Le Délégué à la protection des données (DPD)
Le Délégué à la protection des données (DPD, souvent aussi appelé le DPO (Data protection officer) est la personne chargée de vérifier qu’une personne (publique ou privée) respecte les obligations légales en matière de protection des données personnelles. Ce peut être une personne travaillant en interne dans la structure (un salarié de l’entreprise ou un agent public travaillant pour la personne morale de droit public) ou une personne extérieure (agissant dans ce cas dans le cadre d’une prestation de services facturée).¹

Le DPD a été institué par le Règlement général sur la protection des données (RGPD)² : il remplace depuis le 25 mai 2018 l’ancien Correspondant informatique et libertés (CIL).

Alors qu’auparavant la désignation d’un CIL était facultative (dans le secteur public ou dans le secteur privé), il est obligatoire depuis le 25 mai 2018 de nommer un Délégué à la protection des données (DPD) dans chacun des cas suivants :

• dans tout organisme du secteur public ;
  
• dans tout organisme, public ou privé, dont l’activité nécessite d’effectuer un suivi régulier, systématique et à grande échelle de données personnelles ;
• dans tout organisme, public ou privé, dont l’activité nécessite de traiter, à grande échelle, des données sensibles (aussi appelées “catégories particulières de données”) et des données relatives à des condamnations pénales.

Le DPD est a priori désigné pour exercer ses missions dans un seul établissement public ; toutefois, un DPD peut être mutualisé entre plusieurs établissements publics, si la taille et la structure organisationnelle de ces établissements s’y prêtent.³

Le DPD est nommé par le responsable du traitement (sur la notion de responsable de traitement de données personnelles, voir le billet  “Le point sur les données à caractère personnel“). La personne pressentie pour cette fonction doit avoir des “connaissances spécialisées du droit et des pratiques en matière de protection des données” et une “capacité à accomplir les missions” d’information, de conseil et de contrôle.⁴ Que ce soit une personne appartenant à l’effectif de la structure ou un prestataire extérieur, le DPD ne doit pas exercer par ailleurs une mission qui entrerait en conflit d’intérêt avec sa mission de DPD.

Ce DPD est concrètement en charge de la conformité des traitements au RGPD :

• le DPD conseille le(s) responsable(s) de traitement et les employés, sur les règles à respecter : vérifier la licéité du traitement et respecter les six principes généraux (de loyauté, de limitation des finalités, de minimisation, d’exactitude, de durée de conservation, d’intégrité et confidentialité : voir le billet  “Le point sur les données à caractère personnel“) ;
  
• le DPD s’assure que les traitements sont effectués en conformité avec le RGPD ; en pratique, c’est le DPD qui établira le registre des traitements effectués dans la structure et qui tiendra à jour ce registre ;
• le DPD s’assure que le personnel est formé et sensibilisé à la protection des données personnelles ;
  
• le DPD évalue quels sont les traitements à risque nécessitant de mener une analyse d’impact relative à la protection des données (AIPD).⁵ Si une telle analyse d’impact est nécessaire, c’est le DPD qui la mènera ou la validera, ou qui participera à sa rédaction ou, au moins, donnera son avis sur cette AIPD ;
  
• le DPD contrôlera comment sont réparties les responsabilités entre le responsable de traitement et d’éventuels sous-traitants ;
  
• le DPD coopère avec la CNIL : il répondra aux demandes de la CNIL, et peut obtenir des conseils de la CNIL ;
  
• enfin, le DPD voit ses coordonnées publiées : c’est lui que contactera toute personne concernée souhaitant exercer son droit d’accès, de rectification ou d’opposition.⁶
  

Le DPD ne peut pas être poursuivi dans le cas où les règles de protection des données personnelles n’auraient pas été respectées par l’établissement : c’est le responsable du traitement qui assume seul cette responsabilité en cas de violation des données personnelles. Par ailleurs, le responsable de traitement ne peut pas pénaliser le DPD ni lui donner des instructions concernant l’exercice de ses missions ; le DPD rend compte “au niveau le plus élevé de la direction du responsable du traitement”⁷

La CNIL

La Commission nationale Informatique et libertés (CNIL) est l’autorité administrative indépendante chargée de vérifier que le RGPD et la loi française du 6 janvier 1978 Informatique et libertés, sont respectées.

Le Délégué à la protection des données n’a pas à informer la CNIL des traitements de données effectués dans la structure. Il peut toutefois être amené à contacter la CNIL :

• dans tous les cas, s’il a besoin d’un conseil de la CNIL ;
• si la CNIL le contacte pour obtenir des précisions sur un traitement de données ;
• si l’analyse d’impact sur la protection des données, qui a été menée en interne, indique qu’il reste un risque élevé d’atteinte aux droits et libertés des personnes⁸ ;
  
• ou si une violation de données personnelles a été constatée (le responsable du traitement en avertit la CNIL dans les meilleurs délais et au plus tard dans les 72 heures)⁹.

Bibliographie :

• Désigner un Délégué à la protection des données (DPD) (consignes et conseils de la CNIL).
• Le Délégué à la protection des données (page du CNRS).
• Liste des traitements de données personnelles nécessitant une analyse d’impact (liste établie par la CNIL, 6 octobre 2018).
• L’analyse d’impact relative à la protection des données (AIPD) (conseils et guide de la CNIL sur quand et comment mener une analyse d’impact).
• Règlement général du 27 avril 2016 sur la protection des données.
  

Crédit graphisme : Source CNIL (datavisualisation du RGPD, https://www.cnil.fr/fr/reglement-europeen-protection-donnees/dataviz#), licence CC BY NC SA 3.0.

1. RGPD, article 37. [↩]
2. Sur les missions et la désignation du DPD, voir les articles 37, 38 et 39 du Règlement général sur la protection des données. [↩]
3. RGPD, article 37. [↩]
4. RGPD, article 39. [↩]
5. Sur l’AIPD, voir la page explicative de la CNIL. [↩]
6. Sur ces droits des personnes concernées, voir la page explicative de la CNIL : https://www.cnil.fr/fr/les-droits-pour-maitriser-vos-donnees-personnelles/. [↩]
7. RGPD, article 38. [↩]
8. RGPD, article 36. [↩]
9. RGPD, article 33. [↩]

---

---