Accompagnement RGPD par DPO certifié

La majorité des structures traitent des données à caractère personnel. Il y a de forte chance que vous soyez concernés par le RGPD :

• les activités de ressources humaines (ex : gestion de la paye),
• par la relation avec vos fournisseurs (ex : nom et prénom de vos contacts commerciaux),
• par la gestion des adhérents (ex : adhérents d’association, destinataires de newsletter),
• par les missions exercées en tant que sous-traitants, etc…

Le régime de déclaration, les formalités à réaliser auprès de la CNIL, n’existe plus.

Vous devez pouvoir prouver votre conformité avec le RGPD par une création de documents divers et variés :

• registres de traitements,
• contrats de sous-traitance à jour,
• politique de sécurité,
• politique de confidentialité.

Il faut a minima pouvoir attester d’une démarche dynamique, le chantier de mise en conformité pouvant durer plus ou moins longtemps.

Il s’agit du nouveau métier découlant de la nécessité d’organiser la mise en conformité avec le RGPD. L'acronyme reconnu par la CNIL est DPO (Data Protection Officer).

Le DPO est la personne ou l'organisme désigné auprès de la CNIL. Le simple fait nommer une personne à ce poste, sans réaliser la désignation officielle, ne permet pas à un organisme de prétendre "avoir un DPO".

La conformité RGPD prend du temps par l’approche de création documentaire et de contrôle périodique : selon la taille de la structure cela peut représenter un temps plein.

On dit de lui qu'il est le chef d’orchestre de la conformité RGPD, mais attention ce n’est pas un exécutant, c’est un pilote disponible pour conseiller les responsables et aider les employés à créer les preuves de la conformité. Ce n’est pas non plus le sous-traitant des risques liés à la non-conformité, le seul responsable reste le responsable de traitement.

Si vous avez plus de 250 employés, ou si vous êtes un établissement public ou un organisme investi d’une mission de service public, le DPO est obligatoire.

Si vous traitez des données dites « sensibles » (ex : sur la santé, l’appartenance syndicale), ou réalisez des traitements à grande échelle (ex : marketing digital), le DPO est probablement obligatoire également.

Indépendamment du caractère obligatoire, la désignation d'un DPO est de plus en plus recommandée par les autorités.

A priori non, car la conformité RGPD se construit au travers d’une démarche dynamique, et d’une création de documents. Tout cela peut être réalisé par une personne connaissant le sujet, les techniques de la gestion de projet, et avec des outils classiques de bureautique (traitement de texte, tableur). Mais il faut avouer que cela peut rapidement devenir chronophage.

Un logiciel devient pertinent selon la taille de la structure, lorsque la conformité concerne plusieurs responsables de services ou un groupe d’entreprises par exemple. Il favorise le travail collaboratif, l’analyse et le contrôle du chantier RGPD.

Un logiciel dédié peut également être pertinent selon la sensibilité des données traitées, la complexité des traitement de données à caractère personnel, et le nombre de tiers et de sous-traitants recensés. 

Attention à ne pas confondre une solution de sécurité (antivirus ou sauvegarde) et un outil de travail collaboratif dédié au RGPD. Certaines solutions tentent de proposer un mix qui n'apporte qu'une vision partielle et peut créer un risque important (voir la notion de "conflit d'intérêts" ci-dessous).

Cela est même recommandé pour les plus petites structures.

Bien sûr, vous pouvez assumer la charge de travail, mais au détriment de votre cœur de métier.

Vous pouvez également confier cette tâche à l’un de vos employés qui dispose du temps et de la volonté d’apprendre à maîtriser le sujet, vous pourriez même désigner cette personne DPO auprès de la CNIL, mais en prenant soin d'assurer sa formation permanente, et qu’il n’y ait pas de conflit d’intérêt avec ses fonctions courantes.

Opter pour l’externalisation offre souplesse et objectivité.

Pour les organisations publiques, ou les grandes entreprises, le DPO interne est recommandé par Opt-on.

Elle concerne le DPO désigné auprès de la CNIL. Ce poste doit être libre d’agir en toute indépendance : ce ne peut donc pas être le dirigeant, ou tout autre personne occupant certaines fonctions. En effet, le DPO doit être capable de remettre en question certaines orientations afin de conseiller de manière neutre la direction.

Par exemple, le responsable du marketing pourrait être partagé entre son intérêt de développement commercial et les droits des citoyens.

Autre exemple, la sécurité informatique doit être questionnée par le DPO : un prestataire assurant la cybersécurité peut difficilement remettre en question la performance de ses produits de sécurité informatique, il ne devrait donc pas être désigné DPO.

Cette logique devrait s’appliquer également à la personne, ou au prestataire, en charge de la conformité, même s’il n’est pas nécessairement désigné Délégué à la Protection des Données auprès de la CNIL.

Les lignes directrices WP 243 du CEPD, la CNIL européenne, précisent même qu'un avocat offrant des prestations de DPO à un client, ne devrait pas être la même personne en charge de la défense de ce client, devant un tribunal, en cas de litige autour de ces questions. Ce sujet mérite donc toute l'attention des responsables.

Se faire aider par un spécialiste neutre est la meilleure stratégie.

Il organisera la formation et la sensibilisation des membres dirigeants, et apportera à votre structure la capacité de gérer seule par la suite. Mais surtout, il vous permettra de prioriser le chantier de conformité RGPD dès le début, et vous signalera les écarts en cours de route. Vous pourrez rester concentrer sur vos priorités.

Si vous optez pour une mise en conformité RGPD gérée en interne en louant un logiciel, il vous faudra compter le double, voire le triple de temps : temps nécessaire à la compréhension du RGPD et ses subtilités, temps indispensable à la prise en main du logiciel, temps nécessaire à la résolution des points de blocage.

Une question à vous poser : comment faites vous pour la comptabilité ? Si réaliser votre « compta » seul n’est pas votre activité favorite, ne vous lancez pas seul dans ce challenge.

Il semble que certains prestataires annoncent cet argument marketing.

Soyons sérieux, la CNIL ne sanctionnerait pas une organisation en "chantier RGPD". Un contrôle reste possible, mais la mission de la CNIL est de sensibiliser et aider les organisations. Elle ne doit pas pénaliser l'économie.

Notre déontologie ne nous permet pas de faire une telle annonce.

Il semble encore une fois que certains prestataires annoncent des DPO "validés par CNIL".

Cela nous paraît être un abus de langage. Un DPO peut être certifié par un organisme indépendant, qui a lui-même obtenu l'agrément de la CNIL pour faire passer des examens aux personnes. Le DPO n'est pas directement reconnu compétent par la CNIL.

Par ailleurs, une certification est valable trois ans, et peut être vérifiée facilement auprès de l'organisme certificateur.