DPO – Délégué à la protection des données

Le cadre réglementaire

Le règlement (UE) 2016/679 consacre trois articles au délégué à la protection des données (DPD, ou DPO selon la dénomination anglaise). L’art. 37 fixe les cas dans lesquels la désignation est obligatoire. Ils sont au nombre de trois : autorités et organismes publics ; suivi régulier et systématique des personnes concernées à grande échelle en tant qu’activité de base ; traitement à grande échelle, toujours en tant qu’activité de base, de catégories particulières de données (art. 9) ou de données relatives à des condamnations pénales et à des infractions (art. 10). L’art. 38 définit sa fonction : association en temps utile à toutes les questions relatives aux données personnelles, ressources nécessaires, aucune instruction sur l’exercice de ses missions, interdiction de le relever de ses fonctions ou de le pénaliser pour leur accomplissement, rattachement direct au niveau le plus élevé de la direction, obligation de confidentialité et absence de conflit d’intérêts. L’art. 39 énumère ses missions : informer et conseiller, contrôler le respect du règlement, rendre un avis sur les analyses d’impact, coopérer avec l’autorité de contrôle et faire office de point de contact.

Les coordonnées du DPO doivent être publiées et communiquées au Garante, l’autorité italienne de protection des données, au moyen de la procédure en ligne dédiée ; elles figurent dans les mentions d’information, dans le registre des activités de traitement et dans les notifications de violation. Les lignes directrices WP243 du groupe de travail « article 29 », reprises par l’EDPB, ainsi que les FAQ du Garante précisent les notions de « grande échelle », d’« activités de base » et de « suivi régulier et systématique ». L’art. 37, par. 6, prévoit expressément que le DPO peut être un prestataire externe exerçant ses missions sur la base d’un contrat de services ; lorsqu’il s’agit d’une société, les WP243 recommandent qu’une personne de référence soit désignée pour le client.

Pour l’entreprise, l’enjeu est concret. L’absence de désignation alors qu’elle est obligatoire, ou une désignation purement formelle, avec un DPO privé de ressources ou en situation de conflit d’intérêts, figure parmi les violations passibles d’une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial (art. 83, par. 4). La désignation et la fonction des DPO ont en outre fait l’objet d’une action coordonnée de contrôle des autorités européennes de protection des données.

Notre approche

La désignation du DPO n’est pas une formalité à classer : elle institue une fonction qui doit être présente lorsque l’entreprise prend ses décisions sur les données. Nous construisons donc le service comme un accompagnement continu de la direction et des fonctions opérationnelles, avec un plan d’activité défini au démarrage et revu chaque année.

Chaque intervention est tracée dans un registre des activités du DPO : avis rendus, consultations reçues, contrôles effectués, résultats et actions correctives. C’est l’outil qui permet au responsable du traitement de démontrer, en cas d’inspection ou de réclamation, que la fonction a bien été associée aux décisions et que les choix ont été pesés, même lorsque la direction s’est écartée des recommandations.

Le service réunit des compétences juridiques et techniques. Nous lisons les contrats fournisseurs et les clauses relatives aux transferts, mais nous savons aussi évaluer les journaux d’événements, les configurations et les mesures de sécurité, et dialoguer avec la DSI sans intermédiaire. Lorsque l’entreprise dispose d’un Modèle 231 (le modèle d’organisation prévu par le décret législatif italien 231/2001), relève de la NIS2 (décret législatif italien 138/2024) ou adopte un système de management ISO/IEC 27001:2022, nous coordonnons l’activité du DPO avec ces organes et ces exigences : flux d’information sur les infractions informatiques vers l’Organisme de surveillance (OdV), une seule procédure pour les incidents et les violations, un seul registre des fournisseurs.

Ce qui distingue notre service

• Indépendance réelle : le DPO externe ne dépend pas des hiérarchies internes et son avis reste libre, même lorsqu’il dérange.
• Compétences juridiques et techniques réunies : nous lisons les contrats et les clauses relatives aux transferts, mais nous évaluons aussi les journaux, les configurations et les mesures de sécurité, en dialoguant avec la DSI sans intermédiaire.
• Intégration avec le Modèle 231, NIS2 et ISO/IEC 27001 : nous coordonnons l’activité du DPO avec l’OdV et les systèmes de management déjà en place, avec une seule procédure pour les incidents et les violations et un seul registre des fournisseurs.
• Mesurabilité : plan annuel, registre des activités et rapport à la direction rendent visible ce qui a été fait, ce qui reste à faire et avec quelle priorité.