En droit européen, le Délégué à la protection des données (abrégé DPD, ou DPO, pour Data Protection Officer) est la personne chargée de la protection des données personnelles au sein d'une organisation.
La fonction de DPO a été instaurée par les articles 37 et suivants du Règlement général sur la protection des données (RGPD) entré en application le , et étant applicable au sein des pays membres de l'Union européenne. La loi française Informatique et Libertés prévoit également des dispositions relatives au DPO.
La désignation d'un Délégué à la Protection des données est obligatoire pour certaines entités privées., ainsi que pour l'ensemble des autorités publiques ou organismes publics (à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle)La CNIL répond à la question, et cite les fois ou il est obligatoire de désigner un DPO.. La fonction de DPO peut-être exercée par un salarié interne de l'entité ou par un DPO externalisé agissant sur la base d'un contrat de service.
Missions Les principales missions du Délégué à la protection des données sont prévues par les dispositions de l'article 39 du RGPD.. Elles consistent à (i) informer et conseiller son organisation sur les obligations lui incombant en vertu des réglementations sur la protection des données personnelles, à (ii) contrôler le bon respect par son organisation des réglementations sur la protection des données personnelles, à (iii) dispenser des conseils en ce qui concerne la réalisation d'analyse d'impact relative à la protection des données., à (iv) coopérer avec l'autorité de contrôle, comme la CNIL en France, ainsi qu'à (v) faire office de point de contact entre son organisation et l'autorité de contrôle sur des questions relatives aux traitements de données personnelles mis en œuvre par son organisation.
L'indépendance du Délégué à la Protection des Données est essentielle pour qu'il puisse remplir ses missions correctement. Le RGPD établit des règles pour garantir cette indépendance.
Liberté de décision : Le DPO ne doit recevoir aucune instruction sur la manière de mener ses missions. Cela signifie qu'il doit pouvoir décider par lui-même comment gérer un dossier, répondre à une plainte, réaliser un audit interne, ou s'il faut consulter l'autorité de contrôle. Il ne doit pas être influencé pour adopter un certain point de vue sur la législation en matière de protection des données.
Protection contre les sanctions : Le DPO ne doit pas être sanctionné ou licencié pour avoir accompli ses tâches. Par exemple, si le DPO conseille de faire une analyse d'impact et que le responsable n'est pas d'accord, ou si son analyse diffère de celle du responsable, il ne doit pas en subir les conséquences. Cependant, il peut être licencié pour des raisons qui relèvent des règles normales du droit du travail, comme le vol ou le harcèlement.
Rapport direct à la haute direction : Le DPO doit communiquer directement avec les plus hauts niveaux de direction de l'organisation. Cela permet que les décisions soient prises en connaissance des avis et recommandations du DPO. Il est recommandé que le DPO présente un rapport régulier (par exemple, annuel) sur ses activités à la direction. Cette exigence de rapporter à la haute direction ne détermine pas forcément à qui le DPO est rattaché dans l'organisation. Le rapport annuel rédigé par le Délégué à la Protection des Données joue un rôle crucial en tant que moyen de communication. C'est une occasion pour le DPO de diffuser son savoir et son expérience, d'accroître la sensibilisation sur l'importance de la protection des données, et de contribuer à l'instauration d'une culture solide de protection des données dans l'organisation. Ce rapport n'est pas seulement un résumé des actions et des conformités, mais aussi un outil pédagogique pour mettre en avant les enjeux et les meilleures pratiques en matière de protection des données personnelles.
La désignation d'un Délégué à la protection des données est parfois obligatoire. Le Délégué peut être membre de l'organisation qu'il conseille, ou travailler en tant que consultant extérieur. Il peut aussi être mutualisé, lorsqu'un même Délégué est désigné par plusieurs structures. Dans tous les cas, le Délégué doit être doté des moyens pour réaliser sa mission et pouvoir agir de façon indépendante.
Terminologie
Les professionnels de la protection des données personnelles sont actuellement désignés sous les appellations de en Allemagne, en Suède, aux Pays-Bas, Personas datu aizsardzības speciālista en Lituanie, Isikuandmete kaitse eest vastutav isik en Estonie, Chargé de la protection des données au Luxembourg, Préposé à la protection des données en Belgique, Datenschutzberater / conseiller à la protection des données / consulente per la protezione dei dati en Suisse, Rapprezentant ta’data personali à Malte, Belső adatvédelmi fele lős en Hongrie, Dohľad nad ochranou osobných údajov en Slovaquie et en Espagne Comparative analysis of Data Protection Officers, CEDPO, 2012..
Les Délégués à la protection des données sont désignés formellement et officiellement auprès de la Commission nationale de l'informatique et des libertés (CNIL). Leurs coordonnées sont rendues publiques sur la plateforme data.gouv.frJeu de données de la CNIL des organismes ayant désigné un(e) délégué(e) à la protection des données (DPD/DPO)..
Le rapport annuel de la CNIL pour l'année 2015Rapport annuel de la CNIL pour l'année 2015. indique que Informatique et Libertés ont été désignés auprès de la Commission par de traitement, privés ou publics. Dans son rapport annuel pour 2018 « La CNIL en bref »La CNIL en bref 2019. la CNIL indique que ont désigné un Délégué, ce qui représente à la protection des données. Ce nombre devrait dépasser les à la fin de l'année 2019.
Dans le cadre du basculement sur les nouvelles règles l’Association française des correspondants à la protection des données à caractère personnel (AFCDP), association qui regroupe en France les professionnels de la conformité Informatique et Libertés et de la protection des données personnelles, avait demandé que soit ménagée une « clause de grand-père » qui aurait permis aux « Correspondants Informatique et Libertés » (CIL) qui le souhaitaient et qui répondaient aux nouvelles exigences d’être confirmés dans leur fonction en tant que DPO, ceci pour exploiter les travaux déjà réalisés et pour assurer la diffusion la plus large possible de l’esprit de la loi. Le Secrétaire général de la CNIL, en , déclarait d’ailleurs publiquement lors d’une conférence qui réunissait quatre cents CIL : « Nous avons tout intérêt à ce que la plupart d’entre vous soient confirmés en tant que DPO ».
Désignation selon le RGPD Avant l'adoption du Règlement Général sur la Protection des Données (RGPD), la désignation d'un Correspondant Informatique et Libertés (CIL) dans les entreprises n'était pas une exigence légale. Cependant, avec l'introduction du RGPD, les entreprises sont encouragées à désigner un Délégué à la Protection des Données (DPO) de manière flexible, y compris de façon non écrite. Le responsable de traitement est tenu de nommer le DPO en accord avec les dispositions du RGPD et doit, en outre, informer rapidement l'autorité de contrôle compétente et rendre publiques les coordonnées du DPO.
Une option notable pour les entreprises, surtout celles opérant à l'échelle de l'Union Européenne, est la possibilité de désigner un DPO unique pour l'ensemble du groupe. Cette approche permet aux entreprises ayant plusieurs filiales ou succursales de bénéficier d'un point de contact centralisé pour toutes les questions de protection des données. Le DPO d'entreprise doit être accessible facilement depuis n'importe quel site de l'entreprise. Cette centralisation offre plusieurs avantages : elle assure une gestion uniforme et cohérente de la protection des données à travers toutes les entités du groupe, facilitant ainsi une meilleure coordination et une efficacité accrue dans le respect du RGPD. De plus, elle simplifie la communication avec l'autorité de contrôle en établissant un point de contact unique pour l'ensemble du groupe, favorisant ainsi une plus grande transparence et sécurité dans le traitement et la gestion des données.
Il est également important de noter qu'une affectation externe du DPO n'est pas toujours nécessaire si l'entreprise dispose d'un employé interne ayant les qualifications requises pour assumer ce rôle. Le choix entre un DPO interne ou externe dépend largement de la taille et de la structure de l'entreprise, ainsi que de la charge de travail envisagée pour le DPO. Chaque entreprise doit évaluer ses besoins spécifiques en matière de protection des données pour déterminer la solution la plus appropriée, en veillant à ce que le DPO choisi dispose des ressources et de l'indépendance nécessaires pour exercer efficacement ses fonctions..
Bénéfices à désigner un délégué à la protection des données
La désignation d’une personne chargée de la conformité à la loi informatique et libertés et aux futures dispositions du règlement général sur la protection des données présente donc plusieurs bénéfices : Un renforcement de la sécurité juridique : la désignation d’un DPO permet d’identifier un référent sur les questions de protection des données personnelles et s’intègre dans les nouvelles pratiques de gouvernance en termes de mise en conformité. Il en découle une réduction des risques de contentieux contractuel, administratif et judiciaire. Un renforcement de la sécurité informatique : le DPO conseille l’organisme sur les nouvelles manières d’exploiter les données. Il permet d’éviter les erreurs stratégiques lors du lancement de nouveaux services ou produits, et optimiser en conséquence les investissements, la politique d’archivage et d’externalisation, les procédures internes relatives à la sécurité de l’information. Un vecteur de confiance avec les parties prenantes : la mise en place d’un délégué à la protection des données en 2018, est de nature à rassurer les personnes extérieures à l’organisme (clients, citoyens, fournisseurs, étudiants, partenaires potentiels, etc.) et le personnel interne sur les garanties prises pour une collecte et un traitement responsable des données personnelles.
C'est également la preuve d’un engagement éthique et citoyen et un outil de valorisation du patrimoine informationnel.
Activités
Fonctions La fonction de Délégué à la protection des données est définie dans le Règlement général sur la protection des données (RGPD), 2016/679 du , principalement par le considérant 97. et par sa section 4.. La désignation d'un Délégué à la protection des données est obligatoire pour tout organisme répondant à l'un des critères suivants : l'organisme est une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle ; les activités de base de l'organisme comportent des traitements qui exigent un suivi régulier et systématique à grande échelle des personnes concernées ; les activités de base de l'organisme comportent des traitements à grande échelle de catégories particulières de données (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques aux fins d'identification, données concernant la santé, données concernant la vie sexuelle ou l'orientation sexuelle, condamnations pénales, infractions). Dans les autres cas, les organismes peuvent désigner volontairement un délégué à la protection des données. Un délégué à la protection des données peut être mutualisé entre plusieurs organismes. Le Délégué à la protection des données peut être un membre du personnel, ou exercer ses missions sur la base d'un contrat de service.
Missions Les principales missions du Délégué à la protection des données sont les suivantes (Art. 39.) :