Beaucoup d’organismes designent un DPO, puis s’arretent la. Or la designation n’est que la moitie du chemin. Le RGPD impose de publier les coordonnees du delegue et de les communiquer a la CNIL. Cet oubli, tres frequent, se corrige en quelques minutes mais expose en cas de controle.
Que faut-il faire apres avoir designe un DPO ?
Trois gestes s’enchainent. Publier les coordonnees du DPO, les communiquer a l’autorite de controle, et informer les personnes concernees. La designation seule ne suffit pas a etre en regle.
La CNIL prevoit un teleservice pour designer un DPO ou modifier une designation. C’est par la que passe la communication officielle des coordonnees.
Quelles coordonnees publier, et ou ?
Il s’agit d’un moyen de contact du DPO, pas forcement son identite nominative. Une adresse de courriel dediee ou un formulaire suffit, du moment que la personne peut le joindre facilement.
Ces coordonnees figurent la ou l’information est attendue : politique de confidentialite, mentions du site, documents de collecte. Elles completent la notice d’information conforme au RGPD.
| Action | Destinataire |
|---|---|
| Communiquer les coordonnees | La CNIL, via le teleservice |
| Publier les coordonnees | Site, notice d’information |
| Informer en interne | Personnel, instances |
| Mettre a jour | La CNIL en cas de changement |
Une organisation gagne a integrer ces obligations dans un pilotage global, plutot que de les traiter une fois puis les oublier. Confier ce pilotage a un DPO externalise transforme une obligation en tranquillite.
Pourquoi cette obligation compte-t-elle vraiment ?
Parce qu’un DPO injoignable ne remplit pas son role. Les personnes doivent pouvoir exercer leurs droits, et l’autorite doit pouvoir dialoguer avec un interlocuteur identifie.
Le role du delegue est detaille par la CNIL dans sa page dediee au delegue a la protection des donnees. Ses missions et obligations supposent qu’on puisse le contacter sans effort.
Que faire en cas de changement de DPO ?
Un depart, une demission ou un remplacement doit etre signale a la CNIL dans les meilleurs delais, avec les nouvelles coordonnees. La continuite doit etre assuree pour que l’organisme ne se retrouve jamais sans interlocuteur.
Mettre a jour le site et les notices fait partie du meme reflexe. Une coordonnee perimee vaut presque une absence de coordonnee.
Le cas du DPO externe : qui apparait ?
Lorsque le DPO est externalise, ce sont ses coordonnees professionnelles qui sont publiees et communiquees a la CNIL, au titre de sa mission pour l’organisme. La personne morale designe, la personne physique ou l’equipe assure la fonction.
Le contact reste stable meme si l’interlocuteur change au sein du prestataire. C’est un avantage : l’organisme ne se retrouve pas sans DPO joignable en cas d’absence, contrairement a un DPO interne unique.
Verifier la coherence de tous les supports
Une coordonnee publiee doit etre la meme partout : site, notice d’information, documents de collecte, declaration a la CNIL. Une adresse valable sur le site mais absente de la notice cree une faille dans l’information des personnes.
Un controle rapide de coherence, une fois par an, evite les ecarts. C’est un geste simple qui fait partie de la tenue courante de la conformite. Il vaut aussi pour les supports imprimes, souvent oublies alors qu’ils continuent de circuler aupres des personnes concernees.
FAQ
Faut-il publier le nom du DPO ou seulement un contact ?
Un moyen de contact suffit. Le RGPD impose de publier les coordonnees du DPO, pas necessairement son identite nominative. Une adresse de courriel dediee ou un formulaire permet de le joindre tout en preservant sa vie privee. L’essentiel est que toute personne concernee puisse le contacter facilement pour exercer ses droits ou poser une question.
Ou doit figurer le contact du DPO ?
La ou l’information sur les traitements est attendue : politique de confidentialite, mentions du site internet, formulaires de collecte et documents remis aux personnes. En interne, le contact doit aussi etre connu du personnel et des instances. L’objectif est que ni un usager ni un salarie n’ait a chercher longtemps pour joindre le delegue.
La communication a la CNIL est-elle obligatoire ?
Oui. Apres la designation, l’organisme doit communiquer les coordonnees du DPO a la CNIL via son teleservice dedie. Cette declaration alimente l’annuaire public des DPO et permet a l’autorite d’identifier son interlocuteur. Omettre cette etape laisse la designation incomplete au regard du RGPD, meme si un DPO a bien ete nomme en interne.
Que risque-t-on a ne pas publier les coordonnees ?
Un manquement a une obligation de transparence, qui peut etre releve lors d’un controle. Au-dela du risque de sanction, un DPO injoignable empeche les personnes d’exercer leurs droits et prive l’organisme d’un interlocuteur en cas d’incident. La correction est simple et rapide, ce qui rend l’oubli d’autant plus regrettable.
