DPO, l'œil de la CNIL ?

ZD Tech : tout comprendre en moins de 3 minutes avec ZDNet

Bonjour à tous et bienvenue dans le ZD Tech, le podcast quotidien de la rédaction de ZDNet. Je m’appelle Louis Adam et aujourd’hui je vais vous expliquer pourquoi les entreprises se dotent d’un Data Protection Officer.

L’entrée en application du RGPD (règlement général sur la protection des données) en 2018 a changé la donne pour le traitement des données personnelles en Europe.

Pour les organisations dont c’est le cœur d’activité, cela s’est notamment traduit par l’apparition d’un nouveau rôle : celui de Data Protection Officer, délégué à la protection des données, ou DPO pour les intimes. Le sigle anglais sonne étrangement mieux que son équivalent français et c’est donc le terme le plus souvent utilisé.

La fonction de DPO vise à remplir plusieurs missions fixées par le RGPD : il est par exemple chargé de conseiller l’entreprise sur les obligations en matière de traitement des données et de contrôler le respect de la réglementation. Il est aussi le point de contact privilégié des autorités de protection des données – en France la CNIL – avec l’entreprise. Si la CNIL s’intéresse à votre organisation, le DPO sera probablement le premier à être au courant.

En France, l’ancêtre du DPO était le correspondant informatique et libertés, qui assurait des missions plus ou moins similaires depuis 2004. Mais ce rôle n’était pas obligatoire. Avec l’arrivée du RGPD, plusieurs catégories d’entreprises sont obligées de se doter d’un DPO : c’est notamment le cas des organismes publics, mais aussi les entreprises dont l’activité consiste à suivre des personnes à grande échelle ou certains types de données jugées sensibles.

Le caractère obligatoire de cette fonction a donc forcé les entreprises à nommer des DPO et à trouver des solutions pour remplir leurs obligations sans forcément embaucher des hordes de juristes spécialisés.

Selon la CNIL, on dénombre près de 29 000 DPO en 2021, contre environ 21 000 en 2018. C’est donc une belle progression, mais il faut se pencher sur le détail pour mieux comprendre ce que cela représente.

La plupart des DPO sont des salariés de l’entreprise, qui assurent parfois cette fonction aux côtés d’autres responsabilités. On voit aussi des postes DPO mutualisés entre plusieurs organisations, ou encore des DPO externes, qui agissent comme prestataires pour assumer ce rôle dans plusieurs organisations.

Tous les moyens sont donc bons pour se doter d’un délégué à la protection des données, mais cela ne signifie que tout va bien dans le meilleur des mondes.

Dans une récente enquête de l’AFPA, l’agence nationale pour la formation professionnelle des adultes, relève ainsi que plus d’un tiers des DPO sondés n’ont reçu aucune formation concernant le RGPD ou la loi informatique et libertés.

Et ce, alors que plus en plus des employés qui assument ce rôle ne sont ni juristes ni informaticiens.

Ce manque de formation interroge, alors que les amendes infligées par la CNIL pour non-respect de la réglementation sur les données personnelles se multiplient et deviennent conséquentes. L’autorité rappelle que les entreprises ont également pour obligation de former leurs DPO.