Comment bien choisir son délégué à la protection des données (DPO) ?
Le choix d'un bon DPO n'est pas chose facile. Il n'est pas toujours simple de s'y retrouver et de savoir faire la différence parmi toutes les offres de prestation de service de DPO proposées sur internet. En effet, le choix de son DPO est un choix important et structurant pour votre organisation.
Votre Avocat DPO à Paris vous éclaire sur comment choisir son DPO.
A quoi sert un DPO ?
Rôle du DPO
Le DPO est en charge des aspects liés à la protection des données personnelles au sein de votre organisation. La CNIL le considère comme étant le chef d'orchestre de la conformité à la réglementation applicable en matière de traitement des données personnelles (RGPD).
Missions du DPO
Conformément au RGPD, le DPO a pour missions d'informer et de sensibiliser l'entreprise et ses salariés, de veiller au respect du cadre légal et réglementaire applicable (comme par exemple veiller à la prise en compte et au respect des principes de privacy by design et privacy by default ; veiller à la bonne réalisation d'études d'impact/analyses d'impact sur la vie privée (AIPD ; EIVP) et de pioter ou de procéder à la réalisation d'audits et d'investigations nécessaires ; informer, conseiller, alerter et responsabiliser l'entreprise et faire des recommandations sur les traitements de données personnelles ; coopérer avec l'autorité de contrôle (la CNIL en France) et être son point de contact principal.
Le DPO peut également avoir pour mission l'établissement et le maintien de la documentation au titre de l'Accountability (notamment la tenue du registre des traitements), d'assurer le respect des droits des personnes concernées et d'accomplir toute autre tâche en lien avec la protection des données personnelles au sein de l'entreprise.
Le DPO devra nécessairement disposer des moyens suffisants pour exercer sa mission.
Obligation de désigner un DPO
Le RGPD oblige une organisation à désigner un DPO lorsque celle-ci est une autorité publique ou un organisme public ; lorsque les activités de base de votre organisation comportent des traitements exigeant un suivi régulier et systématique à grande échelle des personnes concernées ; ou enfin lorsque les activités de base de votre organisme comportent des traitements à grande échelle de données sensibles (données de santé, vie sexuelle, convictions religieuses, appartenance syndicale, condamnations ou infractions, origine ethnique ou raciale, appartenance syndicale...)
Lorsque la désignation d'un DPO n'est pas obligatoire au sens du RGPD, elle demeure toutefois fortement conseillée et recommandée à partir du moment où l'organisation procède à un traitement de données personnelles.
La désignation d'un DPO peut aussi être appréhendée comme étant un avantage compétitif et concurrentiel dans le cadre de vos relations avec vos partenaires et clients.
Votre Avocat DPO peut vous renseigner plus en détail sur l'obligation de désigner un DPO.
Choisir son DPO
DPO interne ou DPO externe ?
Le choix d'un DPO interne à l'entreprise (salarié) est une bonne chose à condition que ce dernier dispose des compétences juridiques et techniques nécessaires et qu'il ne soit pas en conflit d'intérêt en raison d'un cumul de fonctions.
La CNIL considère qu'il existe un conflit d'intérêt à partir du moment ou le DPO risquerait d'être amené à déterminer les moyens et les finalités du traitement (CEO, responsable d'un service ou d'un département, DRH, responsable du service informatique, ou toute autre personne à un niveau inférieur qui aurait un rôle actif au sein de l'organisation).
La détermination du conflit d'intérêt pour un DPO s'examine au cas par cas. Votre avocat DPO à Paris peut vous renseigner sur l'opportunité de la désignation de votre DPO en interne.
La CNIL Belge a récemment sanctionné une société à une amende de 50.000€ pour avoir mal choisi son DPO.
Le DPO externe a pour avantage de préserver son indépendance et d'éviter le conflit d'intérêt. Tout comme le DPO interne, il doit impérativement disposer de compétences juridiques et techniques ainsi que d'une bonne connaissance du secteur d'activité de votre organisation.
Barbour Avocat : Avocat DPO
Le fait de choisir comme DPO externe un avocat spécialiste de la protection des données personnelles et du RGPD comporte de nombreux avantages. En effet, ce dernier disposera en principe d'une expertise juridique poussée en matière de protection des données, et saura conseiller votre entreprise sur toutes les problématiques rencontrées en matière de traitement de données personnelles.
Maître Mathilde Barbour, Avocat et DPO à Paris dispose d'une expertise de plus de 6 ans en matière de protection des données à caractère personnel depuis son passage à la CNIL en 2014. Elle dispose d'une connaissance pointue de plusieurs secteurs à savoir notamment : la santé, la communication et le marketing, le recrutement, le tourisme, la logistique le transport et le BTP, les assurances, les associations et fondations, ainsi que toutes les problématiques liées au B2B et B2C de manière générale.
Maître Mathilde Barbour dispose de la certification CNIL des compétences du DPO délivrée par le Groupe AFNOR et est parfaitement en mesure de vous proposer une formule flexible en fonction de vos besoins, de manière à avoir en permanence à vos côtés un professionnel de la protection des données personnelles.