DPO RGPD GDPR

RGPD : Le DPO est-il obligatoire ?

Le RGPD (Règlement général sur la protection des données) entrera en vigueur le 25 mai prochain. Il prévoit la création d’une nouvelle mission, d’un nouveau poste même, au sein des entreprises concernées : le DPO, pour Data Protection Officer. Tout à la fois juriste, pédagogue, porte-parole et informaticien, il est le garant de l’application du RGPD. Mais est-il pour autant obligatoire dans votre structure ? Décryptage.

Les profils « DPO mandatory »

Le texte du RGPD est très clair : la nomination d’un DPO est obligatoire dans certains cas. Ce sont notamment :

– Les autorités ou les organismes publics (les administrations, les ministères…) ;

– Les organismes (les entreprises, pour être plus clair) dont les activités imposent de réaliser un suivi « régulier et systématique », à grande échelle, des personnes ;

– Les organismes dont les activités de base leur imposent de traiter « à grande échelle » des données considérées comme sensibles (les données génétiques, biométriques, afférentes à la santé, à la religion, aux opinions politiques ou à l’appartenance syndicale…) ou des données en lien avec des condamnations pénales et/ou des infractions.

Pour y voir plus clair

Vous l’aurez sans doute constaté : les cas pour lesquels le DPO est strictement obligatoire peuvent paraître assez vagues. Qu’est-ce qu’un « suivi régulier » ? Et un suivi « systématique » ? À partir de quand peut-on considérer que l’on traite des données « à grande échelle » ?

Heureusement, le G29, qui regroupe les différentes CNIL européennes, a publié en décembre dernier des lignes directrices sur l’interprétation de ces dispositions. Ainsi, un « suivi régulier » serait un suivi « continu ou ponctuel », « récurrent ou itératif », « en cours ou se produisant pendant des périodes données ». Serait considéré comme « systématique » tout suivi « prévu, organisé ou méthodique ». Enfin, un suivi à « grande échelle » se déterminerait selon le nombre de personnes concernées évidemment, mis en rapport avec le volume des données collectées, la durée de traitement et le périmètre géographique en question. Quelques exemples d’entreprises concernées par ces derniers critères ont même été fournis par les membres du G29 : les chaînes de restaurant exploitant les données de géolocalisation de leurs clients, les données traitées à des fins de publicité comportementale par un moteur de recherche, celles utilisées par les FAI (fournisseurs d’accès à internet)…

DPO facultatif, mais RGPD obligatoire !

Reste une précision : si les textes du RGPD indiquent que, dans certains cas, la nomination d’un DPO n’est pas obligatoire, cela ne signifie pas que l’application du RGPD devient facultative ! En effet, ses principes s’imposent à tous les acteurs économiques et institutionnels. Ainsi, tous doivent permettre aux personnes concernées par le traitement des données :

  • D’avoir accès aux données les concernant ;
  • De les modifier ;
  • De les supprimer (c’est ce que l’on appelle « droit à l’oubli ») ;
  • D’en limiter l’accès ;
  • De les transférer à un autre acteur économique ou institutionnel…

Le tout dans un délai raisonnable, de l’ordre de moins d’un mois. Autant dire que la CNIL s’attache à rappeler que si le DPO n’est pas stricto senso obligatoire, il n’en est pas moins conseillé. Qu’il soit interne ou externe à la structure.

Un DPO interne ou externe ?

Le Délégué à la protection des données (DPD, le nom francisé du DPO) peut en effet être interne, comme externe à l’entreprise ou l’institution dont il assure la conformité au RGPD. Il peut également être mutualisé au sein d’un groupe d’entreprises, tant que plusieurs conditions sont respectées :

  • Chacune doit pouvoir lui offrir les conditions propices à l’exercice de ses nouvelles responsabilités ;
  • Il ne doit pas exister de conflit d’intérêts ;
  • Il doit être joignable facilement à partir de chaque lieu d’établissement, les contrôles pouvant se faire en ligne ou sur place.

Le DPO est au cœur de l’application du RGPD. Vous devez en recruter un, ou envisagez de le devenir vous-même ? Consultez notre Livre blanc consacré au sujet !