DPO : faut-il désigner un délégué à la protection des données ?

Le Délégué à la Protection des Données, ou DPO, veille au respect du RGPD au sein d'une organisation. Sa désignation est obligatoire dans des cas précis fixés par le règlement, et recommandée dans bien d'autres situations, même en l'absence d'obligation légale stricte. La CNIL tient un registre public des DPO désignés, que toute organisation soumise à l'obligation doit lui notifier.

Quand la désignation d'un DPO est-elle obligatoire ?

• L'organisme est une autorité ou un organisme public.
• L'activité de base de l'organisation implique un suivi régulier et systématique des personnes à grande échelle.
• L'activité de base de l'organisation porte sur le traitement à grande échelle de données sensibles (santé, origine raciale, opinions politiques…) ou de données relatives à des condamnations pénales.

Le rôle du DPO

DPO interne ou externe ?

Une PME peut désigner un salarié en interne, à condition qu'il ait les compétences nécessaires et ne soit pas en situation de conflit d'intérêts : un DPO ne peut pas être en même temps le responsable informatique qui décide seul des traitements, par exemple, ce qui exclut de fait cette option dans beaucoup de petites structures où l'IT et la conformité reposent sur la même personne. Le recours à un DPO externe mutualisé règle ce problème, mais représente un coût récurrent à mettre en balance avec le volume réel de traitements à risque : pour une entreprise aux traitements simples, cette dépense peut être disproportionnée par rapport au risque effectif.

Signaux d'un conflit d'intérêts à éviter

• Le DPO pressenti est aussi la personne qui décide seule des moyens et finalités des traitements (souvent le DRH, le directeur marketing ou le responsable informatique).
• Le DPO rapporte hiérarchiquement à une fonction dont il est censé contrôler les pratiques.
• Le DPO cumule ce rôle avec des responsabilités opérationnelles qui l'amènent à arbitrer entre performance commerciale et protection des données.
• Aucune ligne de reporting directe vers la direction générale n'est prévue pour le DPO.

Combien coûte un DPO, interne ou externe

Un DPO externe mutualisé se facture le plus souvent au forfait annuel, proportionné au volume et à la sensibilité des traitements : quelques milliers d'euros par an pour une PME aux traitements simples, jusqu'à plusieurs dizaines de milliers pour une organisation traitant des données de santé à grande échelle. Un DPO interne représente un coût différent, fait de temps dédié (rarement un temps plein dans une PME) et de formation continue, la fonction exigeant une mise à jour régulière des connaissances juridiques et techniques. Comparer les deux options suppose donc d'estimer d'abord le volume réel de traitements à risque, pas seulement l'effectif de l'entreprise.

Les étapes pour désigner et installer un DPO

1. Évaluer si l'organisation entre dans un cas de désignation obligatoire, ou si un référent interne suffirait.
2. Choisir entre DPO interne, externe mutualisé, ou un référent non obligatoire selon le volume et la sensibilité des traitements.
3. Vérifier l'absence de conflit d'intérêts et la ligne de reporting vers la direction.
4. Notifier la désignation à la CNIL, qui l'inscrit à son registre public.
5. Doter le DPO des moyens nécessaires : accès à l'information, budget de formation, autorité pour être consulté en amont de tout nouveau traitement.
6. Communiquer ses coordonnées en interne et dans les mentions légales, pour que les personnes concernées puissent le solliciter directement.

Et si la désignation n'est pas obligatoire ?

Même sans obligation légale, désigner un référent RGPD en interne, formé aux bases du règlement, permet de structurer la conformité et d'éviter que le sujet ne soit traité par personne. C'est souvent une première étape avant, le cas échéant, la désignation d'un DPO à part entière.

Déterminer si l'organisation entre réellement dans un cas de désignation obligatoire évite deux écueils symétriques : se priver d'un DPO alors que le règlement l'impose, ou en désigner un par prudence excessive alors qu'un simple référent interne suffirait largement.