Le Data Protection Officer est responsable de la protection des données et le pilote de la conformité réglementaire. Il s’assure du respect des obligations juridiques et non-juridiques concernant les données d’une organisation.
C’est aussi l’élément connecteur entre le business et la CNIL : un rôle polyvalent, transversale et stratégique.
Le Data Protection Officer travaille sur les données et l’impact des nouvelles réglementations type RGPD, mais il dirige surtout le travail énorme à faire en amont pour atteindre les objectifs de transformation digitale en accord avec ces réglementations.
Il assure plusieurs missions au sein de la société:
Toutes les organisations ne se verront pas dans l’obligation de désigner un DPO, mais de bonnes pratiques de traitements des données exigent l’existence d’un rôle semblable. Le règlement général sur la protection des données (RGPD) impose la nomination d’un DPO dans trois situations :
Le Data Protection Officer permet dans un premier temps d’être conforme aux obligations réglementaires (RGPD pour un grand nombre d’entreprises).
Ensuite, cet expert en sécurisation des données va prendre en charge la stratégie Data Protection de l’entreprise, notamment en se rapprochant des différents départements de l’entreprise. Il sera ainsi le lien entre les instances juridiques et les équipes techniques comme fonctionnelles.
Le DPO va ainsi mettre en place un contrôle régulier des données entrantes et sortantes dans l’entreprise, s’assurant du maintien des bonnes pratiques. Il va apporter l’assurance d’un niveau de sécurité des données approprié aux exigences des instances ainsi que celles des acteurs et parties prenantes de l’organisation.
Le premier est un profil plus équilibré entre le technique et le fonctionnel, et ne se limite pas tout à fait qu’aux aspect stratégiques puisqu’il est amené à travailler sur les usages et les traitements de la donnée.
Le second se concentre entièrement sur les aspects fonctionnel et stratégique de la donnée, puisqu’il comprend, manipule et coordonne les données dans le but de les valoriser et de les monétiser.
Le DPO représente donc un membre de poids pour l’entreprise, puisqu’il est supposé influencer en toute partialité (nous insistons sur ce point) les prises de décisions business et opérationnelle afin qu’elle s’aligne avec les règlements. La responsabilité est donc grande pour cet acteur majeur de la transformation digitale.
Attention cependant, le Data Protection Officer n’est en aucun cas personnellement responsable en cas de non-conformité de son entreprise avec le RGPD. En effet, celle-ci incombe directement au responsable de traitement ou au sous-traitant.
Le DPO devrait avoir à minima ces compétences pour mener à bien ses missions :
