DPO : le rôle du délégué à la protection des données

Le délégué à la protection des données, couramment appelé DPO (de l'anglais data protection officer), est la personne chargée de piloter la conformité au RGPD au sein d'un organisme. Il a succédé au correspondant informatique et libertés (CIL), une fonction facultative qui existait en France avant 2018, avec un rôle plus large et un statut protégé par le règlement lui-même.

Le DPO n'est pas le responsable de la conformité au sens juridique. La Commission nationale de l'informatique et des libertés (CNIL) le rappelle : c'est le responsable du traitement ou le sous-traitant qui répond des manquements, et cette responsabilité ne peut pas être transférée au DPO par délégation. Le délégué éclaire les décisions, vérifie qu'elles sont appliquées et alerte quand elles ne le sont pas.

Ses règles tiennent en trois articles du chapitre IV du RGPD : l'article 37 pour la désignation, l'article 38 pour la fonction (positionnement, moyens, indépendance) et l'article 39 pour les missions.

L'article 37, paragraphe 1, impose la désignation d'un DPO, au responsable du traitement comme au sous-traitant, dans trois cas :

1. le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions dans l'exercice de leur fonction juridictionnelle ;
2. les activités de base de l'organisme consistent en des traitements qui exigent un suivi régulier et systématique des personnes à grande échelle ;
3. les activités de base consistent en un traitement à grande échelle de données sensibles (santé, données génétiques ou biométriques, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle…) ou de données relatives aux condamnations pénales et aux infractions.

Comment lire « activités de base » et « grande échelle » ?

Les activités de base sont celles qui servent directement la mission principale de l'organisme, et non ses fonctions support. Un hôpital ne peut pas soigner sans traiter des données de santé : ce traitement fait partie de ses activités de base. La paie de ses agents, en revanche, est une activité support.

La notion de grande échelle n'a pas de seuil chiffré. La CNIL, reprenant les lignes directrices du groupe de travail « Article 29 » (G29), retient quatre critères : le nombre de personnes concernées, en valeur absolue ou par rapport à la population visée ; le volume et la nature des données ; la durée ou la permanence du traitement ; son étendue géographique. Elle cite parmi les exemples l'hôpital qui traite les données de ses patients dans son activité courante, les données clients d'une banque ou d'un assureur, ou les données de trafic d'un opérateur télécom. À l'inverse, un médecin ou un avocat qui exerce seul n'est pas concerné.

Le suivi régulier et systématique recouvre toutes les formes de suivi et de profilage en ligne ou hors ligne : programmes de fidélité, publicité ciblée, objets connectés, géolocalisation, vidéoprotection… En dehors de ces trois cas, la désignation reste facultative, mais le Comité européen de la protection des données (CEPD) l'encourage.

Le DPO est désigné sur la base de ses qualités professionnelles, en particulier de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir ses missions (article 37, paragraphe 5). Le niveau d'expertise attendu dépend de la sensibilité et du volume des traitements : un DPO d'hôpital doit connaître les règles propres aux données de santé.

Il n'existe pas de profil type. La CNIL cite une étude de 2020 selon laquelle environ 28 % des DPO avaient un profil informatique, 28 % un profil juridique et 43 % venaient d'autres horizons (administration, finance, conformité, audit). Ce qui compte : comprendre le droit, connaître les systèmes d'information et savoir convaincre les métiers.

L'article 37, paragraphe 7, impose deux formalités : publier les coordonnées du DPO (par exemple dans les mentions d'information et sur le site internet) et les communiquer à l'autorité de contrôle. En France, la désignation, le remplacement ou la fin de mission passent exclusivement par le téléservice de la CNIL, qui propose trois démarches :

• désigner un DPO, pour une première désignation ou après la fin d'une mission ;
• mettre fin à la désignation ou remplacer le DPO, quand la personne change ;
• mettre à jour la désignation, quand seules les coordonnées de l'organisme ou du DPO changent.

Les démarches de modification demandent le numéro de désignation attribué par la CNIL (de la forme DPO-xxx) et le numéro SIREN de l'organisme. Avant de désigner, la CNIL invite à vérifier trois points : les compétences de la personne, ses moyens (temps, ressources, accès à l'information) et son indépendance.

L'article 39 fixe un socle minimal de missions. L'organisme peut en confier d'autres au DPO, à condition qu'elles ne créent pas de conflit d'intérêts.

Dans l'exercice de ces missions, le DPO tient compte du risque associé à chaque traitement, compte tenu de sa nature, de sa portée, de son contexte et de ses finalités. Autrement dit, il hiérarchise : le dossier patient informatisé mérite plus d'attention que l'annuaire interne.

Chaque année, de nombreux DPO rédigent un rapport d'activité destiné à la direction ; la CNIL propose des repères pour le construire. C'est l'occasion de présenter l'état du registre, les analyses d'impact menées, les violations survenues et les chantiers prioritaires.

Un DPO sans moyens ni indépendance ne protège personne. L'article 38 impose donc à l'organisme plusieurs garanties :

• l'associer de manière appropriée et en temps utile à toutes les questions de protection des données, et pas seulement une fois le projet terminé ;
• lui fournir les ressources nécessaires (temps, budget, équipe, formation) et l'accès aux données et aux traitements ;
• ne lui donner aucune instruction sur l'exercice de ses missions ;
• ne pas le relever de ses fonctions ni le sanctionner pour l'exercice de ses missions ;
• le faire rendre compte directement au plus haut niveau de la direction ;
• le soumettre au secret professionnel ou à une obligation de confidentialité.

La CNIL précise que le DPO n'est pas un salarié protégé au sens du droit du travail français : son contrat peut prendre fin pour un motif sans rapport avec ses missions (une faute grave, par exemple). La Cour de justice de l'Union européenne a jugé en février 2023 (arrêt X-FAB Dresden, affaire C-453/21) qu'un État membre peut prévoir une protection plus forte contre le licenciement, tant qu'elle reste compatible avec les objectifs du règlement.

L'article 38, paragraphe 6, autorise le DPO à exercer d'autres missions, à condition qu'elles n'entraînent pas de conflit d'intérêts. Le critère retenu par la CNIL et par la Cour de justice dans l'arrêt X-FAB : le DPO ne doit pas occuper une fonction qui le conduit à déterminer les finalités ou les moyens d'un traitement, puisqu'il devrait ensuite contrôler ses propres décisions. L'appréciation se fait au cas par cas.

Si un conflit apparaît, l'organisme doit y mettre fin : remplacer le DPO, lui retirer la mission qui pose problème, ou organiser un déport effectif vers un DPO suppléant pour le périmètre concerné, sans lien hiérarchique entre les deux et avec les mêmes garanties d'indépendance. Le suppléant n'a pas à être désigné auprès de la CNIL, qui ne dialogue qu'avec le DPO désigné.