Le Délégué à la Protection des Données (DPD), ou Data Protection Officer (DPO), joue un rôle majeur dans l’application et la mise en pratique du RGPD. Au cœur de la réglementation, le DPO dispose de connaissances précises sur les aspects techniques et les aspects juridiques des traitements de données personnelles. Sa maîtrise de la réglementation lui permet ainsi d’accompagner l’organisme auquel il est rattaché dans sa mise en conformité. Agissant tel un chef d’orchestre, il met en évidence les écarts au RGPD et propose des actions en conséquence. Si sa nomination n’est pas obligatoire, mais elle reste néanmoins fortement recommandée par la CNIL.
Les organismes ont la possibilité de recourir à un DPO interne à l’organisme ou un DPO externe. Si chacune de ces solutions présentent des avantages importants, le choix dépend également des besoins, des ressources et de la situation de l’organisme.
Quels sont les avantages et limites du DPO interne ?
Le choix du DPO interne présente deux conditions majeures, à savoir sa connaissance de l’organisme et sa disponibilité. Toutefois, celui-ci connaît des limites pouvant être compensées par un DPO externe.
Inclusion
Le DPO interne étant immergé au sein de l’organisme, il dispose, ou acquiert, une connaissance non négligeable sur les activités de l’organisme, son environnement et son organisation. Il agit alors comme un DPO sur mesure.
Disponibilité
Le DPO interne étant sur site, il se trouve à portée de communication, améliorant ainsi sa réactivité en cas d’urgence. Cette disponibilité est d’autant plus importante s’agissant des organismes réalisant des traitements de données personnelles sensibles, afin de répondre aux besoins de mise en conformité ou en cas de violation de données personnelles.
Le DPO interne présente cependant certains inconvénients.
Coût
Le recours à un DPO interne implique plusieurs coût, à savoir le paiement du salaire, les formations potentielles et nécessaires, ou encore les ressources suffisantes afin de lui
permettre de réaliser ses missions. Cela peut ainsi faire peser un coût important sur l’organisme, contrairement au DPO externe comme Accens Services, dont le coût se limite à la prestation choisie par l’organisme.
Conflit d’intérêt
Le DPO interne lorsqu’il travaille à temps partiel, peut être amené à cumuler sa fonction de DPO avec une autre fonction au sein de l’organisme, ce qui peut avoir pour conséquence un conflit d’intérêt. Cette situation peut survenir dès lors que la seconde fonction constitue une fonction décisionnelle ou une fonction supposant la détermination des finalités ou des moyens du traitement. Le cas échéant, le DPO interne peut être amené à se prononcer sur un traitement de données personnelles dont il aurait lui-même déterminé les finalités et les moyens. Or, Comme le précise la CNIL, le DPO ne peut être « juge et partie ». Ainsi, à titre d’exemple, ne peut être DPO interne le directeur général, le responsable des ressources humaines ou encore le responsable du service informatique (plus d’information ici : Dans quel cas peut-il exister un conflit d’intérêts ?).
Rupture de continuité
Lorsque le DPO interne est seul et qu’il quitte l’organisme, il doit être remplacé au plus vite afin d’éviter toute rupture dans la mise en conformité à la réglementation en vigueur. Ce remplacement est d’autant plus important pour l’organisme afin de prévenir toute violation de données personnelles ou, si celle-ci survient, afin de savoir comment réagir.
