Guide de mise en œuvre du DPO RGPD : Nommer et opérationnaliser votre délégué à la protection des données

Seules 37 % des organisations tenues de nommer un délégué à la protection des données l'ont fait correctement. Les 63 % restants soit n'en ont pas nommé, ont nommé quelqu'un sans l'indépendance requise ou n'ont pas fourni les ressources adéquates. Une nomination DPD qui n'existe que sur papier n'offre aucune protection lorsque l'autorité de contrôle vient frapper à la porte.

Ce guide couvre le cycle de vie complet de la mise en œuvre d'un DPO : déterminer si vous en avez besoin, sélectionner la bonne personne, définir le rôle et opérationnaliser la fonction pour qu'elle fonctionne réellement.

Points clés à retenir

• La nomination d'un DPO est obligatoire pour les organisations traitant des données personnelles à grande échelle ou traitant des catégories particulières de données
• Le DPO doit être indépendant : il ne peut pas être instruit sur la manière d'accomplir ses tâches et ne peut pas être pénalisé pour l'exercice de son travail.
• Les DPO externes (externalisés) sont valables au titre du RGPD et souvent plus pratiques pour les PME
• L'opérationnalisation du rôle de DPO nécessite des flux de travail documentés pour les DPIA, les demandes des personnes concernées et la notification des violations.

---

Avez-vous besoin d'un DPO ?

Critères de nomination obligatoires (article 37)

Un DPO est requis lorsque :

1. Vous êtes une autorité ou un organisme public (à l'exception des tribunaux agissant en qualité de juge)
2. Vos activités principales nécessitent une surveillance régulière et systématique des personnes concernées à grande échelle (par exemple, suivi comportemental, profilage, suivi de localisation)
3. Vos activités principales impliquent un traitement à grande échelle de catégories particulières de données (santé, biométrie, casier judiciaire, opinions politiques, croyances religieuses)

Matrice de décision

Même lorsqu'elle n'est pas obligatoire, la nomination d'un DPO est fortement recommandée car elle démontre un engagement en faveur de la protection des données.

---

Sélectionner le bon DPO

Qualifications requises (article 37, paragraphe 5)

Le DPO doit avoir :

• Connaissance approfondie de la législation et des pratiques en matière de protection des données --- pas nécessairement un avocat, mais une compréhension approfondie du RGPD et des lois locales pertinentes
• Capacité à remplir les tâches décrites à l'article 39 (voir ci-dessous)
• Disponibilité pour être contacté par les personnes concernées et les autorités de contrôle

DPO interne vs externe

Pour la plupart des PME : Un service DPO externe est plus rentable et offre une véritable indépendance. Veiller à ce que le contrat garantisse la disponibilité pour les réponses aux violations et les demandes des autorités de surveillance.

---

Responsabilités du DPO (article 39)

Tâches principales

1. Informer et conseiller l'organisation et ses employés sur les obligations du RGPD
2. Surveiller la conformité au RGPD et aux politiques internes de protection des données
3. Conseiller sur les DPIA (Data Protection Impact Assessments) et surveiller leur exécution
4. Coopérer avec les autorités de contrôle et agir en tant que point de contact
5. Gérer les demandes des personnes concernées ou superviser le processus

Flux de travail opérationnel

Processus d'évaluation de l'impact sur la protection des données (DPIA) :

Flux de travail de demande de personne concernée :

Request received (email, form, phone)
    |
    v
Identity verification (within 3 days)
    |
    v
Request classification:
  - Access (Art. 15): Provide copy of all personal data
  - Rectification (Art. 16): Correct inaccurate data
  - Erasure (Art. 17): Delete data (if no legal basis to retain)
  - Restriction (Art. 18): Limit processing
  - Portability (Art. 20): Export data in machine-readable format
  - Objection (Art. 21): Stop processing based on legitimate interest
    |
    v
Fulfillment (within 30 days, extendable to 90 for complex requests)
    |
    v
Documentation and closure

---

Structure de reporting

Exigences d'indépendance

Le RGPD impose au DPO :

• Rapporte au plus haut niveau de direction (PDG, conseil d'administration)
• Ne peut pas recevoir d'instructions sur la façon d'effectuer leurs tâches
• Ne peut pas être licencié ou pénalisé pour l'exercice des fonctions de DPO
• Doit être doté de ressources adéquates (budget, personnel, formation, outils)

Organigramme

Board of Directors / CEO
        |
        +--- DPO (direct reporting line)
        |      |
        |      +--- Data Protection Team (if applicable)
        |
        +--- CTO / CIO
        |      |
        |      +--- IT Security (implements controls recommended by DPO)
        |
        +--- COO
        |      |
        |      +--- Business Units (comply with DPO guidance)
        |
        +--- Legal
               |
               +--- Contracts (DPAs reviewed with DPO input)

Conflit d'intérêts

Le DPO ne peut occuper simultanément une fonction déterminant les finalités et les moyens du traitement des données. Les rôles conflictuels incluent :

• PDG, COO, CFO
• Responsable informatique
• Responsable RH
• Responsable du marketing
• General Counsel (débat, mais problématique)

---

Boîte à outils DPO

Documentation requise

Pile technologique

---

Mesurer l'efficacité du DPO

---

Questions fréquemment posées

Le DPO peut-il être tenu personnellement responsable ?

Non. Le rôle du DPO est consultatif. L'organisation (responsable du traitement) est responsable du respect des règles. Toutefois, le DPD peut faire face à des conséquences professionnelles s’il donne des conseils négligents. Une assurance (indemnisation professionnelle) est recommandée pour les DPO internes.

Un DPD peut-il servir plusieurs organisations ?

Oui. L'article 37, paragraphe 2, permet à un groupe d'entreprises de désigner un seul DPD, à condition que celui-ci soit "facilement accessible depuis chaque établissement". Ceci est courant avec les services DPO externes et pour les groupes d’entreprises. Le DPO doit disposer de suffisamment de temps et de ressources pour chaque organisation.

Que se passe-t-il si nous ne nommons pas de DPD lorsque cela est nécessaire ?

Le fait de ne pas désigner un DPD lorsque cela est requis constitue une violation directe du RGPD, passible d'amendes pouvant aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel global. Plus concrètement, l’absence d’un DPD affaiblit votre défense dans toute enquête sur une violation de données – les autorités de contrôle y voient une preuve d’une gouvernance inadéquate.

Comment fonctionne la nomination DPO pour les implémentations Odoo ERP ?

Si votre instance Odoo traite des données personnelles à grande échelle (des centaines d'employés, des milliers de clients dans toute l'UE), vous avez probablement besoin d'un DPO. Le DPO doit être impliqué dans les décisions de configuration d'Odoo : contrôles d'accès par module, automatisation de la conservation des données, configuration de la journalisation d'audit et DPIA pour les modules traitant des catégories spéciales (RH, recrutement). ECOSIRE inclut consultation en gouvernance dans nos services de mise en œuvre Odoo.

---

Ce qui vient ensuite

La nomination du DPO est la première étape. Construisez le programme de gouvernance autour de celui-ci avec confidentialité dès la conception, politiques de conservation des données et gestion de la confidentialité des données des employés. Pour obtenir le cadre de gouvernance complet, consultez notre guide de gouvernance des données.

Contactez ECOSIRE pour des services de conseil en conformité au RGPD et de conseil DPO.

---

Publié par ECOSIRE – aider les entreprises à mettre en œuvre une protection des données qui fonctionne.