DPO Délégué à la Protection des Données

Obligations de désignation et profil du DPO

L'article 37 du RGPD impose la désignation d'un DPO obligatoire pour les autorités publiques, les organismes effectuant un suivi régulier et systématique à grande échelle, et ceux traitant à grande échelle des données sensibles ou pénales. Pour les autres organisations, la désignation est volontaire. En pratique, les entreprises de plus de 250 personnes et celles traitant des données clients à grande échelle désignent généralement un DPO, même sans obligation formelle.

Le profil requis : compétences en droit de la protection des données (RGPD, droits nationaux, jurisprudence CJUE) et en pratiques de sécurité de l'information. Des certifications comme le CIPP/E (IAPP), le CIPM (IAPP), ou les formations certifiantes CNIL sont valorisées. Le DPO doit également avoir une bonne connaissance du secteur d'activité et des traitements de l'organisation.

Missions et indépendance du DPO

Les missions du DPO (art. 39 RGPD) : conseil et information sur les obligations RGPD, contrôle du respect du règlement (audit des traitements, registre RT), conseil sur les DPIA, coopération avec la CNIL, point de contact pour les personnes concernées et la CNIL. Le DPO rapporte directement au niveau hiérarchique le plus élevé (DG, conseil d'administration) pour garantir son indépendance.

Le DPO ne peut pas avoir de conflit d'intérêts avec sa mission : un DPO qui serait également responsable du marketing ou des décisions sur les finalités des traitements serait en conflit d'intérêts. Cette exigence limite les cumuls de fonctions et conduit à désigner des DPO dédiés dans les grandes organisations ou à externaliser la fonction.

DPO et conformité RGPD en pratique

Le DPO pilote la mise en conformité RGPD : maintien du registre des activités de traitement (RAT), réalisation des DPIA (évaluations d'impact), gestion des demandes d'exercice de droits (accès, effacement, portabilité), gestion des violations de données (notification CNIL 72h, information des personnes), et revue des contrats avec les sous-traitants (clauses RGPD art. 28).

En France, la CNIL peut contrôler les organisations et interroger le DPO sur l'état de la conformité. Les manquements identifiés lors d'un contrôle CNIL, si non corrigés, peuvent conduire à des mises en demeure et des sanctions (amendes jusqu'à 20 M€ ou 4% du CA mondial). Le DPO joue un rôle clé dans la gestion de la relation avec la CNIL : il est le premier interlocuteur de l'autorité.