Le rôle et la position du DPO

Quand un DPO est-il obligatoire ?

L’article 37 impose un DPO dans trois cas : le traitement est effectué par une autorité ou un organisme public (à l’exception des juridictions dans l’exercice de leur fonction juridictionnelle) ; les activités de base du responsable du traitement ou du sous-traitant consistent en des traitements exigeant un suivi régulier et systématique à grande échelle des personnes ; ou ces activités de base consistent en un traitement à grande échelle de catégories particulières de données ou de données relatives aux condamnations pénales et aux infractions. Le droit d’un État membre peut l’exiger dans d’autres cas, et un organisme qui en désigne un volontairement doit appliquer les mêmes règles.

Un groupe d’entreprises peut désigner un DPO unique s’il est facilement joignable depuis chaque établissement. Le DPO peut être salarié ou intervenir dans le cadre d’un contrat de service ; il est désigné sur la base de ses qualités professionnelles et de ses connaissances spécialisées du droit et des pratiques en matière de protection des données. L’organisme publie ses coordonnées et les communique à l’autorité de contrôle.

Position : association, moyens et indépendance

• Associé, d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données (article 38, paragraphe 1).
• Doté des ressources nécessaires, d’un accès aux données et aux traitements, et des moyens d’entretenir ses connaissances.
• Ne reçoit aucune instruction en ce qui concerne l’exercice de ses missions, et ne peut être relevé de ses fonctions ou pénalisé pour les avoir exercées.
• Fait directement rapport au niveau le plus élevé de la direction.
• Peut exercer d’autres missions, à condition qu’elles n’entraînent pas de conflit d’intérêts.
• Est soumis au secret professionnel ou à une obligation de confidentialité.

Missions prévues à l’article 39

Le DPO a au minimum pour missions d’informer et de conseiller l’organisme et ses salariés sur leurs obligations ; de contrôler le respect du RGPD, des autres règles de protection des données et des politiques internes, y compris la répartition des responsabilités, la sensibilisation, la formation et les audits ; de dispenser des conseils sur les analyses d’impact et d’en vérifier l’exécution ; de coopérer avec l’autorité de contrôle et d’être son point de contact. Il tient dûment compte du risque associé aux traitements.

La responsabilité de la conformité reste celle du responsable du traitement ou du sous-traitant, et non du DPO. Le DPO conseille ; la direction décide — et doit consigner pourquoi elle ne suit pas un conseil.