DPO (délégué à la protection des données)

DPO (délégué à la protection des données) : les enjeux pour la PME

L’article 37 du RGPD rend la désignation obligatoire dans trois cas : une autorité ou un organisme public ; des activités de base impliquant un suivi régulier et systématique des personnes à grande échelle ; des activités de base portant sur un traitement à grande échelle de données sensibles ou de données pénales. Le critère est l’activité de base, pas l’effectif. Le guide du sous-traitant de la CNIL cite un prestataire d’analyse web qui travaille pour de nombreux clients : lui doit désigner un DPO, la petite enseigne qui fait appel à lui n’y est pas tenue. Même raisonnement pour un service externe de médecine du travail qui suit de nombreuses entreprises du Tarn.

Hors de ces cas, la CNIL recommande la désignation, que le Comité européen de la protection des données encourage. Le DPO peut être interne ou externe et, sous conditions, mutualisé entre plusieurs organismes. Il est désigné en ligne auprès de la CNIL, et ses coordonnées doivent être publiées. Aucun diplôme n’est exigé : l’article 37 retient ses qualités professionnelles et ses connaissances du droit et des pratiques de protection des données.

L’article 39 fixe ses missions : informer et conseiller l’entreprise et ses salariés, contrôler le respect du règlement, conseiller sur l’analyse d’impact et coopérer avec la CNIL. L’article 38 garantit son indépendance : il ne reçoit aucune instruction sur ses missions, ne peut être sanctionné pour les avoir exercées, rend compte au plus haut niveau de la direction et ne doit pas se trouver en conflit d’intérêts avec ses autres fonctions. Selon la CNIL, il n’est pas personnellement responsable d’une non-conformité : l’entreprise, en tant que responsable de traitement, le reste.

Avant de décider, posez trois questions. Notre activité de base suppose-t-elle un suivi des personnes ou des données sensibles à grande échelle ? Qui sera associé, en temps utile, à chaque nouvel outil d’IA manipulant des données ? Cette personne a-t-elle le temps et l’indépendance nécessaires ? Cette fiche est une information générale, à compléter par l’avis d’un conseil.

Exemple

Un négociant en matériaux de 60 salariés compte 4 000 clients professionnels. Son activité de base est la vente : pas de suivi des personnes à grande échelle, pas de données sensibles. Il n’est donc pas tenu de désigner un DPO, mais confie le sujet à sa directrice administrative, une demi-journée par semaine. En six mois, elle établit un registre de 9 traitements, traite 2 demandes d’accès en 12 et 20 jours et rend un avis écrit avant le déploiement d’un assistant d’IA pour le service client.