Faut-il désigner un DPO ?

Introduction

La désignation d’un délégué à la protection des données est obligatoire dans trois hypothèses, et facultative ailleurs. La question pratique n’est pas seulement de savoir si elle s’impose, mais si elle est utile.

Les trois cas d’obligation

La désignation est obligatoire lorsque le traitement est effectué par une autorité publique ou un organisme public.

Elle l’est également lorsque les activités de base du responsable ou du sous-traitant consistent en des opérations qui exigent un suivi régulier et systématique à grande échelle des personnes concernées.

Elle l’est enfin lorsque ces activités de base consistent en un traitement à grande échelle de catégories particulières de données, ou de données relatives à des condamnations pénales et infractions.

L’interprétation des critères

La notion d’activités de base désigne les opérations essentielles à la réalisation des objectifs du responsable, par opposition aux fonctions support.

Le suivi régulier et systématique couvre notamment le profilage, le ciblage publicitaire, la géolocalisation, la surveillance de réseaux.

La grande échelle s’apprécie au regard du nombre de personnes concernées, du volume et de la variété des données, de la durée et de l’étendue géographique du traitement.

Une plateforme analysant le comportement de ses utilisateurs, un établissement de santé, ou une entreprise dont le modèle repose sur l’exploitation de données de navigation relèvent typiquement de l’obligation.

La désignation volontaire

En dehors de ces cas, la désignation reste possible et présente des avantages.

Elle centralise la conformité, ce qui évite la dispersion des responsabilités entre services.

Elle constitue un interlocuteur identifié pour les personnes concernées et pour l’autorité de contrôle.

Elle démontre une démarche active, élément apprécié en cas de contrôle.

Attention toutefois : un DPO désigné volontairement est soumis au même statut qu’un DPO obligatoire, notamment quant à son indépendance.

Les missions

Informer et conseiller le responsable, le sous-traitant et les employés sur leurs obligations.

Contrôler le respect du règlement et des politiques internes, notamment par des audits et actions de sensibilisation.

Dispenser des conseils sur l’analyse d’impact et en vérifier l’exécution.

Coopérer avec l’autorité de contrôle et faire office de point de contact.

Le DPO conseille et contrôle : il ne décide pas des traitements et n’endosse pas la responsabilité du responsable de traitement.

Les conditions du statut

Le DPO doit être désigné sur la base de ses qualités professionnelles et de ses connaissances spécialisées.

Il doit disposer des ressources nécessaires à l’exercice de ses missions et de l’accès aux données et opérations.

Il ne reçoit aucune instruction concernant l’exercice de ses missions et ne peut être relevé de ses fonctions ni pénalisé pour leur exercice.

Il fait directement rapport au niveau le plus élevé de la direction.

Il est tenu au secret ou à la confidentialité.

Le conflit d’intérêts

Le DPO peut exercer d’autres missions, à condition qu’elles n’entraînent pas de conflit d’intérêts.

Sont généralement considérées comme incompatibles les fonctions déterminant les finalités et les moyens des traitements : direction générale, direction informatique, direction marketing, direction des ressources humaines.

Ce point est régulièrement relevé lors des contrôles : désigner le directeur informatique comme DPO expose à une critique fondée.

L’externalisation

Le DPO peut être externe, désigné sur la base d’un contrat de service.

Cette solution convient aux structures qui n’atteignent pas le volume justifiant un poste dédié, ou qui ne disposent pas des compétences en interne.

Elle présente un avantage d’indépendance, le prestataire n’étant pas soumis aux arbitrages internes.

Elle suppose en contrepartie une organisation : points réguliers, accès à l’information, relais interne identifié.

La notification

La désignation doit être communiquée à l’autorité de contrôle, et les coordonnées du DPO publiées, notamment dans la politique de confidentialité.

Arbitrer selon l’activité réelle

La question n’est pas seulement l’obligation, mais l’utilité au regard du volume de traitements. Notre expertise DPO externalisé répond à ces deux dimensions.

En résumé

• Trois cas d’obligation : organisme public, suivi régulier et systématique à grande échelle, données sensibles à grande échelle.
• Une désignation volontaire soumet au même statut, notamment d’indépendance.
• Le DPO conseille et contrôle, il ne décide pas et n’endosse pas la responsabilité du responsable.
• Directions informatique, marketing et ressources humaines présentent un conflit d’intérêts.
• L’externalisation est admise et adaptée aux structures sans volume suffisant pour un poste dédié.