DPO : le délégué à la protection des données

Le DPO occupe une place centrale dans la gouvernance RGPD présentée sur notre pilier RGPD & conformité des données. Cette page détaille son rôle, son statut et son coût pour une PME.

Qu'est-ce qu'un DPO et son rôle

Le délégué à la protection des données (DPO) est chargé de veiller au respect du RGPD au sein de l'organisation : il conseille la direction, sensibilise et forme les équipes, répond aux demandes des personnes concernées, et fait l'interface avec la CNIL en cas de contrôle ou de plainte. Son rôle est consultatif et de contrôle interne plutôt que décisionnel : c'est la direction de l'entreprise qui reste responsable des décisions finales en matière de traitement des données, le DPO éclairant ces décisions de son expertise réglementaire.

Une entreprise est-elle obligée d'en désigner un

La désignation d'un DPO est obligatoire pour certaines catégories d'entreprises, notamment celles dont l'activité de base implique un suivi régulier et systématique des personnes à grande échelle, ou le traitement à grande échelle de données sensibles (santé, données biométriques). En dehors de ces cas, la désignation reste une bonne pratique fortement recommandée, même sans obligation légale stricte, tant elle structure utilement la démarche de conformité de l'entreprise.

DPO interne ou externalisé mutualisé

Une entreprise peut désigner un DPO interne, un salarié qui cumule cette mission avec d'autres fonctions, ou faire appel à un DPO externe mutualisé entre plusieurs entreprises clientes d'un même prestataire spécialisé. Le DPO externalisé, dont le coût pour une PME reste généralement modéré et proportionné au temps réellement mobilisé chaque mois, permet d'accéder à une expertise réglementaire pointue sans le coût d'un poste dédié à temps plein, une solution particulièrement adaptée aux structures de taille moyenne. Ce DPO externe travaille en coordination étroite avec le prestataire informatique de l'entreprise, notamment pour les aspects techniques de sécurisation des données qui relèvent davantage de ce dernier.

Responsabilité du DPO

Le DPO n'est pas personnellement responsable en cas de manquement au RGPD constaté dans l'entreprise : cette responsabilité reste celle de l'entreprise elle-même, en tant que responsable de traitement. Le DPO a une obligation de moyens — conseiller, alerter, documenter ses recommandations — mais ne peut être tenu pour responsable si ses préconisations n'ont pas été suivies par la direction, ce qui souligne l'importance de formaliser par écrit ses alertes et recommandations pour se prémunir de toute ambiguïté ultérieure sur ce point.

Voir aussi

Cette page complète le pilier RGPD & conformité des données. Voir aussi l'accompagnement à la mise en conformité pour la démarche complète.