RSSI et DPO : rôles, différences et collaboration

Le RSSI et le DPO travaillent sur les mêmes données, mais pas pour la même raison : le premier protège le système d'information contre les menaces, le second veille à ce que l'organisme respecte le RGPD et les droits des personnes. Leurs missions se croisent sans cesse (sécurité des traitements, violations de données, analyses d'impact, sous-traitants), ce qui pose deux questions : comment se répartir le travail, et peut-on confier les deux rôles à la même personne ?

Le RSSI, responsable de la sécurité des systèmes d'information, définit et fait appliquer la politique de sécurité, pilote l'analyse de risques, la réponse aux incidents et la continuité. Son objet est le système d'information dans son ensemble : données personnelles, mais aussi secrets industriels, données financières, disponibilité des services. Son poste n'est imposé par aucun texte général, même si NIS 2 et le secteur public supposent une fonction de ce type.

Le DPO, délégué à la protection des données, est une fonction créée par le RGPD (articles 37 à 39). Il informe et conseille l'organisme, contrôle le respect du règlement, rend des avis sur les analyses d'impact et sert de point de contact avec la CNIL. Son objet est la donnée personnelle et les droits des personnes. Il doit être indépendant, ne reçoit pas d'instruction sur ses missions et rend compte au plus haut niveau de la direction.

• La sécurité des traitements (article 32). Le RGPD exige des mesures techniques et organisationnelles adaptées au risque. Le RSSI les conçoit et les met en œuvre ; le DPO vérifie qu'elles sont proportionnées pour les données personnelles.
• La protection des données dès la conception (article 25). Chaque nouveau projet passe devant les deux : le RSSI pour la sécurité, le DPO pour la minimisation, les durées de conservation et l'information des personnes (voir le chapitre privacy by design).
• Les analyses d'impact. L'AIPD est menée par le responsable du traitement, sur avis du DPO ; son volet « risques pour les personnes » s'appuie souvent sur l'analyse de risques du RSSI.
• Les sous-traitants (article 28). Le DPO vérifie les clauses du contrat (voir le chapitre sur l'article 28) ; le RSSI évalue la sécurité réelle du prestataire, par exemple avec un questionnaire de sécurité.
• La journalisation et la surveillance des salariés. Les journaux servent la sécurité mais sont des données personnelles : leur durée de conservation et leur accès se décident à deux.
• La sensibilisation. L'article 39 confie au DPO la formation du personnel aux règles du RGPD ; le programme de sensibilisation à la cybersécurité du RSSI gagne à intégrer ce volet.

La violation de données est le moment où la collaboration se voit. La CNIL a reçu 6 167 notifications en 2025, un record, en hausse de 9,5 % sur un an, dont la moitié liée à un piratage. Pour une entité soumise à NIS 2, deux régimes courent en même temps :

Le cas pratique publié par la CNIL sur une cyberattaque chez un sous-traitant illustre ce partage : le RSSI confirme la fuite et déclenche la procédure d'alerte, le DPO évalue les données touchées et le niveau de risque pour les personnes avant la notification. Le RSSI apporte les faits techniques (périmètre, durée, données exfiltrées) ; le DPO les traduit en risque pour les personnes et en obligations. Les deux tiennent chacun leur registre : dossier d'incident d'un côté (voir ISO 27035), registre des violations exigé par l'article 33, paragraphe 5, de l'autre. Le chapitre du guide NIS 2 sur la notification des incidents détaille le contenu attendu de chaque message.

L'article 38, paragraphe 6, du RGPD autorise le DPO à exercer d'autres missions, à condition qu'elles n'entraînent pas de conflit d'intérêts. Dans l'arrêt X-FAB du 9 février 2023, la Cour de justice a précisé le critère : le DPO ne peut pas occuper une fonction qui le conduit à déterminer les finalités et les moyens d'un traitement. La fiche de la CNIL sur les conflits d'intérêts prend justement l'exemple du RSSI : s'il fixe la durée de conservation des journaux ou propose les mesures de sécurité, il contrôlerait, comme DPO, ses propres décisions. L'appréciation se fait au cas par cas, et c'est à l'organisme de mettre fin au conflit.

Le sujet n'est pas théorique : l'action coordonnée du Comité européen de la protection des données consacrée aux DPO, menée en 2023 par 25 autorités et fondée sur plus de 17 000 réponses, recommande de renforcer leur indépendance et leurs moyens. Les solutions courantes quand les effectifs sont réduits :

• un DPO externe ou mutualisé (groupement, fédération, prestataire), le RSSI restant interne ;
• un RSSI à temps partagé, le DPO étant une personne de la direction juridique ou de la conformité ;
• si le cumul est maintenu, un déport documenté : sur les sujets où le RSSI décide, l'avis du DPO est rendu par une autre personne.

Le chapitre DPO du guide RGPD détaille ces options et les garanties à prévoir.

Trois rituels suffisent souvent : un point mensuel sur les nouveaux projets, les incidents et les prestataires entrants ; une procédure commune de gestion des violations, testée lors d'un exercice ; une revue annuelle conjointe présentée à la direction. La norme ISO 27701 fournit un cadre commun aux deux fonctions, et le risk manager peut les réunir autour de la cartographie des risques.

Pour tenir le registre et mener les analyses d'impact au même endroit que les évaluations de sécurité, le module RGPD de Phinasoft relie les deux démarches ; notre guide RGPD détaille la méthode.