Comment désigner un Dpo ? : le délégué à la protection des données

Dans des conditions spécifiques, le règlement général sur la protection des données (RGPD) impose à un responsable du traitement de nommer un délégué à la protection des données ou un DPO. Quand faut-il nommer un délégué à la protection des données dans votre stratégie commerciale RGPD et comment le faire ?

Nomination d’un DPO : Est-ce obligatoire ?

Bien qu’il soit recommandé de faire appel à un responsable de la protection des données à caractère personnel (et du respect du règlement RGPD) et de la protection générale des données, le délégué à la protection des données n’est obligatoire dans certains cas. Un organisme a besoin d’un délégué à la protection des données dans les cas suivants:

Le traitement (des données à caractère personnel) est effectué par des autorités publiques ou un organisme public, à l’exception des tribunaux et des autorités judiciaires indépendantes.
Le traitement est effectué par des processeurs qui observent régulièrement et systématiquement les « personnes concernées » (résidents de l’UE). à grande échelle.
Le traitement implique des catégories de données « spéciales » spécifiques ( définies dans le RGPD) , également à grande échelle, car le traitement de ces types particuliers de données à caractère personnel fait partie de votre cœur de métier. Les données concernant les crimes et les condamnations sont incluses ici.

Compétences et tâches du délégué à la protection des données

Un problème qui se pose est que le texte ne dit pas ce que signifie exactement «à grande échelle ». Toutefois, on peut dire que vous n’avez pas besoin d’un délégué à la protection des données lorsque vous employez plus de 250 personnes, ni lorsque vous traitez plus de 5 000 enregistrements personnels (même si vous trouverez des ressources ou des présentations l’indiquant). Selon le texte du RGPD, tel que publié au Journal officiel de l’Union européenne, le délégué à la protection des données ou DPO doit:

Avoir une connaissance approfondie de la protection des données, de la loi et des pratiques, y compris le RGPD.
Aider le contrôleur de données ou le processeur de données en contrôlant la conformité interne avec le RGPD (le responsable du traitement et le responsable du traitement doivent également assister le délégué à la protection des données dans l’exercice de ses fonctions).
Etre capable de s’acquitter de leurs tâches et tâches de manière indépendante.

En termes non juridiques: vous n’avez besoin d’un DPO que dans trois circonstances spécifiques. Si vous êtes une organisation relevant d’un ou de plusieurs de ces trois critères, vous pouvez nommer un délégué à la protection des données externe ou désigner un autre membre de votre entreprise. De plus, le DPO n’a pas besoin d’occuper son emploi à temps plein.

Toutefois, lorsqu’ils exercent des fonctions relevant de leur rôle de DPO, ils doivent être en mesure de travailler de manière indépendante, les rapports étant alors directement adressés à la direction. Il existe également une obligation d’enregistrement du DPO auprès du contrôleur européen de la protection des données. Le responsable de la protection des données, le cas échéant, doit également être consulté et impliqué dans le cas d’une analyse d’impact sur la protection des données seraient nécessaire. Enfin et surtout, un délégué à la protection des données peut travailler pour plusieurs organisations, mais il est en même temps le point de contact unique pour les organisations.

Le responsable de la protection des données et le nombre d’employés

Une erreur souvent commise concerne les organisations de moins de 250 employés. Des modifications ont été apportées et le texte publié mentionne ces sociétés à deux reprises. Dans l’introduction : «Pour tenir compte de la situation spécifique des micro, petites et moyennes entreprises, le présent règlement prévoit une dérogation pour les organisations de moins de 250 salariés en ce qui concerne la tenue de registres. En outre, les institutions et organes de l’Union, ainsi que les États membres et leurs autorités de contrôle, sont encouragés à prendre en compte les besoins spécifiques des micro, petites et moyennes entreprises lors de l’application du présent règlement. La notion de micro, petite et moyenne entreprise devrait s’inspirer de l’article 2 de l’annexe de la recommandation 2003/361 / CE de la Commission ». Visitez le site dpo-consulting.fr pour en savoir plus.