Le DPO
Son rôle, sa désignation et ses responsabilités ?
Le rôle du DPO
Le Data Protection Officer ou DPO (DPD en français) est le point de contact avec la CNIL pour l'organisme (entreprise, association, organisation).
Il effectue la veille réglementaire et s'assure de la mise en conformité de l'organisme au RGPD. Il assiste également les utilisateurs dans le cadre des projets pour s'assurer de la bonne mise en oeuvre du RGPD (Privacy by design).
Il a également des missions de sensibilisation des salariés de l'organisation.
Le DPO peut être interne à l'organisme ou externe.
La désignation du DPO
Depuis le 25 mai 2018, certains organismes, quelque soit leur taille, ont l'obligation de se mettre en conformité avec le Règlement Général sur la Protection des Données de l'Union Européenne (RGPD), ces organismes sont les suivants :
- Les organismes publics et les autorités, indépendamment de la nature des données qu'ils traitent
- Les organismes dont l'activité de base les amène à réaliser un suivi régulier et systématique des personnes à grande échelle
- Les organismes dont l'activité de base les amène à traiter à grande échelle des données dites "sensibles" ou des données relatives à des condamnations pénales et à des infractions
Même si votre organisme n’est pas formellement dans l’obligation de désigner un délégué à la protection des données (DPO ou DPD en français), il est fortement recommandé de désigner une personne, disposant de relais internes, chargée de s’assurer de la mise en conformité au RGPD.
Le DPO constitue un atout majeur pour comprendre et respecter les obligations du règlement, dialoguer avec les autorités de protection des données et réduire les risques de contentieux.
Il est désigné sur la base de ses qualités professionnelles et en particulier de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir les missions visées à l'article 39 du RGPD.
Les missions du DPO dans le détail
- Informer et conseiller le responsable de traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement
- Contrôler le respect du RGPD, des dispositions du droit de l'Union ou du droit des états membres en matière de protection des DCP
- Conseiller, sur demande, sur la réalisation d'une étude d'impact relative à la protection des DCP et en vérifier son exécution en vertu de l'article 35 du RGPD
- Coopérer avec l'autorité de contrôle
- Etre le point de contact avec l'autorité de contrôle (la CNIL en France) y compris lors de consultation préalable visée à l'article 36 du RGPD
Les fonctions du DPO
Le DPO doit être soutenu par l'organisme qui doit lui fournir toutes les ressources nécessaires à la réalisation de ses tâches et qui doit lui garantir son indépendance.
Il ne doit recevoir aucune instruction en ce qui concerne l'exercice de ses missions, il ne peut être relevé de ses fonctions ou pénalisé par le responsable des traitements ou le sous-traitant pour l'exercice de ses missions.
Le DPO fait directement rapport au niveau le plus élevé de la direction ou de l'organisme.
Les personnes concernées peuvent prendre contact avec le DPO au sujet de toutes les questions relatives au traitement de leurs DCP et à l'exercice des droits que leur confère le RGPD.
Le DPO est soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l'exercice de ses missions, conformément au droit de l'Union ou au droit des États membres.
Il a la possibilité d'exécuter d'autres missions et tâches.
L'organisme a le devoir de s'assurer de son implication dans les questions de protection des DCP ainsi que de l'absence de conflit d'intérêt.
Les responsabilités du DPO
Le DPO n'est pas responsable en cas de non respect du règlement. C'est le responsable du traitement ou le sous-traitant qui est tenu de démontrer que le traitement est effectué conformément aux dispositions (article 24.1 du RGPD).
Le respect de la protection des DCP est donc de la responsabilité du responsable du traitement ou du sous-traitant.
La délégation de pouvoir au DPO concernant la responsabilité incombant au responsable de traitement n'est pas possible, il en est de même pour les obligations du sous-traitant car cela relèverait d'un conflit d'intérêt (article 38.6 du RGPD).
Nous trouver
Euratechnologies
Campus Wenov
177 allé Clémentine Deman
59000 LILLE
L'expertise au service de votre performance et de votre entreprise.
Copyright © Focus Consulting® 2018
Focus Consulting® et SIBL® sont des marques déposées
Ce site est protégé par le code de la propriété intellectuelle, toute reproduction totale ou partielle est interdite