Data Protection Officer (DPO)

C’est une fonction créée par la directive européenne de 2016. Elle s’impose à toutes les sociétés manipulant des données privées sensibles ainsi qu’à toutes les collectivités territoriales sans exception (voir la page sur le site de la CNIL consacré aux collectivités locales).

Selon la taille de l’entreprise ou de l’organisme (les associations sont également concernées dès l’instant où elles manipulent des données privées), un Data Protection Officer devra être nommé. Celui-ci pourra être propre à l’entreprise dans le cadre des entreprises pouvant se le permettre ou bien partagé si les entreprises concernées sont plus modestes. Le DPO a pour rôle de s’assurer que son entreprise ou les entreprises pour lesquelles il travaille respectent la législation concernant la protection des données. Ainsi, il possède une fonction transversale qui l’oblige à travailler avec les départements RH, commerciaux, achats et les systèmes d’informations.

Le DPO doit pouvoir exercer sa fonction en toute indépendance et avoir son propre budget lui permettant de mener à bien sa mission. Il travaille en toute indépendance et en toute objectivité, il est le réel garant de la sécurité des données personnelles dans l’entreprise.

Selon la CNIL, le DPO a 4 missions précises :

• Informer et conseiller le responsable de traitement ou le sous-traitant, ainsi que leurs employés ;
• Contrôler le respect du règlement et du droit national en matière de protection des données ;
• Conseiller l’organisme sur la réalisation d’une analyse d’impact relative à la protection des données et d’en vérifier l’exécution ;
• Coopérer avec l’autorité de contrôle et d’être le point de contact de celle-ci.