SAVOIR COMMENT FAIRE POUR ETRE EN ORDRE AVEC LE RGPD N’EST PAS TOUJOURS SIMPLE ET ÉVIDENT. VOYONS COMMENT TRAVERSER LA PREMIÈRE ETAPE : LA DÉSIGNATION DU DPO.
Dans un précédent article (vous pouvez le lire en cliquant ICI), j’abordais avec vous la nécessité ou non de désigner un délégué à la protection des données pour votre entreprise. Si vous avez pris cette décision, voyons comment faire ?
UN DPO POUR QUOI FAIRE ?
La Data Protection Officer, ou délégué à la protection des données en français, a essentiellement pour fonction d’être responsable. Cette responsabilité porte sur plusieurs niveaux :
- Il est la personne de contact pour toutes les questions relatives aux données personnelles, que ce soit dans l’entreprise ou pour des personnes extérieures.
- Il est soumis au secret professionnel, et à une obligation de confidentialité.
Le DPO a pour mission d’informer, de conseiller et de contrôler le respect du Règlement Général sur la Protection des Données (RGPD) au sein de l’entreprise.
En cas de contrôle, c’est à lui de servir d’interface avec l’autorité. A ce moment, il a un rôle de premier plan.
Il faut également savoir que le DPO peut avoir d’autres fonctions dans l’entreprise.
INTERNE OU EXTERNE ?
Le premier point à mettre en évidence est que vous n’avez aucune obligation dans un sens ou un autre.
Vous pouvez faire appel à un prestataire externe, désigner un de vos collaborateurs ou encore prendre vous-même cette fonction.
Dans tous les cas, si la réglementation n’impose pas un schéma type, elle indique toutefois plusieurs qualités professionnelles à l’exercice de cette fonction de DPO :
- Connaissance spécialisée du droit et des pratiques en matière de protection des données.
Il est donc nécessaire que le délégué à la protection des données puisse démontrer cette connaissance, sans qu’il soit nécessaire juriste ou avocat (bien qu’il soit probable que ce soit ce type de profil qui se dégage avec le temps pour cette nouvelle profession).
- Avoir la capacité à accomplir les missions d’information, de conseil et de contrôle.
Cette capacité implique d’avoir une connaissance approfondie de l’entreprise et de son fonctionnement particulier.
AVANTAGES ET INCONVENIENTS
Le tableau ci-dessous montre quelques réflexions à avoir lorsque vous hésitez sur la ligne de conduite à tenir.
| Avantages | Inconvénients | |
| Interne | Possibilité d’autodésignation
Coût réduit
|
Statut protégé par la loi (contre la sanction et la rupture de contrat)
Temps nécessaire important (formation et mise en place) Coûts indirects liés à la perte de productivité Possibles conflits d’intérêts Si le DPO n’est pas un dirigeant, implication et connaissance du management |
| Externe | Aucune baisse de productivité
Pas besoin de former un DPO Le DPO externe maitrise en principe la réglementation et sait ce qu’il faut faire. Plus facile de changer de DPO s’il ne fait pas partie de l’entreprise. |
Coûts directs
Le DPO externe doit avoir une connaissance approfondie de votre entreprise, y compris éléments confidentiels. |
AVEZ-VOUS VRAIMENT LE CHOIX ?
Si vous êtes entrepreneur avec une toute petite structure, ou si vous êtes indépendant, il n’est pas forcément envisageable pour vous de passer par un prestataire externe comme DPO.
Par ailleurs, nous avons vu que cette mission représente un engagement temps qui peut être conséquent surtout en phase d’implémentation. Un collaborateur interne chargé de cette mission n’aura plus la même rentabilité que précédemment.
La solution vers laquelle un grand nombre de petites structures va se tourner est vraisemblablement l’autodésignation du dirigeant.
En effet, qui mieux que vous connait aussi bien votre entreprise ? Personne. Mais attention ! Evitez de tomber dans le travers du « Je me désigne, comme cela tout est réglé et la vie reprend son cours ». Si vous vous auto-désignez, vous devez prendre les responsabilités vis-à-vis du RGPD et agir en conséquence.
POUR PASSER A L’ACTION
Voici ci-dessous les 4 premières actions pour franchir cette étape :
- Abonnez-vous à ma Newsletter RGPD en cliquant sur le bouton ci-dessous. Vous recevrez directement par courriel l’organigramme et le livret stratégique pour savoir si vous devez ou non désigner un DPO (cela vous permettra de plus d’être tenu au courant des nouveaux articles…)
- Désignez votre DPO (que ce soit vous-même ou une tierce personne).
- Rédigez un document pour officialiser cette désignation, qui peut être rédigé de manière libre, ou via un contrat (consulter un juriste peut dans ce cas être recommandé).
- Archiver ensuite ce document dans votre classeur dédié à la documentation de votre conformité au RGPD.
Dans mon prochain article, je vous parlerai de la seconde étape pour la mise en conformité au RGPD, la création du Registre des données.
Sentez-vous libre de vous inscrire également dans le formulaire ci-contre pour recevoir mon livre gratuit « ça passe ou ça casse », dans lequel j’aborde des 3 grandes étapes clés de la vie de votre entreprise, les erreurs à éviter et comment vous y préparer.
J’espère que ces quelques conseils vous auront apporté de la valeur et vous aideront à rendre vos journées plus belles.
Avec reconnaissance et bienveillance.
Rémi
