Un guide de la Cnil sur les délégués à la protection des données

Mi-novembre, la Commission nationale de l’informatique et des libertés (Cnil) a publié un  regroupant les principales connaissances utiles et bonnes pratiques. L’objectif est d’aider les organismes et d’accompagner les DPO déjà en poste. Ce document répond aux principales questions concernant la façon de désigner un(e) délégué(e) à la protection des données et détaille les moyens dont il doit disposer pour accomplir ses missions.

Le rôle du délégué

La fonction de délégué à la protection des données, couramment appelé DPO (Data Protection Officer) est issue du règlement général sur la protection des données (RGPD). Ils sont aujourd’hui 30 000 à l’exercer en France pour 80 000 organismes. Les secteurs de l’administration publique, de l’enseignement et de la santé sont les plus représentés.

Élément crucial de la gouvernance des données personnelles, le DPO informe et conseille le responsable de traitement, contrôle le respect des obligations légales de l’organisme et agit comme point de contact avec la Cnil. Selon la Commission, s’il n’est pas responsable de la conformité de l’organisme, il en est un rouage essentiel, en étant capable d’allier expertise et conseil à toutes les étapes des projets impliquant l’utilisation de données personnelles.

Les obligations des organismes

Autorités publiques et organismes privés dont l’activité de base implique un traitement à grande échelle de données sensibles ou permettant un suivi régulier et systématique de personnes doivent obligatoirement désigner un délégué.

Les organismes doivent veiller à l’absence de conflit d’intérêts. Le DPO ne reçoit pas d’instructions. Il doit être associé en temps utile à toutes les questions relatives aux données personnelles et mis en capacité d’exercer ses missions. Ces exigences peuvent être contrôlées et, si nécessaire, sanctionnées par la Cnil.

Un guide de référence

Avec l’aide de nombreuses associations professionnelles, la Cnil a réparti les principales connaissances utiles sur le DPO en quatre parties : rôle, désignation, exercice de la fonction et accompagnement par la Cnil. Les thématiques sont illustrées par des cas concrets et des outils pratiques, dont un modèle de lettre de mission. La Cnil précise qu’elle a été particulièrement vigilante à apporter des éléments clairs sur la manière de s’assurer que le DPO peut effectuer ses missions en toute indépendance, sans conflit d’intérêts et avec une réelle efficacité pour l’organisme.