DPO – Quel est son rôle ?
Le DPO, Délégué à la protection des données ou Data Protection Officer.
Comprendre son rôle
Si l’on s’en tient à la définition de la CNIL un DPO est chargé de conseiller et d’accompagner les organismes qui le désignent sur conformité au règlement européen sur la protection des données (RGPD)
C’est une bonne définition, mais pour mieux comprendre ce qu’est un DPO, je suis directement allée voir les offres d’emplois, pour étudier quels sont les attentes des organismes, qui recherchent ce type de profil.
Le Profil d’un DPO
Un DPO est avant tout un conseiller, donc il doit avoir une connaissances en droit des nouvelles technologies et/ou protection des données à caractère personnel ainsi que des principes majeurs du RGPD et la loi Informatique et Libertés.
Son rôle est d’assurer la mise à jour de la protection des données, afin d’éviter tout débordement, qui pourrait causer un problèmes juridique.
Mais ce qui le différencie d’un conseiller juridique, c’est aussi sa connaissance du monde digital. Car il doit faire respecter le traitement des données qui proviennent de l’environnement web de son entreprise ( applications, sites internets etc ).
Ses missions principales
- Comprendre ce qu’est un site, où et comment sont récupérer les données, et quels sont les attentes de la CNIL pour respecter la RGPD, tel que validation à chaque formulaire.
- CTA : En savoir plus sur les applications RGPD à mettre en place sur son site
- Savoir quels sont les outils qu’utilise l’organisme, pour traiter et stocker ses données, et quels sont les actions sur ces données.
- Connaître le CMP utilisé et définir quel est le plus adapté aux besoins de l’entreprise, pour qu’ensuite le webmaster ou le développeur web, le configure et le mette en place sur le site.
Pour les petites entreprises, avoir un DPO n’est pas forcément nécessaire. C’est une ressource financière à prendre en compte ( salaire annuel brut d’en moyenne 48 000€ ). Donc, toute compagnie ne peut se le permettre. Mais cela ne veut pas dire qu’elles en on besoin. Chaque entreprise ne traitent pas des milliers de données sensibles, en les stockant dans plusieurs endroits.
C’est pour ça que le webmaster doit avoir une compréhension du risque juridique, et savoir mettre en pratique les mentions et configurations légales sur les sites qu’il gère. Ses missions sont moins complexes, mais il doit pouvoir comprendre ce qu’implique la réglementation pour être en conformité.
D’autres compétences utiles
- compétence en gestion de projet
- Bonne compétences rédactionnelle
- Capacité de négociation et de conduite du changement
- Qualités d’analyse, d’investigation et de synthèse
- Mettre à jour et contrôler les différents traitements du registre.
- Anticiper et mettre en place les plans d’action en cas de violation de données personnelles.
- Contribuer à la mise à jour des clauses « RGPD » dans les contrats.
- Traiter les demandes d’exercice des droits.
- Contribuer à la rédaction de procédures internes relevant de la conformité au RGPD.
- Assister et former les référents RGPD des différentes directions sur le respect des exigences RGPD.
- Assurer une veille réglementaire des lois et réglementations applicables.
En résumé, ce rôle est surtout important dans les grandes entreprises qui traitent des milliers de données chaque jour. Il a une expertise légale spécialisé dans la réglementation générale de la protection des données. Il accompagne les différents services pour conseiller les outils, les notions légales à ajouter. Il est à jour avec la RGPD qui se met régulièrement à jour et qui devient de plus en plus stricte.
Les notions légales à connaître en tant que DPO
Voici quelques lois et notion légale à connaître absolument :
- Système SI
- LIL / Loi Informatique et Libertés
- LCEN La loi pour la confiance dans l’économie numérique n° 2004-575 du 21 juin 2004
- la certification : ISO 27701
Découvrez plus d’information sur le salaire moyen du DPO.
Attention le DPO n’a pas pour rôle de protéger l’entreprise en cas de cyberattaque, c’est le rôle du RSSI responsable de la sécurité des systèmes d’information. En revanche il se doit de mettre en application les mesures nécessaire à la protection des données.
