Les principes de base concernant la d\u00e9signation d\u2019un D\u00e9l\u00e9gu\u00e9 \u00e0 la Protection des Donn\u00e9es (DPD) sont clairement d\u00e9finis par le RGPD. Et pourtant, dans la pratique, on constate encore trop souvent que certaines organisations se prennent les pieds dans le tapis d\u00e8s ces premiers fondements. Dans cet article, nous revenons sur les trois piliers essentiels du r\u00f4le de DPD :\u00a0l\u2019ind\u00e9pendance, l\u2019engagement et la comp\u00e9tence.<\/p>\n
L\u2019ind\u00e9pendance du DPD signifie avant tout\u00a0l\u2019absence de conflit d\u2019int\u00e9r\u00eats\u00a0dans l\u2019exercice de sa fonction. Ce n\u2019est pas une simple formalit\u00e9 : le RGPD pr\u00e9voit bien que le DPD peut cumuler sa fonction avec d\u2019autres responsabilit\u00e9s, mais il y a une limite \u00e0 ne pas franchir.<\/p>\n
Cette fronti\u00e8re a \u00e9t\u00e9 pr\u00e9cis\u00e9e par la Cour de justice de l\u2019Union europ\u00e9enne (CJUE) dans l\u2019affaire C-453\/21<\/a> : si ces autres fonctions impliquent que le DPD d\u00e9termine lui-m\u00eame les finalit\u00e9s ou les moyens du traitement de donn\u00e9es \u00e0 caract\u00e8re personnel au sein de l\u2019organisation, il y a un probl\u00e8me. \u00c0 ce moment-l\u00e0, on entre en terrain glissant : le DPD devrait alors surveiller ou conseiller sur des d\u00e9cisions qu\u2019il a lui-m\u00eame contribu\u00e9 \u00e0 prendre.<\/p>\n En d\u2019autres termes,\u00a0le DPD ne peut pas \u00eatre juge et partie. Toute fonction de direction o\u00f9 le DPD aurait une influence directe sur les traitements de donn\u00e9es n\u2019est donc pas compatible avec son r\u00f4le.<\/p>\n L\u2019ind\u00e9pendance ne va pas sans protection : un DPD\u00a0ne peut pas \u00eatre sanctionn\u00e9 ou licenci\u00e9 pour l\u2019exercice de ses missions. Ce principe a \u00e9galement \u00e9t\u00e9 confirm\u00e9 par la CJUE<\/a> et par un jugement d\u2019un tribunal du travail francophone en Belgique, dans une affaire o\u00f9 un DPD avait obtenu une indemnisation apr\u00e8s son licenciement abusif<\/a>.<\/p>\n Ind\u00e9pendance ne signifie pas isolement. Le DPD\u00a0ne doit pas op\u00e9rer en vase clos, mais \u00eatre activement impliqu\u00e9 dans tout ce qui concerne la protection des donn\u00e9es. Il ne peut pas conseiller ou superviser depuis sa tour d\u2019ivoire, cela n\u2019aurait aucun sens. Cette responsabilit\u00e9 est partag\u00e9e :\u00a0c\u2019est \u00e0 l\u2019organisation d\u2019int\u00e9grer pleinement le DPD dans ses processus internes.<\/p>\n La position de l\u2019Autorit\u00e9 de protection des donn\u00e9es (APD) est claire \u00e0 ce sujet : elle a d\u00e9j\u00e0 insist\u00e9, dans plusieurs d\u00e9cisions<\/a>, sur l\u2019obligation d\u2019informer le DPD des incidents de s\u00e9curit\u00e9, et de solliciter son avis en amont \u2014 pas apr\u00e8s coup.<\/p>\n Mais l\u2019implication ne suffit pas si\u00a0le DPD ne peut pas rapporter ses observations au bon niveau. Les projets \u00e0 fort enjeu en mati\u00e8re de donn\u00e9es sont souvent aussi des projets strat\u00e9giques. Il est donc indispensable que le DPD\u00a0puisse rendre compte \u00e0 l\u2019organe de direction le plus \u00e9lev\u00e9\u00a0de l\u2019organisation, comme le pr\u00e9voit express\u00e9ment le RGPD.<\/p>\n L\u2019APD a d\u2019ailleurs rappel\u00e9 que rapporter \u00e0 un directeur g\u00e9n\u00e9ral ne suffit pas n\u00e9cessairement. Dans une d\u00e9cision relative \u00e0 une commune, l\u2019organe comp\u00e9tent \u00e9tait consid\u00e9r\u00e9 comme \u00e9tant\u00a0le Coll\u00e8ge des Bourgmestre et \u00c9chevins<\/a>, et non le directeur communal seul.<\/p>\n Conseiller et superviser la conformit\u00e9 au RGPD, ce n\u2019est pas de l\u2019improvisation. Le l\u00e9gislateur europ\u00e9en l\u2019a bien compris :\u00a0le RGPD impose que le DPD poss\u00e8de les qualifications professionnelles ad\u00e9quates. Il ne s\u2019agit pas d\u2019une formalit\u00e9 administrative.<\/p>\n L\u2019APD l\u2019a d\u00e9j\u00e0 confirm\u00e9 :\u00a0une organisation doit \u00eatre en mesure de d\u00e9montrer<\/a> que la personne qu\u2019elle d\u00e9signe comme DPD a les connaissances et l\u2019exp\u00e9rience n\u00e9cessaires\u00a0pour assumer ce r\u00f4le.<\/p>\n Un bon indicateur de cette comp\u00e9tence, c\u2019est bien entendu la formation. Une offre d\u2019emploi mentionnant que la \u201cconnaissance du RGPD est un atout\u201d ne suffit pas \u2014 cela laisse entendre que cette connaissance est accessoire, voire facultative. L\u2019APD ne partage pas du tout cette interpr\u00e9tation.<\/p>\n Vous envisagez de devenir DPD ou souhaitez mieux comprendre les enjeux li\u00e9s \u00e0 cette fonction essentielle ?\u00a0Data Protection Institute\u00a0vous accompagne !<\/p>\n En ce moment, nous proposons une\u00a0offre combin\u00e9e sp\u00e9ciale\u00a0: Les principes de base concernant la d\u00e9signation d\u2019un D\u00e9l\u00e9gu\u00e9 \u00e0 la Protection des Donn\u00e9es (DPD) sont clairement d\u00e9finis par le RGPD. Et pourtant, dans la pratique, on constate encore trop souvent que certaines organisations se prennent les pieds dans le tapis d\u00e8s ces premiers fondements. Dans cet article, nous revenons sur les trois piliers essentiels […]<\/p>\n","protected":false},"author":45,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[612],"tags":[],"class_list":["post-17727","post","type-post","status-publish","format-standard","hentry","category-dpo-fr"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/posts\/17727","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/users\/45"}],"replies":[{"embeddable":true,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/comments?post=17727"}],"version-history":[{"count":4,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/posts\/17727\/revisions"}],"predecessor-version":[{"id":17819,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/posts\/17727\/revisions\/17819"}],"wp:attachment":[{"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/media?parent=17727"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/categories?post=17727"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/tags?post=17727"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Un DPD doit \u00eatre impliqu\u00e9 et en mesure de rendre compte<\/strong><\/h2>\n
Un DPD doit avoir les comp\u00e9tences requises<\/strong><\/h2>\n
Envie d\u2019en savoir plus sur le r\u00f4le de DPD ?<\/strong><\/h2>\n
\nSuivez notre formation certifiante DPD et recevez gratuitement un abonnement d\u2019un an \u00e0 Stay Tuned !<\/p>\nInscrivez-vous via ce lien<\/a>.<\/h4>\n","protected":false},"excerpt":{"rendered":"