Le RGPD impose à certains organismes de désigner un Délégué à la Protection des Données (DPO). Cette obligation concerne un large éventail de structures, et même celles qui n’y sont pas strictement tenues ont tout intérêt à se doter d’un tel référent. Comment savoir si vous êtes concerné ? Quelles sont les démarches à suivre ? Voici un tour d’horizon complet.
Qui doit désigner un DPO ?
L’article 37 du RGPD rend la désignation obligatoire pour les autorités et organismes publics (mairies, intercommunalités, établissements publics, ministères), les organismes dont l’activité de base implique un suivi régulier et systématique des personnes à grande échelle (plateformes numériques, marketing ciblé, vidéosurveillance étendue), et ceux qui traitent à grande échelle des catégories particulières de données (données de santé, biométriques, génétiques, relatives aux opinions politiques ou à l’orientation sexuelle).
Au-delà de ces cas, la CNIL recommande fortement la désignation d’un DPO à tout organisme qui traite des données personnelles de manière non occasionnelle. Sont particulièrement concernés les services de prévention et de santé au travail (SPST), les établissements de santé, les entreprises du secteur financier et de l’assurance, les acteurs des technologies de l’information et des télécommunications, ainsi que les organismes d’accréditation.
Les missions du DPO
L’article 39 du RGPD définit les missions du DPO : informer et conseiller le responsable de traitement et ses employés sur leurs obligations, contrôler le respect de la réglementation et des politiques internes, conseiller sur la réalisation des analyses d’impact (AIPD), coopérer avec la CNIL et servir de point de contact pour l’autorité de contrôle comme pour les personnes concernées.
En pratique, le DPO tient et met à jour le registre des traitements, rédige les procédures internes (gestion des violations de données, exercice des droits des personnes, encadrement des transferts hors UE), pilote les audits de conformité et assure la sensibilisation des équipes. Il veille aussi au respect des nouvelles réglementations : directive NIS2 pour la cybersécurité, règlement européen sur l’intelligence artificielle, référentiel AFNOR SPEC 2217 pour les SPST.
Comment désigner votre DPO ?
La désignation du DPO se fait auprès de la CNIL via un formulaire en ligne sur le site cnil.fr. L’organisme doit fournir les coordonnées du DPO, qui seront publiées pour permettre aux personnes concernées de le contacter. Le DPO peut être un collaborateur interne ou un prestataire externe, à condition qu’il dispose des compétences requises et qu’il ne se trouve pas en situation de conflit d’intérêts.
Le DPO doit pouvoir exercer ses missions en toute indépendance : il ne reçoit aucune instruction sur la manière d’exercer ses fonctions, il ne peut pas être sanctionné pour l’exercice de sa mission, et il rend compte directement au niveau le plus élevé de la direction. Si vous choisissez un DPO externalisé, un contrat de prestation doit encadrer la mission, en précisant le périmètre d’intervention, les moyens mis à disposition et les modalités de reporting.
Pourquoi choisir DPO PARTAGE pour votre désignation ?
Depuis 2018, DPO PARTAGE accompagne des organismes de toutes tailles dans la désignation et l’exercice de la fonction de DPO externalisé. Notre expertise couvre les secteurs les plus exigeants en matière de protection des données : SPST, collectivités territoriales, établissements de santé, organismes d’accréditation HAS et PME de tous secteurs.
Nous prenons en charge l’ensemble du processus : analyse de votre obligation de désignation, formalisation de la lettre de mission, déclaration auprès de la CNIL, mise en place du registre des traitements et des procédures, puis exercice continu de la fonction de DPO au quotidien. Nos outils numériques dédiés facilitent le suivi de votre conformité et la traçabilité de toutes les actions menées.