Contrôle et le DPO au quotidien

Autorités de contrôle et sanctions

Chaque État membre dispose d’au moins une autorité de contrôle indépendante dotée de pouvoirs d’enquête et d’adoption de mesures correctrices au titre de l’article 58, notamment des injonctions, des interdictions de traitement et des amendes administratives. Pour les traitements transfrontaliers, le mécanisme du guichet unique fait de l’autorité de l’établissement principal l’autorité chef de file (article 56), qui coopère avec les autres via le Comité européen de la protection des données. Les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu, pour les violations des principes, de la base légale, des droits des personnes et des règles de transfert, et 10 millions d’euros ou 2 % pour les autres obligations (article 83). Les personnes peuvent introduire une réclamation (article 77) et obtenir réparation d’un dommage matériel ou moral (article 82).

Exercer la fonction

• Un plan annuel validé par la direction : audits, formation, programme d’AIPD et revue des politiques.
• Un registre des conseils donnés et des décisions prises — y compris les motifs lorsque le conseil n’a pas été suivi.
• Un reporting régulier au conseil avec quelques indicateurs utiles : demandes de droits et délais, violations et enseignements, AIPD réalisées, revues des fournisseurs.
• Une interface claire avec la sécurité, le juridique, les RH, les achats et la gouvernance de l’IA, pour être associé tôt plutôt que consulté tard.
• Une formation continue pour entretenir les connaissances spécialisées.

L’indépendance au quotidien

L’indépendance est protégée par la loi mais se gagne dans la pratique : par des conseils clairs, proportionnés et écrits, par l’escalade lorsque c’est nécessaire, et en refusant les missions qui conduiraient le DPO à déterminer les finalités et les moyens. Un bon DPO rend la conformité plus facile à atteindre, pas plus difficile à comprendre.