DPO (RGPD) - Définition et obligations

Avril 2018

Qu'est-ce qu'un DPO ? Dans quelles entreprises deviendra-t-il obligatoire fin mai 2018 ?


Définition

Le DPO, pour « Data Protection Officer », est une personne en charge de la protection des données personnelles traitées par un organisme (administration, entreprise...). Il s'agit d'un nouveau métier porté par le RGPD 2018, le règlement européen sur la protection des données, dont l'entrée en vigueur interviendra le 25 mai 2018. Ce texte rend sa désignation obligatoire pour un grand nombre de responsables de traitement de données personnelles.

Les missions du DPO consistent à informer, conseiller et former le responsable du traitement de données (ou son sous-traitant) ainsi que ses employés. Il leur précise les obligations qu'ils doivent respecter au regard de la réglementation européenne, dont il contrôle la bonne application. Il coopère également avec la CNIL, dont il est un interlocuteur privilégié. Le DPO sert donc principalement à permettre à un organisme effectuant des traitements de données personnelles de s'assurer qu'il respecte bien la réglementation applicable à leur protection.

Le DPO peut être un salarié du responsable de traitement de données ou du sous-traitant. Mais il peut aussi accomplir ses missions en signant un contrat de service.

Articles du RGPD

Le DPO est prévu aux articles 37, 38 et 39 du RGPD. L'article 37 mentionne les cas dans lesquels il est obligatoire ainsi que ses modalités de désignation. Les articles 38 et 39 définissent respectivement sa fonction et ses missions.

Vous pouvez accéder à ces articles en ligne en consultant le texte du RGPD.

Télécharger le texte du RGPD 2018.

Qui est concerné

Les organismes concernés par l'obligation de nommer un DPO sont mentionnés à l'article 37 du RGPD.

Administrations

Le premier cas concerne les traitements de données personnelles effectués par un organisme public ou une autorité publique (hormis les juridictions). L'obligation concernera donc toutes les structures publiques effectuant des traitements de données personnelles : l'Etat, les collectivités territoriales, etc.

Entreprises

Mais l'obligation de nommer un DPO concernera aussi un très grand nombre d'entreprises. Le champ d'application posé par l'article 37 du RGPD est en effet très large, puisque seront concernées les entreprises dont les activités de base consistent :

  • soit en des opérations de traitement qui exigent un suivi régulier et systématique à grande échelle des personnes concernées ;
  • soit en un traitement à grande échelle de catégories particulières de données visées à l'article 9 (qui regroupent des données « sensibles » : origines raciales ou ethniques, convictions politiques ou religieuses, etc.) et de données personnelles liées à des condamnations pénales et à des infractions visées à l'article 10.

Il est notamment tenu compte de la nature de l'activité de l'entreprise, du nombre de personnes concernées ainsi que du volume de données traitées. Le règlement ne précise toutefois pas de seuils minimaux à partir desquels l'obligation de recourir à un DPO s'appliquerait : les grands groupes sont bien sûr visés, mais un grand nombre de PME seront également concernées, notamment parmi celles spécialisées dans le e-commerce. L'étendue de l'obligation apparait ainsi très large.
Un groupe d'entreprises peut nommer un seul DPO.

Interne ou externe ?

Le recours au DPO représente naturellement un coût supplémentaire pour l'entreprise (en particulier pour les PME).

Si les grandes sociétés recherchent et recrutent des DPO, les entreprises n'ont toutefois pas l'obligation d'embaucher un DPO à temps plein : il n'est pas nécessaire que ce dernier soit un membre du personnel. Il peut ainsi accomplir ses missions sur la base d'un contrat de service. Les entreprises concernées par les nouvelles obligations peuvent donc choisir d'externaliser leur DPO.

Crédits photo : 123RF - Dmitriy Shironosov

A voir également


Publié par Matthieu-B.
Ce document intitulé « DPO (RGPD) - Définition et obligations » issu de Droit-Finances (droit-finances.commentcamarche.com) est soumis au droit d'auteur. Toute reproduction ou représentation totale ou partielle de ce site par quelque procédé que ce soit, sans autorisation expresse, est interdite.
Newsletter

Pour mieux gérer vos finances et mieux défendre vos droits, restez informé avec notre lettre gratuite

Recevez notre newsletter

Dossier à la une

RGPD 2018 – Ce qui change en 2018
CSSCT - Rôle et mise en place obligatoire