Délégué à la protection des données mutualisé

Définition

Le délégué à la protection des données mutualisé désigne un DPO exerçant sa fonction pour le compte de plusieurs organisations distinctes, une possibilité explicitement prévue par l'article 37 du RGPD, notamment pour un groupe d'entreprises ou pour plusieurs autorités et organismes publics, sous réserve que le DPO soit facilement joignable à partir de chacun des établissements concernés. Cette mutualisation répond à une problématique concrète pour les PME et petites structures publiques, qui n'ont souvent ni le besoin ni les moyens de disposer d'un DPO à temps plein, tout en devant respecter l'obligation de désignation lorsque leurs activités de base impliquent un suivi régulier et systématique des personnes concernées à grande échelle, ou le traitement à grande échelle de catégories particulières de données. Le DPO mutualisé peut être un salarié détaché par une société mère au profit de ses filiales, un prestataire externe intervenant sous forme de délégué à la protection des données externalisé, ou une ressource partagée entre plusieurs collectivités territoriales via un centre de gestion. Le règlement impose que cette mutualisation ne conduise pas à un conflit d'intérêts entre les organisations concernées, ni à une dilution excessive du temps disponible pour exercer effectivement les missions du poste, un point régulièrement vérifié par les autorités de contrôle lors de leurs échanges avec les organisations désignant un DPO mutualisé.