RGPD : Nomination du DPO

Le rôle du délégué à la protection des données

Le DPO sera chargé d’effectuer une mission protéiforme, avec pour objectif de veiller au strict respect du RGPD, selon les dispositions des articles 38 et 39 dudit règlement. Auprès des établissements où il sera désigné, il aura l’obligation légale de conseil et d’information concernant la protection des données à caractère personnel.
Ainsi, sa présence sera nécessaire pour réaliser des audits à la demande d’une entreprise afin d’être en constante conformité avec la réglementation en vigueur. Il sera chargé d’analyser les risques réels ou éventuels et de proposer des solutions en cas de manquements au règlement européen.

De même, dans un souci de bonne gouvernance des données personnelles, il s’avérera indispensable dans les entreprises de mettre en place la cartographie légale des traitements des données. En fonction de la sensibilité des informations recueillies, la présence d’un DPO pourra être indispensable dans cette situation.

Le choix du DPO

Certains organismes ont l’obligation légale d’élire un DPO ; il s’agit notamment des organismes publics et des structures qui, dans leurs activités, font un suivi régulier et automatique des personnes physiques, ou qui traitent des données liées à des sanctions judiciaires.

Sur ce point, l’article 37.5 du règlement européen dispose que le DPO est choisi « sur la base de ses qualités professionnelles et, en particulier de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir [ses] missions ».

Ainsi, il n’est pas expressément indiqué que le délégué soit issu du milieu juridique. Toutefois, la personne sélectionnée pour ce rôle devra rassembler certaines compétences et qualifications.
Dès lors, il faudra qu’elle soit pleinement indépendante afin de ne pas être concernée par un quelconque conflit d’intérêts. Sur ce point, il est important que les fonctions principales du DPO ne rentrent pas dans le cadre de la détermination des objectifs et des procédés de traitement des données personnelles.

Du reste, le futur délégué devra agir en tant qu’expert dans le respect des obligations légales en exerçant ses fonctions avec diligence et responsabilité, comme le veut le principe d’accountability.