L’une des exigences réglementaires impose la désignation d’une personne chargée d’assurer le contrôle interne du traitement des données à caractère personnel. Cette personne est désignée sous le terme de DPO (Data Protection Officer / Délégué à la protection des données). Cet article examine les obligations de l’entreprise en matière de nomination d’un DPO, les exigences applicables à cette fonction, ses attributions ainsi que les diverses questions relatives au contrôle interne du traitement des données personnelles au sein de l’entreprise.
1. Désignation des personnes chargées du contrôle interne du traitement des données personnelles : les entreprises qui traitent des données à caractère personnel de personnes physiques ont l’obligation d’organiser un contrôle interne de ces traitements. À cette fin, l’entreprise peut opter pour l’une des modalités suivantes :
2. Définition des missions du DPO et formalités administratives : selon qu’un salarié est recruté spécifiquement ou que les fonctions de DPO sont confiées à un ou plusieurs salariés déjà en poste, il convient de définir ou de compléter les attributions du poste. Pour un salarié recruté spécifiquement, une fiche de poste de spécialiste chargé de mettre en œuvre le contrôle interne du traitement des données personnelles est établie et celui-ci prend connaissance des instructions applicables.
Lors du recrutement d’un DPO ou de la répartition de ses missions entre plusieurs salariés, les actes administratifs correspondants du département des ressources humaines doivent être formalisés.
Nous vous recommandons de désigner en amont un collaborateur suppléant susceptible de remplacer le DPO en cas d’absence. Ce spécialiste devra suivre une formation adéquate aux compétences de DPO.
3. Formation du DPO : au moins une fois tous les 5 ans, les entreprises ayant désigné un DPO doivent organiser la formation de ces collaborateurs aux questions de protection des données personnelles. Vous pouvez confier la formation du DPO à :
Au lieu d’être envoyé auprès de ces organismes, le DPO peut se former au sein de son entreprise. Il étudie alors les exigences en matière de protection des données personnelles et passe un contrôle de connaissances sur ces questions. Celui-ci peut prendre la forme d’un entretien, d’un test ou d’une autre méthode. L’entreprise peut faire appel à des spécialistes habilités à dispenser des formations sur le traitement des données personnelles.
Formation auprès du Centre national de protection des données personnelles : dans plusieurs organisations, les DPO sont formés uniquement auprès du Centre national de protection des données personnelles. Ces organisations comprennent notamment les banques et les organismes de crédit et financiers non bancaires, les compagnies d’assurance, les opérateurs de télécommunications, les agences immobilières, les agences de recrutement, ainsi que les entreprises qui traitent les données personnelles d’au moins 10 000 personnes physiques.
Lorsque les fonctions du DPO comprennent la garantie de la sécurité de l’information et que l’entreprise possède des systèmes d’information, à l’exception de ceux utilisés par les sociétés résidentes du Parc des Hautes Technologies (HTP) dans le cadre d’activités liées à la blockchain ou créés avec la participation de résidents du Parc, le DPO doit suivre une formation auprès du Centre national de protection des données personnelles au moins une fois tous les trois ans.
4. Reporting de l’entreprise concernant le DPO : chaque année, au plus tard le 15 novembre, les entreprises communiquent au Centre national de protection des données personnelles les informations suivantes :
En outre, lorsque l’entreprise est inscrite au Registre des opérateurs de données personnelles, les informations relatives au DPO doivent y être consignées : nom, prénom, patronyme, numéro de téléphone et adresse e-mail. Rappelons que toutes les entreprises qui traitent des données personnelles ne sont pas tenues de s’inscrire au Registre. L’inscription est obligatoire dans certains cas, notamment lorsque l’entreprise traite des données personnelles biométriques et génétiques ou celles de plus de 100 000 personnes.
Le périmètre des attributions du DPO est assez étendu et comprend notamment :
Plusieurs critères s’avèrent déterminants lors du choix d’un candidat au poste de DPO et de la définition de ses missions. En voici quelques-uns :
1. Éviter les conflits d’intérêts : nous vous recommandons de ne pas désigner comme DPO une personne qui traite directement des données personnelles. Un conflit d’intérêts surviendrait alors : en tant que responsable du contrôle interne du traitement des données personnelles, le DPO devrait contrôler son propre travail. Un conflit d’intérêts peut également survenir lorsque la personne qui traite directement les données personnelles et le DPO travaillent dans le même département de l’entreprise.
2. Ne pas désigner un travailleur indépendant comme DPO : les situations peuvent varier, mais, en règle générale, un salarié à temps plein est davantage responsable envers l’entreprise qu’un spécialiste engagé dans le cadre d’un contrat de droit civil. En outre, le contrôle interne du traitement des données personnelles exige souvent une connaissance approfondie des processus de l’entreprise et l’accès à des informations relevant du secret commercial. Selon l’autorité publique chargée du contrôle de la protection des données personnelles, le DPO doit être un salarié à temps plein.
3. Tenir compte des exigences de qualification du poste : les exigences de qualification applicables au poste de spécialiste chargé du contrôle interne du traitement des données personnelles comprennent une exigence de formation : le DPO doit avoir fait des études supérieures, quelle que soit son expérience professionnelle. Par la suite, une expérience comme DPO est nécessaire pour accéder à une catégorie supérieure : au moins deux ans pour obtenir la deuxième catégorie de qualification, puis trois ans dans cette catégorie pour obtenir la première.
4. Dissocier les fonctions : nous recommandons de confier à des collaborateurs distincts les attributions de protection technique et cryptographique de l’information, d’une part, et les missions de contrôle interne du traitement des données personnelles, d’autre part. Une formation technique est indispensable pour assurer efficacement la sécurité technique et cryptographique, mais elle n’est pas requise pour exercer les autres missions du DPO, lesquelles peuvent parfaitement être assumées par un juriste.
Le collaborateur exerçant les fonctions de DPO ne saurait se contenter d’une démarche informelle auprès des agents procédant aux traitements. Le contrôle interne du traitement des données personnelles constitue un processus métier qui doit être analysé, structuré et formalisé par un acte interne.
Le Centre national de protection des données personnelles préconise l’adoption d’un document interne : la procédure de contrôle interne du traitement des données personnelles. Ce document est élaboré sur la base des autres politiques et règlements internes de l’entreprise relatifs aux données personnelles.
Le contrôle interne du traitement des données personnelles peut prendre la forme d’un suivi des services de l’entreprise et d’inspections inopinées.
Le suivi est effectué tous les six mois, conformément à un plan établi à l’avance pour une année.
Le DPO réalise des inspections inopinées sur instructions de la direction de l’entreprise. À cette occasion, le DPO détermine :
Nos avocats et nos spécialistes en sécurité de l’information disposent d’une solide expérience du contrôle interne du traitement des données personnelles et de la protection des informations relatives aux données personnelles.
Nous pouvons :
Si vous avez des questions ou rencontrez des difficultés concernant le rôle et les missions du DPO, nous serons heureux de vous aider ! Notre longue expérience en droit des sociétés et en fiscalité vous aidera à résoudre les différends dans ce domaine.
Une lecture attentive du contrat conclu avec une banque pour des services de caisse et de règlement est essentielle, car elle permet de comprendre l’ensemble des conditions et des règles régissant vos relations avec l’établissement bancaire. Une mauvaise compréhension ou l’ignorance de ces dispositions peut engendrer des difficultés et des litiges à l’avenir. Le contrat […]
Un juriste d’entreprise étranger — basé à Francfort ou à Singapour, peu importe — est au bout du fil. Le contrat conclu il y a dix-huit mois avec un fournisseur biélorusse a déraillé. La contrepartie a cessé de payer ou d’exécuter ses prestations, et le litige est désormais ouvert. Le juriste s’est replongé dans le […]
Les litiges immobiliers peuvent survenir à tout moment — de la signature d’un compromis de vente au partage de biens ou aux différends avec les promoteurs. Ces situations s’accompagnent fréquemment de risques financiers considérables et exigent non seulement une solide maîtrise des transactions immobilières, mais aussi une expérience pratique avérée. Des vices documentaires, des questions […]
