa politique de confidentialité, et les communiquer à la CNIL à chaque changement. Une adresse électronique générique du type dpo@entreprise.fr est recommandée, pour que la continuité soit assurée en cas de départ.

Et si la désignation n'est pas obligatoire ?

Une PME, un commerçant ou une association qui n'entrent dans aucun des trois cas n'ont pas l'obligation de nommer un délégué. Ils peuvent le faire volontairement ; dans ce cas, le délégué bénéficie du même statut et des mêmes garanties que s'il était obligatoire. Beaucoup de petites structures préfèrent désigner un référent interne, sans le titre de délégué, chargé de tenir le registre et de centraliser les questions. Cette solution est parfaitement admise, à condition de ne pas l'appeler DPO pour éviter toute confusion. Le guide du RGPD pour les TPE et PME propose une organisation adaptée aux petites équipes.

Le DPO dans les organismes publics

La désignation d'un délégué est obligatoire pour toutes les autorités publiques et tous les organismes publics, à l'exception des juridictions dans l'exercice de leur fonction juridictionnelle. Cela concerne les ministères, les collectivités territoriales quelle que soit leur taille, les établissements publics, les hôpitaux publics, les universités, les établissements scolaires publics par l'intermédiaire de leur académie, ou encore les organismes de sécurité sociale. Une petite commune rurale doit donc disposer d'un délégué. Pour y parvenir, l'article 37, paragraphe 3, permet de désigner un délégué unique pour plusieurs autorités, compte tenu de leur structure et de leur taille. En pratique, de nombreuses communes mutualisent cette fonction au niveau d'un centre de gestion, d'une intercommunalité ou d'un syndicat informatique, qui met à disposition un délégué partagé.

Le DPO interne ou externe

Le délégué peut être un membre du personnel ou exercer ses missions sur la base d'un contrat de service (article 37, paragraphe 6). Le délégué interne connaît l'organisation, ses métiers et ses outils ; il est disponible et intégré aux projets, mais doit disposer de temps suffisant si ses fonctions sont cumulées avec d'autres. Le délégué externe, cabinet spécialisé, avocat ou consultant, apporte une expertise et un regard extérieur, et convient souvent aux petites et moyennes structures qui n'ont pas les moyens d'un poste dédié ; il doit cependant bien connaître le fonctionnement de son client et être joignable. Dans les deux cas, le délégué doit pouvoir agir en toute indépendance. Certains organismes combinent les deux approches, avec un délégué externe et des relais internes dans chaque service.

Les conflits d'intérêts

L'article 38, paragraphe 6, permet au délégué d'exécuter d'autres missions, à condition qu'elles n'entraînent pas de conflit d'intérêts. Le délégué ne peut pas occuper une fonction qui le conduit à déterminer les finalités et les moyens des traitements, car il se contrôlerait lui-même. Les lignes directrices européennes citent comme fonctions incompatibles celles de directeur général, de directeur des ressources humaines, de directeur marketing, de directeur informatique ou de responsable de la sécurité des systèmes d'information dans certaines configurations. La Cour de justice a confirmé, dans l'arrêt X-FAB du 9 février 2023 (C-453/21), que l'existence d'un conflit d'intérêts s'apprécie au cas par cas, et qu'un délégué peut être licencié pour un motif autre que l'exercice de ses missions. L'autorité de protection des données belge a sanctionné en 2020 une entreprise dont le délégué était aussi directeur de l'audit, des risques et de la conformité.

Les moyens dont le délégué doit disposer

L'organisme doit associer le délégué, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données, et lui fournir les ressources nécessaires : temps, budget, accès aux données et aux opérations de traitement, formation continue, soutien de la direction. Le délégué rend compte directement au plus haut niveau de la direction. Il ne reçoit aucune instruction en ce qui concerne l'exercice de ses missions et ne peut être relevé de ses fonctions ou pénalisé pour l'exercice de celles-ci. La CNIL a mené en 2023 une action coordonnée européenne sur le rôle des délégués, qui a révélé un manque fréquent de moyens et d'implication dans les projets.

La certification des compétences

Le RGPD n'impose pas de diplôme particulier, mais exige que le délégué soit désigné sur la base de ses qualités professionnelles, en particulier de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir ses missions. La CNIL a créé un référentiel de certification des compétences du délégué, délivré par des organismes certificateurs agréés après un examen portant sur la réglementation, la responsabilité et les mesures techniques et organisationnelles. Cette certification, valable trois ans, n'est pas obligatoire, mais elle constitue un gage de sérieux. De nombreuses formations universitaires et professionnelles préparent aussi à la fonction.

Une journée type du délégué

Le quotidien d'un délégué alterne les dossiers de fond et les demandes urgentes. Le matin, il peut répondre à une question du service marketing sur une campagne de prospection, valider la mention d'information d'un nouveau formulaire, puis analyser une demande d'accès d'un ancien salarié. L'après-midi, il participe au comité de pilotage d'un projet informatique pour intégrer la protection des données dès la conception, revoit le contrat d'un nouveau prestataire et prépare une session de sensibilisation. Il tient à jour le registre, suit les violations de données et prépare son bilan annuel à la direction. Cette diversité fait de la fonction un poste transversal, au carrefour du droit, de l'informatique et des métiers.

Les relations du DPO avec la CNIL

Le délégué est le point de contact de la CNIL pour les questions relatives au traitement, y compris la consultation préalable, et coopère avec elle. Lors d'un contrôle, il facilite l'accès aux informations, coordonne les réponses et suit la mise en œuvre des mesures correctrices. Il n'est pas pour autant un agent de la CNIL : il agit pour le compte de l'organisme et n'a pas à dénoncer les manquements qu'il constate, mais doit alerter la direction et documenter ses avis. Ses coordonnées doivent être publiées, par exemple dans la politique de confidentialité, et communiquées à la CNIL, afin que les personnes concernées et l'autorité puissent le joindre directement. Il n'est pas nécessaire de publier son nom ; une adresse fonctionnelle comme dpo@ suffit, à condition qu'elle aboutisse effectivement au délégué.

La responsabilité du DPO

Le délégué n'est pas personnellement responsable de la conformité de l'organisme. Les lignes directrices européennes sont claires : c'est le responsable de traitement ou le sous-traitant qui doit s'assurer et être en mesure de démontrer que le traitement est effectué conformément au règlement. Le délégué ne peut donc pas être sanctionné par la CNIL à la place de l'organisme. Sa responsabilité contractuelle ou disciplinaire peut cependant être engagée s'il commet une faute dans l'exécution de ses missions, comme l'absence de conseil sur un traitement manifestement illicite qu'il connaissait. Un délégué externe doit aussi souscrire une assurance de responsabilité civile professionnelle adaptée.

Le bilan annuel du délégué

Sans être imposé par le RGPD, le bilan annuel est une pratique recommandée par la CNIL. Le délégué y présente à la direction l'état de la conformité, les traitements nouveaux et modifiés, les demandes de droits reçues et leurs délais de traitement, les violations de données survenues, les contrôles et les réclamations, les actions de sensibilisation, les analyses d'impact menées et les recommandations pour l'année suivante. Ce document témoigne de l'activité du délégué, permet à la direction d'arbitrer les priorités et constitue une preuve de l'implication de l'organisme en cas de contrôle.

Désigner un DPO quand ce n'est pas obligatoire

Un organisme qui n'est pas tenu de désigner un délégué peut le faire volontairement. Le délégué désigné de façon volontaire est alors soumis aux mêmes règles que le délégué obligatoire : indépendance, moyens, absence de conflit d'intérêts, protection contre les sanctions liées à ses missions et publication de ses coordonnées. Si l'organisme souhaite seulement confier le suivi de la conformité à une personne, sans lui donner ce statut, il peut désigner un référent ou un correspondant interne, en veillant à ne pas l'appeler « délégué à la protection des données » pour éviter toute confusion. De nombreuses petites et moyennes entreprises choisissent cette voie intermédiaire, souvent avec l'appui ponctuel d'un conseil externe.

Former et sensibiliser, une mission centrale

La sensibilisation et la formation du personnel participant aux traitements figurent parmi les missions du délégué listées à l'article 39. Les violations de données ont très souvent une origine humaine : courriel envoyé au mauvais destinataire, pièce jointe non chiffrée, mot de passe réutilisé, clic sur un lien d'hameçonnage. Le délégué organise donc des sessions adaptées aux métiers, diffuse des fiches réflexes, intervient lors de l'accueil des nouveaux arrivants et s'appuie sur des exercices pratiques, comme les campagnes de faux hameçonnage menées avec le service informatique. Une culture partagée de la protection des données vaut mieux que des procédures que personne ne lit.

Quand le DPO quitte ses fonctions

Le départ d'un délégué, par démission, fin de contrat ou réorganisation, doit être anticipé. L'organisme doit désigner un successeur sans attendre, mettre à jour la désignation auprès de la CNIL et modifier les coordonnées publiées dans sa politique de confidentialité et ses mentions d'information. Le délégué sortant transmet son registre de travail, la liste des dossiers en cours, les avis rendus, l'historique des violations et des demandes de droits. Une période de recouvrement, même courte, évite qu'une demande d'accès ou un incident ne reste sans réponse pendant la transition. Lorsque le délégué est externe, le contrat de service doit prévoir ces modalités de réversibilité, au même titre que pour tout prestataire. Le nouveau délégué gagne à rencontrer rapidement les directions métiers pour reprendre les sujets en cours et se faire connaître des équipes, qui doivent savoir à qui s'adresser en cas de question ou d'incident.