La figure du DPD : qu'est-ce que c'est et pourquoi est-ce important pour l'entreprise?

La figure du DPD : qu'est-ce que c'est et pourquoi est-ce important pour l'entreprise ?

Actuellement, la protection des données est devenue une question de grande importance. La préoccupation de la population en la matière est plus qu'évidente, c'est-à-dire, personne ne souhaite que ses données soient suivies sans son consentement ou qu'elles soient utilisées à mauvais escient. Tout cela a amené l'UE et tous les pays membres à prendre des mesures dans ce domaine et à légiférer sur la protection de ces données.

Depuis l'entrée en vigueur du règlement général sur la protection des données (ci-après, RGPD), de nombreuses nouveautés sont introduites dans la protection des données et un nouveau système a été créé visant à donner une sécurité supplémentaire à nos données personnelles.

Comme de nouvelles fonctionnalités plus notables :

L'introduction du concept de "principe de responsabilité proactive", c'est-à-dire que le responsable du traitement des données, comme les entreprises ou les organismes publics, a le devoir de mettre en œuvre les mesures techniques et organisationnelles nécessaires pour assurer le respect de la réglementation, et aussi, de faire comprendre aux personnes concernées et aux autorités que les mesures sont contrôlées. Ce principe est configuré comme " l’âme" du RGPD.
Un autre champ à adapter au RGPD sont les mesures de sécurité telles que les analyses d'impact, l'enregistrement des activités de traitement, etc....
En outre, la figure du délégué à la protection des données (ci-après, le DPD ou DPO dans son acronyme en Anglais, Data Protection Officer) a été introduite en tant que nouveauté.

Nous allons analyser l'importance du DPD, mais... Qui est le DPD ? Quelles sont ses fonctions ? Est-il obligatoire ? Peut-il être externalisé ? Tout au long de cet article, nous allons donner des réponses aux questions précédentes et, en outre, d'autres questions d'intérêt.

Les fonctions du DPD

Il s'agit de contrôler le respect de toutes les réglementations en matière de protection des données dans les organisations ou institutions, qui, en tout cas, doivent être indépendantes et expertes en la matière. Ses fonctions peuvent être délimitées parmi les suivantes :

Informer et conseiller : à le « Responsable du traitement » ou le « sous-traitant » sur les obligations imposées par le RGPD.

Supervision : le DPD devra définir les politiques dans les entreprises, de sensibiliser et de former le personnel.

Performance : le DPD est l'intermédiaire entre les personnes concernées et l'autorité de contrôle (CNIL) pour toutes les questions relatives au traitement des données.

Coopération : La fonction essentielle du DPD est de coopérer et de servir d'intermédiaire entre les personnes concernées et l'autorité de contrôle (CNIL).

Il semble évident qu'il joue un rôle important dans toutes les organisations, c'est pour ça que le RGPD lui confère des caractéristiques uniques. Par exemple, le DPD peut être une personne physique (personne ayant des connaissances en matière de protection des données) ou une personne morale, il peut donc être confié à l'entité ou à l'organisation qui le supervise. Ils peuvent également exercer d'autres fonctions au sein des entreprises, mais un conflit d'intérêts doit être évité.

Un DPD est-il obligatoire dans mon entreprise ?

Comme nous l'avons vu, la figure du DPD est essentielle dans les organisations, mais... Quand est-il obligatoire d'avoir un DPD?

Pour résoudre cette question, le RGPD nous donne la réponse, parce qu’il établit des lignes génériques lorsqu'il s'agit de nommer un DPD ou DPO:

Lorsque les traitements sont effectués par une autorité publique, à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle.

Lorsque les activités principales du responsable du traitement ou du sous-traitant consistent à traiter à grande échelle des catégories particulières de données. Cette catégorie de données concerne les données relatives à l'origine raciale ou ethnique, aux opinions politiques, à l'appartenance syndicale, au traitement des données génétiques ou des données biométriques destinées à identifier une personne physique, OU encore, données concernant la santé ou la vie sexuelle... et aux condamnations pénales et infractions.

Les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à " grande échelle " des personnes concernées.

Lorsque nous parlons d’observation « régulier et systématique à grande échelle », il y a une certaine confusion, car le RGPD ne définit pas ce qu'est un traitement à grande échelle et n'établit pas de chiffres spécifiques.

L'observation: Régulier et systématique á grande échelle

Mais... le DPD peut être interne ou externe ?

La loi est très claire sur ce point: vous pouvez désigner ou recruter un DPO en interne, ou bien externaliser cette fonction à un expert.

En règle générale, les petites et moyennes entreprises (les PME) externalisent ce service, pour diverses raisons : principalement pour des raisons budgétaires, mais aussi parce qu'il ne semble pas raisonnable de consacrer le temps d'une personne non experte dans le domaine de la protection des données à l'exécution de ces fonctions.

Pourquoi avoir un DPD ?

Tout au long de cet article, nous avons essayé de montrer l'importance de la figure du DPD dans les organisations. Il convient de souligner trois points essentiels :

Il est très important que les organisations se conforment aux réglementations nationales et européennes en matière de protection des données. Les sanctions ont tendance à augmenter et, de plus en plus, la population se préoccupe de la protection de ses données personnelles. Les sanctions financières susceptibles d’être prononcées contre les entreprises sont : jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires mondial.

L'importance d'avoir un DPD dans votre organisation, même si ce n'est pas obligatoire, car, dans ce cas, il est considéré comme une mesure de "responsabilité proactive". Le monde de la protection des données est en constante évolution, de sorte que les paramètres de l'obligation d'avoir un DPD seront de plus en plus établis, mais s'adapter et prévenir est, sans aucun doute, la meilleure option.